Texte consolidé · Décret

Décret n° 2018-687 du 1er août 2018 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles

Texte en vigueur, version consolidée au 5 novembre 2026.

Versions du texte

Version consolidée (en vigueur)Texte d'origine, publié au JO le 3 août 2018

NatureDécret

Signé le1er août 2018

Publié le3 août 2018

Articles33 articles en vigueur

NORJUSC1815709D

IdentifiantLEGITEXT000037278734

Référence

Décret n° 2018-687 du 1er août 2018 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, version consolidée au 5 novembre 2026

Légifrance →

Public concerné : citoyens, entreprises, administrations, collectivités territoriales, personnes morales de droit privé collaborant au service public de la justice, membres et agents de la Commission nationale de l'informatique et des libertés. Objet : mesures d'application de loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction résultant de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles, et mise en conformité du décret n° 2005-1309 du 20 octobre 2005 au règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Entrée en vigueur : le texte entre en vigueur le lendemain de sa publication. Notice : le décret contient les mesures d'application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, dans sa rédaction résultant de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles. Il modifie le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, pour le mettre en conformité avec le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données. Il contient plusieurs mesures d'application de la loi n° 2018-493 du 20 juin 2018. Il définit les conditions dans lesquelles, soit la Commission nationale de l'informatique et des libertés soit l'organisme national d'accréditation mentionné au b du 1 de l'article 43 du règlement (UE) 2016/679, agrée les organismes certificateurs aux fins de reconnaître qu'ils se conforment au règlement (UE) 2016/679 et à la loi du 6 janvier 1978. Il fixe les conditions et limites dans lesquelles le président de la Commission nationale de l'informatique et des libertés et le vice-président délégué peuvent déléguer leur signature. Il précise la composition du comité d'audit du système national des données de santé prévu à l'article 65 de la loi du 6 janvier 1978, ses règles de fonctionnement et les modalités de l'audit. Il détermine les conditions dans lesquelles les membres et agents de la commission amenés à réaliser des opérations en ligne nécessaires à leur mission sous une identité d'emprunt procèdent à leurs constations. Il définit la procédure d'urgence contradictoire appliquée par la formation restreinte saisie par le président de la Commission nationale de l'informatique et des libertés. Il détermine les conditions et les garanties selon lesquelles il peut être dérogé en tout ou partie aux droits prévus aux articles 15, 16, 18 et 21 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 en matière de traitements à des fins de recherche scientifique ou historique ou à des fins statistiques. Il précise les conditions d'application de l'article 49-3 de loi du 6 janvier 1978, relatif au traitement transfrontalier au sein de l'Union européenne. Il fixe la liste des catégories de personnes morales de droit privé collaborant au service public de la justice autorisées à mettre en œuvre des traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes. Il fixe la liste des traitements et des catégories de traitements autorisés à déroger au droit à la communication d'une violation de données régi par l'article 34 du règlement (UE) 2016/679 lorsque la notification d'une divulgation ou d'un accès non autorisé à ces données est susceptible de représenter un risque pour la sécurité nationale, la défense nationale ou la sécurité publique. Le décret achève la transposition de la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données. Il précise notamment le contenu de l'analyse d'impact effectuée préalablement à la mise en œuvre d'un traitement, le contenu du contrat ou de l'acte juridique liant le sous-traitant à l'égard du responsable du traitement ainsi que les règles applicables aux responsables conjoints du traitement. Il procède aux coordinations nécessaires, notamment dans le code de procédure pénale pour les fichiers de police judiciaire, particulièrement pour le traitement d'antécédents judiciaires, ainsi que dans le code pénal, pour les contraventions d'atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques. Enfin, il prévoit que la Commission nationale de l'informatique et des libertés transmet aux responsables de traitement l'ensemble des demandes tendant à la mise en œuvre des droits d'accès indirect, de rectification et d'effacement prévus par le chapitre XIII de la loi du 6 janvier 1978 qui lui ont été adressées avant l'entrée en vigueur du présent décret. Références : le décret est pris en application de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles. Il peut être consulté sur le site Légifrance (http://www.legifrance.gouv.fr). Le Premier ministre,

Sur le rapport de la garde des sceaux, ministre de la justice,

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;

Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d'enquêtes et de poursuites en la matière ou d'exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;

Vu le code de l'action sociale et des familles ;

Vu le code de la défense ;

Vu le code de justice administrative ;

Vu le code de l'organisation judiciaire ;

Vu le code du patrimoine ;

Vu le code pénal ;

Vu le code de procédure pénale ;

Vu le code des relations entre le public et l'administration ;

Vu le code de la santé publique ;

Vu le code de la sécurité intérieure ;

Vu la loi du 29 juillet 1881 sur la liberté de la presse ;

Vu la loi n° 51-711 du 7 juin 1951 sur l'obligation, la coordination et le secret en matière de statistiques ;

Vu la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifiée en dernier lieu par la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles ;

Vu la loi n° 2009-1436 du 24 novembre 2009 pénitentiaire, modifiée ;

Vu l'ordonnance n° 45-174 du 2 février 1945 relative à l'enfance délinquante, modifiée ;

Vu le décret n° 2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, modifié ;

Vu le décret n° 2006-781 du 3 juillet 2006 fixant les conditions et les modalités de règlement des frais occasionnés par les déplacements temporaires des personnels civils de l'Etat ;

Vu le décret n° 2016-1930 du 28 décembre 2016 portant simplification des formalités préalables relatives à des traitements à finalité statistique ou de recherche ;

Vu la délibération n° 2018-284 du 21 juin 2018 portant avis de la Commission nationale de l'informatique et des libertés ;

Vu l'avis du Conseil national d'évaluation des normes en date du 5 juillet 2018 ;

Le Conseil d'Etat (section de l'intérieur) entendu,

Décrète :

Titre IER : DISPOSITIONS PORTANT MODIFICATIONS DU DÉCRET N° 2005-1309 DU 20 OCTOBRE 2005

Article 1 LEGIARTI000037278768

1. Le décret du 20 octobre 2005 susvisé est modifié conformément aux dispositions des articles 2 à 27 du présent décret.

Article 2 LEGIARTI000037278770

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 3

Article 3 LEGIARTI000037278772

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 4

Article 4 LEGIARTI000037278802

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 4-1

Article 5 LEGIARTI000037278818

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 6

Article 6 LEGIARTI000037278804

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 6-1

Article 7 LEGIARTI000037278806

A créé :

Décret n° 2005-1309 du 20 octobre 2005 : art. 6-2, art. 6-3, art. 6-4, art. 6-5, art. 6-6, art. 6-7, art. 6-8, art. 6-9

Article 8 LEGIARTI000037278820

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 7

Article 9 LEGIARTI000037278808

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 8

Article 10 LEGIARTI000037278810

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 9

Article 11 LEGIARTI000037278822

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 10

Article 12 LEGIARTI000037278812

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 11

Article 13 LEGIARTI000037278824

A abrogé :

Décret n° 2005-1309 du 20 octobre 2005 : art. 12, art. 12-1, art. 13, art. 14
Divisions : Chapitre II : Les déclarations.

Article 14 LEGIARTI000037278814

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 15

Article 15 LEGIARTI000037278826

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 17

Article 16 LEGIARTI000037278828

1. L'article 19 est abrogé.

Article 17 LEGIARTI000037278816

A abrogé :

Décret n° 2005-1309 du 20 octobre 2005 : art. 34-3, art. 34-4, art. 35

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 36, art. 37, art. 38, art. 40, art. 19, art. 20, art. 21, art. 22, art. 23, art. 24, art. 25, art. 26, art. 27, art. 28, art. 29, art. 30, art. 31, art. 32, art. 33, art. 34, art. 34-2
Divisions : Section 4 : Modalités d'information des personnes intéressées. ; Chapitre IV : Dispositions particulières relatives aux traitements de données à caractère personnel dans le domaine de la santé ; Sous-section 1 : Présentation et instruction des demandes d'autorisations de traitements ; Sous-section 2 : Composition et fonctionnement du comité d'expertise pour les recherches, les études et les évaluations dans le domaine de la Santé (CEREES) ; Sous-section 4 : Composition et fonctionnement des comités de protection des personnes (CPP) ; Section 3 : Procédures simplifiées

A créé :

Décret n° 2005-1309 du 20 octobre 2005 : art. 32-1, art. 32-2, art. 32-3, art. 32-4, art. 32-5, art. 32-6, art. 19-1
Divisions : Sous-section 3 : Composition et fonctionnement du comité d'audit du système national des données de santé ; Section 2 : Dispositions particulières relatives aux demandes d'autorisation de traitements de données à caractère personnel ayant pour fin la recherche, les études et les évaluations dans le domaine de la santé ; Section 1 : Dispositions communes relatives aux demandes d'autorisation

Article 18 LEGIARTI000037278830

A abrogé :

Décret n° 2005-1309 du 20 octobre 2005 : art. 41-1
Divisions : Chapitre VI : Dispositions particulières relatives aux demandes d'autorisation de traitements de données à caractère personnel à des fins autres qu'historiques, statistiques ou scientifiques et dont la durée de conservation excède la durée initiale du traitement

Article 19 LEGIARTI000037278774

A abrogé :

Décret n° 2005-1309 du 20 octobre 2005 : art. 45, art. 46, art. 47, art. 48, art. 49, art. 50, art. 51, art. 52, art. 53, art. 54, art. 55, art. 56
Divisions : Chapitre Ier : Du correspondant à la protection des données à caractère personnel. ; Chapitre II : Du correspondant à la protection des données appartenant à un organisme de presse écrite ou audiovisuelle.

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 42, art. 43, art. 44
Divisions : TITRE III : DES DÉLÉGUÉS À LA PROTECTION DES DONNÉES

Article 20 LEGIARTI000037278776

A créé :

Décret n° 2005-1309 du 20 octobre 2005 Sct. Section 4 : Le contrôle en ligne , Art. 65-1
Décret n° 2005-1309 du 20 octobre 2005 Sct. Section 2 : L'habilitation des membres et agents des autres autorités de contrôle des Etats membres de l'Union européenne , Art. 60-1, Art. 60-2, Art. 60-3

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 57, art. 62, art. 62-1, art. 63, art. 64, art. 66, art. 67, art. 68
Divisions : Section 3 : Le contrôle sur place. ; Section 5 : L'audition sur convocation. ; Section 6 : Le recours à des experts. ; Section 7 : Secret professionnel.

Article 21 LEGIARTI000037278778

A créé :

Décret n° 2005-1309 du 20 octobre 2005 Sct. Section 5 : Coopération et assistance , Sct. Sous-section 1 : Dispositions communes , Art. 81-1, Art. 81-2, Art. 81-3, Sct. Sous-section 2 : Avertissement et mise en demeure , Art. 81-4, Art. 81-5, Sct. Sous-section 3 : Formation restreinte , Art. 81-6, Art. 81-7, Art. 81-8, Art. 81-9, Sct. Sous-section 4 : La Commission nationale de l'informatique et des libertés en tant qu'autorité de contrôle concernée , Art. 81-10, Sct. Sous-section 5 : Procédure en cas de circonstances exceptionnelles , Art. 82-1, Art. 82-2
Décret n° 2005-1309 du 20 octobre 2005 : art. 78-1

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 73, art. 74, art. 75, art. 76, art. 77, art. 78, art. 79, art. 80, art. 81, art. 82
Divisions : Chapitre II : Mesures et sanctions

Article 22 LEGIARTI000037278780

A abrogé :

Décret n° 2005-1309 du 20 octobre 2005 : art. 87-1

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 84, art. 86, art. 87, art. 89

Article 23 LEGIARTI000037278782

A créé :

Décret n° 2005-1309 du 20 octobre 2005 Sct. Section 5 : Garanties et dérogations applicables au traitement à des fins de recherche scientifique ou historique ou à des fins statistiques , Art. 100-1

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 91-1, art. 92, art. 93, art. 94, art. 95, art. 96
Divisions : TITRE VI : DES OBLIGATIONS INCOMBANT AUX RESPONSABLES DE TRAITEMENTS ET AUX SOUS-TRAITANTS ET DES DROITS DES PERSONNES ; Chapitre Ier : L'obligation d'information incombant aux responsables de traitements et aux sous-traitants

Article 24 LEGIARTI000037278784

A abrogé :

Décret n° 2005-1309 du 20 octobre 2005 : art. 105, art. 106, art. 107, art. 108, art. 109
Divisions : Chapitre Ier : Formalités préalables incombant aux responsables de traitements envisageant un transfert de données à caractère personnel ; Chapitre II : Informations des responsables de traitements, du public et des autorités européennes

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 101, art. 102, art. 103, art. 104
Divisions : TITRE VII : DES TRANSFERTS DE DONNÉES À CARACTÈRE PERSONNEL VERS LES ÉTATS N'APPARTENANT PAS A L'UNION EUROPÉENNE

Article 25 LEGIARTI000037278786

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 110
Divisions : TITRE VIII : DISPOSITIONS APPLICABLES AUX TRAITEMENTS RELEVANT DU CHAPITRE XIII DE LA LOI DU 6 JANVIER 1978

A créé :

Décret n° 2005-1309 du 20 octobre 2005 Sct. Chapitre Ier : Dispositions générales , Art. 110-1, Art. 110-2, Art. 110-3, Sct. Chapitre II : Droits de la personne concernée , Art. 110-4, Art. 110-5, Art. 110-6, Sct. Chapitre III : De la coopération , Art. 110-7

Article 26 LEGIARTI000037278788

A modifié :

Décret n° 2005-1309 du 20 octobre 2005 : art. 41
Divisions : Chapitre V : Dispositions particulières relatives aux traitements de données à caractère personnel relatives aux condamnations pénales, aux infractions ou aux mesures de sûreté connexes

Article 27 LEGIARTI000037278790

A créé :

Décret n° 2005-1309 du 20 octobre 2005 : art. 91-2-1

Titre II : DISPOSITIONS DIVERSES ET FINALES

Article 28 LEGIARTI000037278792

A modifié :

Code de procédure pénale : art. R40-30, art. R40-31, art. R40-32, art. R40-33, art. R57-9-24

Article 29 LEGIARTI000037278794

A modifié :

Code pénal : art. R625-10, art. R625-11, art. R625-12

Article 30 LEGIARTI000037278796

A modifié :

Code de l'organisation judiciaire : art. R213-5
Code de justice administrative : art. R555-1

Article 31 LEGIARTI000037278798

A modifié :

Décret n°2016-1930 du 28 décembre 2016 : art. 1, art. 5, art. 7, art. 9

Article 32 LEGIARTI000037278832

1. La Commission nationale de l'informatique et des libertés transmet sans délai aux responsables de traitement l'ensemble des demandes tendant à la mise en œuvre des droits d'accès, de rectification ou d'effacement prévus par la section 3 du chapitre XIII de la loi du 6 janvier 1978 susvisée qui lui ont été adressées avant l'entrée en vigueur du présent décret. Le délai de réponse du responsable du traitement mentionné à l'article 110-5 du décret du 20 octobre 2005 susvisé court à compter de la réception de la demande transmise par la commission.

Article 33 LEGIARTI000037278800

1. Le ministre d'Etat, ministre de l'intérieur, la garde des sceaux, ministre de la justice, la ministre des armées, la ministre des solidarités et de la santé et la ministre de la culture sont chargés, chacun en ce qui le concerne, de l'exécution du présent décret, qui sera publié au Journal officiel de la République française.

Fait le 1er août 2018.

Edouard Philippe

Par le Premier ministre :

La garde des sceaux, ministre de la justice, Nicole Belloubet Le ministre d'Etat, ministre de l'intérieur, Gérard Collomb La ministre des armées, Florence Parly La ministre des solidarités et de la santé, Agnès Buzyn La ministre de la culture, Françoise Nyssen