Data Protection Directive : ce qu'a changé le RGPD

Sommaire

Data Protection Directive : la première loi européenne

Pourquoi une directive et non un règlement

Les limites de la directive 95/46

Du texte de 1995 au RGPD de 2018

Ce que le RGPD change pour les entreprises

Directive abrogée : quelles obligations aujourd'hui

FAQ

Pour aller plus loin

Data Protection Directive : la première loi européenne

La data protection directive, officiellement la directive 95/46/CE, a été adoptée le 24 octobre 1995 par le Parlement européen et le Conseil. Son objectif : harmoniser la protection des données personnelles au sein du marché intérieur européen, à une époque où internet n'en était qu'à ses débuts.

Ce texte posait les principes fondateurs qui structurent encore le droit des données aujourd'hui. Il imposait aux responsables de traitement de collecter les données pour une finalité déterminée, de limiter la collecte au strict nécessaire et de garantir leur exactitude. Il créait aussi un droit d'accès et de rectification pour les personnes concernées.

En France, la directive 95/46/CE a été transposée par la modification de la loi Informatique et Libertés du 6 janvier 1978. La CNIL, créée dès 1978, est restée l'autorité de contrôle nationale. Chaque État membre devait désigner une autorité équivalente, ce qui a donné naissance à un réseau d'une quinzaine d'autorités à travers l'Union.

Pourquoi une directive et non un règlement

En droit européen, une directive fixe un objectif que chaque État membre doit atteindre, mais lui laisse le choix des moyens pour le transposer dans son droit interne. Un règlement, en revanche, s'applique directement et uniformément dans tous les États, sans transposition.

Le choix d'une directive en 1995 répondait à un contexte politique précis. Les traditions juridiques divergeaient fortement : la France disposait déjà de la loi Informatique et Libertés depuis 1978, tandis que d'autres pays n'avaient aucun cadre. Imposer un texte unique aurait été politiquement irréaliste à 15 États membres.

Cette marge de manœuvre a produit 15, puis 28 versions nationales différentes du même texte. Pour une entreprise opérant dans plusieurs pays européens, la conformité supposait de respecter autant de législations distinctes.

Les limites de la directive 95/46

En 1995, le World Wide Web comptait environ 23 500 sites. En 2015, on en dénombrait plus d'un milliard. La data protection directive n'avait pas été conçue pour encadrer les réseaux sociaux, le cloud computing, le big data ou les objets connectés.

Trois failles structurelles sont apparues :

• Fragmentation juridique : les transpositions nationales divergentes créaient une insécurité juridique pour les entreprises transfrontalières. Une pratique conforme en Allemagne pouvait ne pas l'être en Espagne.
• Faiblesse des sanctions : en France, la CNIL pouvait infliger des amendes plafonnées à 150 000 euros (300 000 euros en cas de récidive). Un montant sans effet dissuasif sur les géants du numérique.
• Portée territoriale limitée : la directive ne s'appliquait qu'aux responsables de traitement établis dans l'Union européenne. Les entreprises américaines traitant massivement des données de citoyens européens échappaient largement au texte.

L'arrêt Google Spain de la Cour de justice de l'Union européenne (CJUE) en mai 2014, qui a consacré le droit au déréférencement, a illustré l'inadéquation du cadre existant face aux pratiques numériques.

Avec l'essor de l'intelligence artificielle, les enjeux de protection des données se complexifient encore. Découvrez comment structurer votre conformité IA avec un avocat spécialisé.

Du texte de 1995 au RGPD de 2018

La Commission européenne a proposé une réforme dès janvier 2012. Après 4 ans de négociations, le règlement général sur la protection des données (RGPD, règlement 2016/679) a été adopté le 27 avril 2016. Il est entré en application le 25 mai 2018, date à laquelle la directive 95/46/CE a été formellement abrogée.

Le passage d'une directive à un règlement n'est pas un détail technique. Il traduit un changement de philosophie : l'Union européenne a choisi l'uniformité plutôt que l'harmonisation souple. Un seul texte, une seule interprétation, un mécanisme de coopération entre autorités de contrôle (one-stop-shop).

En France, la loi Informatique et Libertés a été réécrite par la loi du 20 juin 2018 pour s'articuler avec le RGPD. Elle subsiste pour les traitements relevant de marges de manœuvre nationales (données de santé, âge du consentement des mineurs fixé à 15 ans).

Ce que le RGPD change pour les entreprises

Le RGPD a introduit 5 changements structurants pour les dirigeants d'entreprise :

1. Accountability (responsabilisation) : l'entreprise doit démontrer sa conformité à tout moment, et non plus simplement déclarer ses traitements à la CNIL. Cela implique de tenir un registre des traitements, de documenter les analyses d'impact et de conserver les preuves de consentement.

2. Sanctions renforcées : les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. En 2024, la CNIL a prononcé plus de 55 millions d'euros de sanctions cumulées.

3. Portée extraterritoriale : le RGPD s'applique à toute entreprise traitant des données de résidents européens, quel que soit son lieu d'établissement. Un prestataire américain ou asiatique doit s'y conformer.

4. Droits élargis des personnes : droit à la portabilité, droit à l'effacement (« droit à l'oubli »), droit à la limitation du traitement. Ces droits s'ajoutent aux droits d'accès et de rectification déjà prévus par la directive.

5. Délégué à la protection des données (DPO) : sa désignation est obligatoire pour les organismes publics et les entreprises dont l'activité principale implique un suivi régulier et systématique des personnes à grande échelle.

Les projets d'intelligence artificielle impliquent des traitements de données massifs soumis au RGPD. Faites-vous accompagner par un avocat spécialisé en IA.

Directive abrogée : quelles obligations aujourd'hui

La directive 95/46/CE n'a plus aucune valeur juridique depuis le 25 mai 2018. Toute entreprise française relève désormais du RGPD et de la loi Informatique et Libertés modifiée.

Concrètement, un dirigeant doit s'assurer que son entreprise respecte ces obligations minimales :

• Registre des traitements : document interne recensant chaque traitement de données, sa finalité, sa base légale et sa durée de conservation.
• Base légale identifiée : chaque traitement repose sur l'un des 6 fondements prévus par l'article 6 du RGPD (consentement, contrat, obligation légale, intérêt légitime, mission d'intérêt public, sauvegarde des intérêts vitaux).
• Information des personnes : mentions d'information claires sur les formulaires, sites web et contrats.
• Sécurité des données : mesures techniques et organisationnelles adaptées au risque (chiffrement, contrôle d'accès, sauvegardes).
• Notification des violations : toute violation de données doit être notifiée à la CNIL dans un délai de 72 heures si elle présente un risque pour les droits des personnes.

Pour les TPE et PME, la CNIL propose des outils simplifiés (modèle de registre, guide pratique). L'absence de conformité expose toutefois à des contrôles et des sanctions, y compris pour les structures de petite taille : en 2023, la CNIL a contrôlé 340 organismes, dont des PME et associations.

La data protection directive reste un repère historique utile pour comprendre l'architecture actuelle du droit des données en Europe. Mais le cadre juridique applicable est désormais le RGPD, et c'est sur ce texte que repose la responsabilité du dirigeant.

FAQ

La data protection directive est-elle encore en vigueur ?

Non. La directive 95/46/CE a été abrogée le 25 mai 2018, date d'entrée en application du RGPD. Elle n'a plus aucune valeur juridique. Les entreprises françaises relèvent exclusivement du RGPD et de la loi Informatique et Libertés modifiée.

Quelle différence entre la directive 95/46 et le RGPD ?

La directive devait être transposée dans chaque droit national, ce qui créait des écarts entre pays. Le RGPD s'applique directement et uniformément dans les 27 États membres. Il renforce aussi les sanctions (jusqu'à 4 % du chiffre d'affaires mondial) et élargit les droits des personnes.

Une PME est-elle concernée par le RGPD ?

Oui. Le RGPD s'applique à toute organisation traitant des données personnelles, quelle que soit sa taille. Les PME bénéficient de certaines exemptions (pas d'obligation de DPO dans la plupart des cas), mais doivent tenir un registre des traitements et respecter les principes du règlement.

Quelles sanctions risque une entreprise non conforme au RGPD ?

Les amendes peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. La CNIL peut aussi prononcer des mises en demeure, des injonctions ou des limitations de traitement. En 2024, elle a infligé plus de 55 millions d'euros de sanctions cumulées.

Quel est le rôle de la CNIL depuis le RGPD ?

La CNIL reste l'autorité de contrôle française. Elle instruit les plaintes, mène des contrôles, prononce des sanctions et accompagne les entreprises dans leur mise en conformité. Elle coopère avec les autres autorités européennes via le mécanisme de guichet unique (one-stop-shop).

Pour aller plus loin

Directive 95/46/CE relative à la protection des données à caractère personnel - Légifrance

Le règlement général sur la protection des données (RGPD) - CNIL

Le règlement général sur la protection des données (RGPD), mode d'emploi - economie.gouv.fr

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.