Loi Informatique et Libertés 2026 : guide complet

L’essentiel. La loi Informatique et Libertés (loi n° 78-17 du 6 janvier 1978) est le texte fondateur de la protection des données personnelles en France : elle a créé la CNIL et posé les premiers droits des citoyens face aux fichiers. Depuis 2018, elle ne fait plus « cavalier seul » : elle s’articule avec le RGPD, qu’elle complète sur les points laissés à la main des États (âge du consentement fixé à 15 ans, données de santé, NIR, fichiers de police-justice). Pour être en conformité avec la loi, il faut d’abord respecter le RGPD, puis les quelques spécificités françaises.

La loi Informatique et Libertés du 6 janvier 1978 est le plus ancien et l’un des plus importants textes français consacrés à la protection des données personnelles et au respect de la vie privée à l’ère numérique. Elle a survécu à quatre décennies de bouleversements technologiques et à l’arrivée du RGPD, qui aurait pu la rendre obsolète. Il n’en est rien : la France a choisi de la conserver, à la fois pour des raisons historiques et pour y loger les marges de manœuvre que le règlement européen laisse aux États membres.

Ce guide explique ce qu’est la loi Informatique et Libertés, comment elle s’articule aujourd’hui avec le RGPD, ce qu’elle ajoute de spécifiquement français, et les obligations concrètes qu’elle impose. Vous pouvez également consulter le texte intégral de la loi.

Qu’est-ce que la loi Informatique et Libertés ?

La loi Informatique et Libertés est née d’un scandale. En 1974, le journal Le Monde révèle l’existence du projet gouvernemental « SAFARI » (Système automatisé pour les fichiers administratifs et le répertoire des individus), qui visait à interconnecter les fichiers de l’administration autour d’un identifiant unique. L’émoi provoqué par cette « chasse aux Français » conduit le législateur à réagir : ce sera la loi n° 78-17 du 6 janvier 1978, relative à l’informatique, aux fichiers et aux libertés.

Cette loi est pionnière à double titre. D’une part, elle est l’une des premières au monde à encadrer le traitement automatisé des données personnelles. D’autre part, elle institue une autorité indépendante chargée de veiller à son application : la Commission nationale de l’informatique et des libertés (CNIL). Son article premier pose un principe qui n’a rien perdu de son actualité : « L’informatique doit être au service de chaque citoyen […]. Elle ne doit porter atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. »

Cette antériorité explique le rôle de précurseur de la France dans la construction du droit européen de la protection des données — jusqu’au RGPD lui-même.

Chronologie : les grandes révisions de la loi

La loi de 1978 n’est plus, dans sa lettre, celle de l’origine. Elle a connu plusieurs refontes majeures.

Année	Texte	Apport principal
1978	Loi n° 78-17 du 6 janvier 1978	Texte fondateur, création de la CNIL
2004	Loi n° 2004-801 du 6 août 2004	Transposition de la directive 95/46/CE, passage d’un régime de déclaration à un régime de responsabilité
2018	Loi n° 2018-493 du 20 juin 2018	Adaptation au RGPD et à la directive « Police-Justice » (UE) 2016/680
2019	Ordonnance n° 2018-1125 du 12 décembre 2018	Recodification complète, entrée en vigueur au 1er juin 2019

C’est cette dernière étape — souvent résumée par « la réforme de 2019 » — qui a donné à la loi sa physionomie actuelle : un texte réorganisé, articulé autour du RGPD, dont il reprend l’architecture tout en y ajoutant les dispositions propres à la France.

Loi Informatique et Libertés et RGPD : qui prime ?

C’est la question qui revient le plus souvent. La réponse tient en une hiérarchie claire.

Le RGPD (règlement (UE) 2016/679) est un règlement européen : il est d’application directe dans tous les États membres et prime sur le droit national. La loi Informatique et Libertés ne peut donc ni le contredire ni le répéter inutilement. Son rôle est double :

1. Renvoyer au RGPD pour l’essentiel des obligations (bases légales, droits des personnes, sécurité, gouvernance). Sur ces sujets, la loi française ne réinvente rien : elle applique le règlement.
2. Exercer les marges nationales que le RGPD laisse expressément ouvertes. Le règlement comporte en effet une cinquantaine de « clauses d’ouverture » permettant aux États d’adopter des règles plus précises ou plus protectrices sur certains sujets.

La conséquence pratique est simple : pour être en conformité avec la loi Informatique et Libertés, il faut d’abord se mettre en conformité avec le RGPD, puis vérifier les quelques spécificités françaises. La loi I&L renvoie d’ailleurs, à de très nombreuses reprises, aux articles du règlement.

Ce que la loi française ajoute au RGPD

Les apports spécifiques de la loi Informatique et Libertés sont concentrés là où le RGPD a laissé la main aux États. Voici les principaux.

L’âge du consentement numérique. Le RGPD (article 8) autorise les États à fixer l’âge à partir duquel un mineur peut consentir seul à un service en ligne, entre 13 et 16 ans. La France a retenu 15 ans. En deçà, le consentement conjoint du titulaire de l’autorité parentale est requis.

Le NIR (numéro de sécurité sociale). L’utilisation du numéro d’inscription au répertoire national d’identification des personnes physiques reste strictement encadrée en droit français, au-delà des exigences du RGPD.

Les données de santé. La loi organise des régimes particuliers pour la recherche dans le domaine de la santé et l’accès aux données du système national des données de santé (SNDS), qui s’ajoutent aux règles du RGPD sur les données sensibles de l’article 9.

Les données pénales. Le traitement des données relatives aux condamnations et infractions est réservé à des catégories limitées d’acteurs, définies par la loi française.

Les fichiers régaliens. Le Titre III de la loi transpose la directive « Police-Justice » (UE) 2016/680, qui régit les traitements des autorités compétentes en matière pénale — un domaine hors du champ du RGPD.

Les actions de groupe et la représentation. La loi précise les modalités selon lesquelles des associations peuvent agir en justice au nom des personnes concernées.

Ces spécificités expliquent pourquoi une organisation française ne peut se contenter de « lire le RGPD » : certaines de ses obligations découlent directement de la loi nationale.

La CNIL, autorité de contrôle issue de la loi de 1978

On oublie souvent que la CNIL est une création de la loi Informatique et Libertés. Autorité administrative indépendante, elle exerce aujourd’hui les missions que le RGPD confie aux autorités de contrôle : information et conseil, contrôle sur pièces et sur place, instruction des plaintes, et pouvoir de sanction.

Ses pouvoirs de sanction ont été considérablement renforcés par le RGPD : elle peut prononcer des rappels à l’ordre, des mises en demeure, des injonctions sous astreinte et des amendes administratives pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial (voir notre dossier sanctions RGPD). La CNIL publie également des lignes directrices, des recommandations et des référentiels qui font autorité en pratique.

Champ d’application : quand la loi s’applique-t-elle ?

La loi Informatique et Libertés, comme le RGPD, régit le traitement des données à caractère personnel. Une donnée personnelle est, selon la définition du RGPD :

« toute information se rapportant à une personne physique identifiée ou identifiable […] ; est réputée être une “personne physique identifiable” une personne physique qui peut être identifiée, directement ou indirectement, notamment par référence à un identifiant, tel qu’un nom, un numéro d’identification, des données de localisation, un identifiant en ligne, ou à un ou plusieurs éléments spécifiques propres à son identité physique, physiologique, génétique, psychique, économique, culturelle ou sociale. »

Dès qu’une organisation — entreprise, association, administration — collecte, enregistre, conserve, consulte, diffuse ou supprime de telles données, elle réalise un « traitement » et entre dans le champ de la loi. Peu importe le support (papier structuré ou numérique) ou l’échelle (un simple fichier client suffit).

Les obligations imposées par la loi

Parce qu’elle renvoie au RGPD, la loi impose aux responsables de traitement l’ensemble des obligations du règlement. Les principales :

Obligation	En pratique
Base légale	Fonder chaque traitement sur l’une des bases de l’article 6 (consentement, contrat, obligation légale, intérêt légitime…)
Information	Informer les personnes de manière claire sur l’usage de leurs données
Registre	Tenir un registre des activités de traitement (exemple de registre rempli)
Sécurité	Mettre en œuvre des mesures techniques et organisationnelles appropriées
Sous-traitance	Encadrer les sous-traitants par contrat
AIPD	Réaliser une analyse d’impact pour les traitements à risque élevé
DPO	Désigner un délégué à la protection des données lorsque c’est obligatoire
Violations	Notifier les violations de données à la CNIL sous 72 heures

En pratique, se mettre en conformité avec la loi Informatique et Libertés revient donc à déployer une démarche RGPD complète, augmentée des spécificités françaises évoquées plus haut.

Les droits garantis aux personnes

La loi, via le RGPD, confère aux personnes un socle de droits opposables au responsable de traitement :

• le droit d’accès — obtenir communication des données détenues (répondre à une demande d’accès, guide article 15) ;
• le droit de rectification — corriger des données inexactes ;
• le droit à l’effacement (« droit à l’oubli ») ;
• le droit d’opposition — s’opposer à un traitement, notamment en prospection ;
• le droit à la limitation du traitement ;
• le droit à la portabilité des données ;
• le droit de ne pas faire l’objet d’une décision entièrement automatisée produisant des effets juridiques (article 22).

Ces droits s’exercent auprès du responsable de traitement, qui doit répondre en principe dans un délai d’un mois. En cas de difficulté, la personne peut saisir la CNIL.

Loi Informatique et Libertés et transferts hors Union européenne

La loi, par renvoi au chapitre V du RGPD, encadre strictement les transferts de données personnelles vers des pays situés hors de l’Union européenne. Le principe : un tel transfert n’est autorisé que si le pays destinataire offre un niveau de protection adéquat, ou si des garanties appropriées sont mises en place.

Trois mécanismes structurent la pratique en 2026 :

• Les décisions d’adéquation. La Commission européenne reconnaît, pour certains pays, un niveau de protection jugé adéquat. Concernant les États-Unis, le cadre applicable reste le Data Privacy Framework (DPF), fondé sur la décision d’adéquation de juillet 2023, qui autorise les transferts vers les entreprises américaines certifiées. Ce cadre demeure en vigueur mais fait l’objet d’un suivi juridique attentif, comme les dispositifs qui l’ont précédé.
• Les clauses contractuelles types (CCT). À défaut d’adéquation, l’exportateur et l’importateur de données peuvent conclure les clauses contractuelles types adoptées par la Commission (décision d’exécution (UE) 2021/914 du 4 juin 2021). Ce sont les CCT « nouvelle génération », qui ont remplacé les anciens modèles et supposent, dans bien des cas, une analyse d’impact du transfert.
• Les règles d’entreprise contraignantes (BCR), pour les transferts intragroupe, validées par l’autorité de contrôle.

Pour toute organisation qui recourt à des outils ou prestataires hébergés hors de l’Union (cloud, messagerie, analytics), la vérification de la base de transfert est un point de conformité que la CNIL contrôle régulièrement.

Sanctions en cas de non-respect

Le non-respect de la loi Informatique et Libertés expose aux sanctions prévues par le RGPD et mises en œuvre par la CNIL : mise en demeure, rappel à l’ordre, injonction de mise en conformité (au besoin sous astreinte), limitation ou interdiction du traitement, et amende administrative pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial.

S’y ajoutent des risques civils (actions en réparation des personnes concernées) et, pour certaines infractions, des sanctions pénales prévues par le Code pénal. Pour suivre l’évolution de la doctrine et des décisions, consultez notre actualité RGPD 2026.

Checklist : être en conformité avec la loi Informatique et Libertés

• [ ] Déployer une démarche RGPD complète (le socle de la loi)
• [ ] Tenir un registre des traitements à jour
• [ ] Vérifier la base légale de chaque traitement
• [ ] Rédiger des mentions d’information claires et accessibles
• [ ] Encadrer les sous-traitants par contrat
• [ ] Réaliser les AIPD nécessaires
• [ ] Désigner un DPO si l’obligation s’applique
• [ ] Mettre en place la procédure de notification des violations
• [ ] Appliquer les spécificités françaises (âge 15 ans, NIR, santé, données pénales)
• [ ] Organiser l’exercice des droits des personnes

Pour les organisations multi-sites ou aux traitements nombreux, un logiciel RGPD permet d’industrialiser la tenue du registre, le suivi des sous-traitants et la traçabilité de la conformité exigée par la loi.

FAQ — Loi Informatique et Libertés

La loi Informatique et Libertés existe-t-elle toujours après le RGPD ?

Oui. La France a fait le choix de conserver la loi de 1978, refondue en 2018-2019 pour s’articuler avec le RGPD. Elle reste en vigueur et sert de véhicule aux dispositions nationales que le règlement européen laisse à la main des États (âge du consentement, données de santé, fichiers de police-justice, etc.). Elle ne concurrence pas le RGPD : elle le complète.

Quelle est la différence entre la loi Informatique et Libertés et le RGPD ?

Le RGPD est un règlement européen d’application directe, qui prime sur le droit national et pose l’essentiel des règles. La loi Informatique et Libertés est le texte français : elle renvoie au RGPD pour le socle des obligations et n’ajoute que les spécificités nationales autorisées par le règlement. En cas de contradiction, le RGPD l’emporte.

La loi Informatique et Libertés s’applique-t-elle aux petites structures ?

Oui, sans seuil d’effectif ni de chiffre d’affaires. Une association, un cabinet, une TPE qui traite des données personnelles (fichier de membres, de clients, de salariés) est soumise à la loi et au RGPD. Les obligations sont modulées selon le risque, mais aucune organisation n’en est dispensée du seul fait de sa taille.

Qui contrôle l’application de la loi ?

La CNIL, autorité administrative indépendante créée par la loi de 1978 elle-même. Elle informe, conseille, contrôle, instruit les plaintes et sanctionne. Ses pouvoirs de sanction ont été fortement renforcés par le RGPD.

À quel âge un mineur peut-il consentir seul en ligne en France ?

À 15 ans. Le RGPD laissait aux États le choix d’un âge compris entre 13 et 16 ans ; la loi française a fixé ce seuil à 15 ans. Pour un mineur de moins de 15 ans, le consentement du titulaire de l’autorité parentale est requis pour l’inscription à un service en ligne.

Faut-il encore déclarer ses fichiers à la CNIL ?

Non. Le régime de déclaration préalable, caractéristique de l’ancienne loi, a disparu avec le RGPD au profit d’une logique de responsabilité (accountability) : l’organisation n’a plus à déclarer, mais doit être en mesure de démontrer sa conformité à tout moment. Seuls quelques traitements spécifiques (certains fichiers régaliens) restent soumis à des formalités particulières.

En résumé

La loi Informatique et Libertés est le socle historique — et toujours vivant — de la protection des données en France. Après la réforme de 2018-2019, elle joue le rôle de complément national du RGPD : elle en applique les règles et y ajoute les spécificités françaises. Se conformer à la loi, c’est donc déployer une démarche RGPD rigoureuse, sans oublier les quelques exigences propres au droit français que le règlement européen a expressément laissées à la main des États.