RGPD en France : loi Informatique et Libertés, CNIL et vos droits

L'idée que le RGPD serait une réglementation uniquement européenne, déconnectée du droit français, est trompeuse. En France, la protection des données personnelles repose sur un texte national ancien et robuste : la loi n° 78-17 du 6 janvier 1978, dite loi Informatique et Libertés, qui a été profondément remaniée en 2018 et 2019 pour intégrer le Règlement général sur la protection des données. C'est cette loi française, et non le seul règlement européen, qui organise le contrôle, les sanctions et l'exercice concret des droits sur le territoire.

Cette page présente l'application française du RGPD : le rôle de la Commission nationale de l'informatique et des libertés, la CNIL, la manière dont une personne exerce ses droits et dépose plainte, et les développements français récents de 2024 et 2025. Pour le contenu du règlement européen lui-même, définitions, principes et bases légales, consultez notre présentation des lois sur la protection des données dans le monde, afin d'éviter les redites.

Information last verified on 22 July 2026. This page presents general legal information, not legal advice.

La loi Informatique et Libertés : le RGPD appliqué en France

La loi n° 78-17 du 6 janvier 1978 est l'une des plus anciennes lois de protection des données au monde. Elle a créé la CNIL et pose le principe que l'informatique doit rester au service de chaque citoyen et ne porter atteinte ni à l'identité humaine, ni aux droits de l'homme, ni à la vie privée.

Depuis l'entrée en application du RGPD le 25 mai 2018, la loi a été réécrite pour servir de texte d'application national. Elle précise les points que le règlement laisse à l'appréciation de chaque État membre, par exemple l'âge du consentement des mineurs, le régime de certains traitements sensibles ou les traitements intéressant la sûreté de l'État.

Concrètement, un responsable de traitement établi en France doit respecter à la fois le RGPD et la loi 78-17. Les deux textes se lisent ensemble : le règlement fixe le cadre commun européen, la loi française en assure la mise en œuvre et confie la surveillance à la CNIL.

La CNIL : une autorité de contrôle, pas un tribunal

La CNIL est l'autorité administrative indépendante chargée de veiller au respect de la réglementation. Elle informe les particuliers et les professionnels, instruit les plaintes, mène des contrôles sur pièces et sur place, et dispose d'un pouvoir de sanction exercé par une formation restreinte.

Il faut comprendre ce que la CNIL peut faire et ce qu'elle ne peut pas faire. Elle peut prononcer un rappel à l'ordre, une mise en demeure de se mettre en conformité, une injonction sous astreinte, une limitation ou une interdiction de traitement, et une amende administrative. Ces mesures visent à corriger le comportement de l'organisme et à protéger l'ensemble des personnes concernées.

En revanche, la CNIL ne tranche pas un litige entre deux personnes et n'accorde aucune indemnisation individuelle. C'est le point le plus souvent mal compris. Une amende prononcée par la CNIL est versée au Trésor public, c'est-à-dire à l'État, et non à la personne qui a subi le manquement.

Les plafonds sont élevés. Pour les manquements les plus graves, l'amende peut atteindre 20 millions d'euros ou 4 pour cent du chiffre d'affaires annuel mondial de l'entreprise, le montant le plus élevé étant retenu. Pour les manquements de niveau inférieur, le plafond est de 10 millions d'euros ou 2 pour cent du chiffre d'affaires mondial. À titre d'ordre de grandeur, le montant cumulé des sanctions publiques prononcées par la CNIL en 2025 s'est élevé à plusieurs centaines de millions d'euros, tous sujets confondus, ce qui recouvre des domaines très divers et non la seule surveillance.

Obtenir réparation : le rôle du juge civil

Si un manquement au RGPD vous a causé un préjudice, matériel ou moral, la voie de l'indemnisation n'est pas la CNIL mais la justice civile. L'article 82 du RGPD ouvre à toute personne le droit d'obtenir réparation du responsable de traitement ou du sous-traitant pour le dommage subi.

Il faut donc distinguer deux logiques. La plainte à la CNIL vise à faire cesser et sanctionner un manquement dans l'intérêt général. L'action devant le juge civil vise à réparer votre préjudice personnel par des dommages et intérêts. Les deux démarches sont indépendantes et peuvent être menées en parallèle.

Une décision de sanction de la CNIL peut d'ailleurs servir d'élément au soutien d'une action civile, puisqu'elle établit publiquement l'existence du manquement, mais elle ne remplace pas la saisine du tribunal. C'est une distinction essentielle à garder en tête avant d'engager une démarche.

Exercer ses droits et déposer une plainte

Le RGPD et la loi 78-17 reconnaissent à chacun un ensemble de droits : le droit d'accès, le droit de rectification, le droit à l'effacement, le droit d'opposition, le droit à la limitation du traitement et, dans certains cas, le droit à la portabilité des données.

La première étape est toujours de s'adresser directement à l'organisme concerné. La demande peut se faire par courrier ou par voie électronique, en indiquant clairement le droit invoqué. L'organisme doit répondre en principe dans un délai d'un mois. Lorsqu'un délégué à la protection des données a été désigné, il est votre interlocuteur privilégié.

Si l'organisme ne répond pas ou refuse sans motif valable, vous pouvez saisir la CNIL. La plainte se dépose en ligne, gratuitement, via le service dédié du site de la CNIL. Notre guide sur la plainte auprès de la CNIL détaille la procédure étape par étape et les pièces à joindre.

Développements français récents : 2024 et 2025

Deux évolutions marquent la période récente. D'abord, la loi n° 2024-449 du 21 mai 2024 visant à sécuriser et à réguler l'espace numérique, dite loi SREN, a élargi les missions de la CNIL et l'a inscrite dans un écosystème de régulation aligné sur les règlements européens sur les services et les marchés numériques. La CNIL y reçoit notamment un rôle en matière d'altruisme des données et de vérification de l'âge en ligne.

Ensuite, la CNIL a fait de l'intelligence artificielle une priorité. Après une première série de recommandations et une consultation publique, elle a publié le 22 juillet 2025 ses recommandations finales sur le développement des systèmes d'intelligence artificielle dans le respect du RGPD. Elle y précise les conditions d'utilisation de la base légale de l'intérêt légitime et, en particulier, les garanties à mettre en place lorsque les données d'entraînement sont collectées par moissonnage, ou web scraping.

Ces textes ne créent pas de nouvelle loi mais éclairent la manière dont la CNIL appliquera le cadre existant aux traitements d'IA. Pour les entreprises comme pour les particuliers, ils indiquent les points sur lesquels le contrôle se concentrera. La surveillance au travail, la vidéo et la géolocalisation restent par ailleurs des sujets prioritaires : voir notre page sur la surveillance des salariés et sur la vidéosurveillance.

Pour une vue d'ensemble du dispositif français, notre pôle droit de la vie privée en France regroupe les ressources sur la protection des données, la CNIL et les droits des personnes.

Questions fréquentes

Le RGPD et la loi Informatique et Libertés sont-ils la même chose ?

Non, mais ils fonctionnent ensemble. Le RGPD est le règlement européen directement applicable dans tous les États membres. La loi n° 78-17 du 6 janvier 1978, dite loi Informatique et Libertés, est le texte français qui met en œuvre le RGPD au niveau national, précise certaines règles laissées à la main des États et désigne la CNIL comme autorité de contrôle. Pour comprendre le contenu du règlement lui-même, consultez notre présentation des lois européennes sur la protection des données.

La CNIL peut-elle m'indemniser si mes données ont été mal utilisées ?

Non. C'est l'idée fausse la plus répandue. La CNIL peut contrôler un organisme, le mettre en demeure, ordonner la mise en conformité et prononcer une amende administrative, mais cette amende est versée à l'État, pas à vous. Pour obtenir réparation d'un préjudice, il faut engager une action distincte devant le juge civil, sur le fondement de l'article 82 du RGPD et de la responsabilité civile. La plainte CNIL et l'action en dommages et intérêts sont deux démarches séparées que l'on peut mener en parallèle.

Combien peut coûter une amende de la CNIL à une entreprise ?

Le RGPD prévoit deux niveaux. Pour les manquements les plus graves, comme la violation des principes de base ou des droits des personnes, l'amende peut atteindre 20 millions d'euros ou 4 pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Pour les manquements de niveau inférieur, le plafond est de 10 millions d'euros ou 2 pour cent du chiffre d'affaires mondial. La CNIL module le montant selon la gravité, la durée et le caractère intentionnel du manquement.

Comment exercer mes droits sur mes données personnelles en France ?

Adressez d'abord votre demande à l'organisme qui détient vos données, en précisant le droit invoqué, par exemple l'accès, la rectification, l'effacement ou l'opposition. L'organisme dispose en principe d'un mois pour répondre. Si vous n'obtenez pas de réponse satisfaisante, vous pouvez saisir la CNIL par une plainte en ligne gratuite. Le délégué à la protection des données, lorsqu'il existe, est votre interlocuteur au sein de l'organisme.

Qu'a changé la CNIL en 2025 pour l'intelligence artificielle ?

La CNIL a publié le 22 juillet 2025 ses recommandations finales sur le développement des systèmes d'intelligence artificielle dans le respect du RGPD, après une consultation publique et des fiches diffusées en juin 2025. Elle précise notamment les conditions pour s'appuyer sur la base légale de l'intérêt légitime et les garanties à mettre en place en cas de collecte de données par moissonnage, ou web scraping. Ces textes ne modifient pas la loi mais indiquent comment la CNIL contrôlera ces pratiques.