Loi Informatique et Libertés et cadre national français (rôle de la CNIL, décrets, doctrine)
Ce domaine teste la connaissance du droit français résiduel : ce que la loi du 6 janvier 1978 conserve de spécifique après la réécriture opérée par la loi n° 2018-493 du 20 juin 2018 et l'ordonnance n° 2018-1125 du 12 décembre 2018, ainsi que le rôle réel de la CNIL.
Ce qui reste national
La loi Informatique et Libertés (LIL) applique les marges de manœuvre laissées par le RGPD : NIR (art. 27 et son décret), données de santé (art. 65-66 : hébergement chez un hébergeur certifié HDS), recherche (méthodologies de référence ou autorisation), prospection et cookies (art. 82), et surtout les traitements relevant de la responsabilité de l'État - police administrative et judiciaire, sûreté de l'État, défense - régis par le titre III. La partie réglementaire est codifiée par le décret n° 2019-536 du 29 mai 2019.
La CNIL
Autorité administrative indépendante, elle informe, accompagne, autorise (recherche, NIR), contrôle (sur place, sur invitation, à distance), met en demeure, prononce des injonctions sous astreinte, des limitations ou interdictions de traitement, des amendes et la publicité des sanctions. Les plafonds du RGPD (20 M€ ou 4 % du chiffre d'affaires mondial) ne couvrent pas les manquements aux seules dispositions nationales, soumis à un plafond distinct (10 M€ ou 2 %).
La doctrine
Lignes directrices, recommandations, référentiels et réponses aux questions fréquentes ne sont pas des règlements, mais elles orientent le contrôle et le juge ; un écart non justifié est un risque de sanction.
Exemple raisonné
Une mutuelle veut utiliser le NIR comme identifiant de ses adhérents. Raisonnement : le RGPD ne traite pas du NIR ; il faut se placer sur l'article 27 de la LIL, vérifier le décret d'application, la finalité et les garanties, puis la doctrine CNIL ; l'intérêt légitime seul ne suffit pas.
Pièges à éviter
- Répondre uniquement « RGPD » à une question sur le NIR ou la recherche en santé.
- Confondre les plafonds de sanction européens et nationaux.
- Présenter la doctrine CNIL comme dépourvue de tout effet.