RGPD en France : loi Informatique et Libertés, CNIL et vos droits

L'idée que le RGPD serait une réglementation uniquement européenne, déconnectée du droit français, est trompeuse. En France, la protection des données personnelles repose sur un texte national ancien et robuste : la loi n° 78-17 du 6 janvier 1978, dite loi Informatique et Libertés, qui a été profondément remaniée en 2018 et 2019 pour intégrer le Règlement général sur la protection des données. C'est cette loi française, et non le seul règlement européen, qui organise le contrôle, les sanctions et l'exercice concret des droits sur le territoire.

Cette page présente l'application française du RGPD : le rôle de la Commission nationale de l'informatique et des libertés, la CNIL, la manière dont une personne exerce ses droits et dépose plainte, et les développements français récents de 2024 et 2025. Pour le contenu du règlement européen lui-même, définitions, principes et bases légales, consultez notre présentation des lois sur la protection des données dans le monde, afin d'éviter les redites.

Information last verified on 22 July 2026. This page presents general legal information, not legal advice.

La loi Informatique et Libertés : le RGPD appliqué en France

La loi n° 78-17 du 6 janvier 1978 est l'une des plus anciennes lois de protection des données au monde. Elle a créé la CNIL et pose le principe que l'informatique doit rester au service de chaque citoyen et ne porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée.

Depuis l'entrée en application du RGPD le 25 mai 2018, la loi a été réécrite pour servir de texte d'application national. Elle précise les points que le règlement laisse à l'appréciation de chaque État membre, par exemple l'âge du consentement des mineurs, le régime de certains traitements sensibles ou les traitements intéressant la sûreté de l'État.

Concrètement, un responsable de traitement établi en France doit respecter à la fois le RGPD et la loi 78-17. Les deux textes se lisent ensemble : le règlement fixe le cadre commun européen, la loi française en assure la mise en œuvre et confie la surveillance à la CNIL.

La CNIL : une autorité de contrôle, pas un tribunal

La CNIL est l'autorité administrative indépendante chargée de veiller au respect de la réglementation. Elle informe les particuliers et les professionnels, instruit les plaintes, mène des contrôles sur pièces et sur place, et dispose d'un pouvoir de sanction exercé par une formation restreinte.

Il faut comprendre ce que la CNIL peut faire et ce qu'elle ne peut pas faire. Elle peut prononcer un rappel à l'ordre, une mise en demeure de se mettre en conformité, une injonction sous astreinte, une limitation ou une interdiction de traitement, et une amende administrative. Ces mesures visent à corriger le comportement de l'organisme et à protéger l'ensemble des personnes concernées.

En revanche, la CNIL ne tranche pas un litige entre deux personnes et n'accorde aucune indemnisation individuelle. C'est le point le plus souvent mal compris. Une amende prononcée par la CNIL est versée au Trésor public, c'est-à-dire à l'État, et non à la personne qui a subi le manquement.

Les plafonds sont élevés. Pour les manquements les plus graves, l'amende peut atteindre 20 millions d'euros ou 4 pour cent du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu. Pour les manquements de niveau inférieur, le plafond est de 10 millions d'euros ou 2 pour cent du chiffre d'affaires mondial. À titre d'ordre de grandeur, le montant cumulé des sanctions publiques prononcées par la CNIL en 2025 s'est élevé à plusieurs centaines de millions d'euros, tous sujets confondus, ce qui recouvre des domaines très divers et non la seule surveillance.

Obtenir réparation : le rôle du juge civil

Si un manquement au RGPD vous a causé un préjudice, matériel ou moral, la voie de l'indemnisation n'est pas la CNIL mais la justice civile. L'article 82 du RGPD ouvre à toute personne le droit d'obtenir réparation du responsable de traitement ou du sous-traitant pour le dommage subi.

Il faut donc distinguer deux logiques. La plainte à la CNIL vise à faire cesser et sanctionner un manquement dans l'intérêt général. L'action devant le juge civil vise à réparer votre préjudice personnel par des dommages et intérêts. Les deux démarches sont indépendantes et peuvent être menées en parallèle.

Une décision de sanction de la CNIL peut d'ailleurs servir d'élément au soutien d'une action civile, puisqu'elle établit publiquement l'existence du manquement, mais elle ne remplace pas la saisine du tribunal. C'est une distinction essentielle à garder en tête avant d'engager une démarche.

Exercer ses droits et déposer une plainte

Le RGPD et la loi 78-17 reconnaissent à chacun un ensemble de droits : le droit d'accès, le droit de rectification, le droit à l'effacement, le droit d'opposition, le droit à la limitation du traitement et, dans certains cas, le droit à la portabilité des données.

La première étape est toujours de s'adresser directement à l'organisme concerné. La demande peut se faire par courrier ou par voie électronique, en indiquant clairement le droit invoqué. L'organisme doit répondre en principe dans un délai d'un mois. Lorsqu'un délégué à la protection des données a été désigné, il est votre interlocuteur privilégié.

Si l'organisme ne répond pas ou refuse sans motif valable, vous pouvez saisir la CNIL. La plainte se dépose en ligne, gratuitement, via le service dédié du site de la CNIL. Notre guide sur la plainte auprès de la CNIL détaille la procédure étape par étape et les pièces à joindre.

Développements français récents : 2024 et 2025

Deux évolutions marquent la période récente. D'abord, la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, dite loi SREN, a élargi les missions de la CNIL et l'a inscrite dans un écosystème de régulation aligné sur les règlements européens sur les services et les marchés numériques. La CNIL y reçoit notamment un rôle en matière d'altruisme des données et de vérification de l'âge en ligne.

Ensuite, la CNIL a fait de l'intelligence artificielle une priorité. Après une première série de recommandations et une consultation publique, elle a publié le 22 juillet 2025 ses recommandations finales sur le développement des systèmes d'intelligence artificielle dans le respect du RGPD. Elle y précise les conditions d'utilisation de la base légale de l'intérêt légitime et, en particulier, les garanties à mettre en place lorsque les données d'entraînement sont collectées par moissonnage, ou web scraping.

Ces textes ne créent pas de nouvelle loi mais éclairent la manière dont la CNIL appliquera le cadre existant aux traitements d'IA. Pour les entreprises comme pour les particuliers, ils indiquent les points sur lesquels le contrôle se concentrera. La surveillance au travail, la vidéo et la géolocalisation restent par ailleurs des sujets prioritaires : voir notre page sur la surveillance des salariés et sur la vidéosurveillance.

Pour une vue d'ensemble du dispositif français, notre pôle droit de la vie privée en France regroupe les ressources sur la protection des données, la CNIL et les droits des personnes.