4. Risques de malveillance 
4.1. Généralités 4.1.3. Informatique et libertés
4.1. Généralités 4.1.3. Informatique et libertés
Décret n° 2025-891 du 5 septembre 2025 modifiant le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
| Date de signature : | 05/09/2025 | Statut du texte : | En vigueur |
| Date de publication : | 06/09/2025 | Emetteur : | Ministère de la justice |
| Consolidée le : | Source : | JO du 6 septembre 2025 | |
| Date d'entrée en vigueur : | 07/09/2025 |
Décret n° 2025-891 du 5 septembre 2025 modifiant le décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
NOR : JUSC2513966D
Publics concernés : citoyens, entreprises, administrations, collectivités territoriales, personnes morales de droit privé collaborant au service public de la justice, membres et agents de la Commission nationale de l’informatique et des libertés.
Objet : le décret modifie le décret du 29 mai 2019. Il précise la procédure selon laquelle les fournisseurs de plateformes en ligne proposent des engagements au président de la commission, et comment ils sont acceptés ou rendus contraignants par celui-ci en application du règlement européen 2022/2065 sur les services numériques. Il précise également les modalités de la procédure contradictoire préalable à l’adoption d’une injonction provisoire par le président de la formation restreinte lorsque la formation restreinte a été saisie et que le manquement au règlement sur les services numériques est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Pour cette procédure, un délai adapté de 15 jours a été prévu pour son application en Polynésie française, en Nouvelle-Calédonie, à Wallis-et-Futuna et dans les Terres australes antarctiques françaises. Enfin, il adapte les règles relatives à plusieurs délégations de signature au sein de la commission nationale de l’informatique et des libertés et modifie le quorum requis pour la formation restreinte.
Entrée en vigueur : le texte entre en vigueur le lendemain de sa publication au Journal officiel de la République française.
Application : le présent décret est pris en application de l’article 51 du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/ CE (règlement sur les services numériques) », 59 de la loi n°2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, et 8, 9, 13, 16, 19, 20, 124-5 de la n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Le Premier ministre,
Sur le rapport du ministre d’État, garde des sceaux, ministre de la justice,
Décrète :
Art. 1er. – L’article 5 du décret du 29 mai 2019 susvisé est ainsi modifié :
1° Après le a du 1°, il est inséré un a bis ainsi rédigé : « a bis) Les mesures correctrices mentionnées au III de l’article 20 de la loi du 6 janvier 1978 susvisée ; » ;
2° Au premier alinéa du III, après les mots : « en application du », sont insérés les mots : « 1° a bis ».
Art. 2. – Au dernier alinéa de l’article 6 du décret du 29 mai 2019 susvisé, le mot : « quatre » est remplacé par le mot : « trois ».
Art. 3. – Au second alinéa de l’article 26 du décret du 29 mai 2019 susvisé, après les mots : « ordre de mission », sont insérés les mots : « signé par le secrétaire général ou par tout agent d’encadrement placé sous son autorité qu’il aura désigné, ».
Art. 4. – La section 3 du chapitre Ier du décret du 29 mai 2019 susvisé est ainsi modifiée :
1° La sous-section 2 devient la sous-section 3 ;
2° La sous-section 3 devient la sous-section 4 ;
3° La sous-section 4 devient la sous-section 5 ;
4° La sous-section 5 devient la sous-section 6 ;
5° Après l’article 38, il est inséré une sous-section 2 ainsi rédigée :
« Sous-section 2
« La procédure applicable aux engagements proposés par les fournisseurs de plateformes en ligne relevant du règlement 2022/2065 sur les services numériques (article 38-1)
« Art. 38-1. – Lorsque le fournisseur de plateformes en ligne propose des engagements au président de la commission en application du II de l’article 20 de la loi n°78-17 du 6 janvier 1978, il transmet ses propositions accompagnées d’une description détaillée de la nature et de la durée de ces engagements, d’une explication motivée de la manière dont ses engagements doivent permettre de garantir la conformité du service avec les obligations prévues à l’article 124-5 de la loi du 6 janvier 1978 susvisée, et du calendrier détaillé envisagé pour leur mise en œuvre et leur maintien.
« Le président de la commission peut exiger du fournisseur de plateformes en ligne tout document ou information nécessaire à l’examen de la proposition d’engagements.
« Lorsque le dossier est jugé complet, il est adressé au fournisseur de plateformes en ligne un accusé de réception conformément aux dispositions de l’article R. 112-5 du code des relations entre le public et l’administration.
« Le président de la commission statue sur la proposition dans un délai de quatre mois à compter de la réception d’une demande complète. Ce délai peut être prolongé de deux mois supplémentaires sur décision du président.
« Le silence gardé par le président de la commission à l’issue de ces délais vaut décision implicite de rejet.
« A l’issue de l’examen de la proposition, le président de la commission peut accepter les engagements. Il peut également décider de rendre tout ou partie de ces engagements contraignants pour une période déterminée, qui ne peut excéder la durée proposée par le fournisseur de plateformes en ligne.
« Dans le cas où le président de la commission n’accepte pas la proposition d’engagements, il en informe le fournisseur de plateforme en ligne en indiquant les motifs de ce refus.
« La décision du président de la commission est notifiée au fournisseur de plateformes en ligne par tout moyen permettant d’apporter la preuve de la date de cette notification. » ;
6° Après l’article 47-1, il est ajouté une nouvelle sous-section 7 ainsi rédigée :
« Sous-section 7
« La procédure d’injonction provisoire (articles 47-2 et 47-3)
« Art. 47-2. – Lorsqu’une injonction provisoire est susceptible d’être prononcée en application du deuxième alinéa du VI de l’article 20 de la loi du 6 janvier 1978 susvisée, le rapporteur désigné par le président de la commission en application de l’article 22 de cette même loi établit un nouveau rapport ou complète son rapport établi pour les besoins de la procédure. Le président de la formation restreinte statue sur la base de ce rapport.
« Le rapport est notifié au mis en cause par tout moyen permettant d’apporter la preuve de la date de cette notification. Il est également transmis au président de la formation restreinte.
« Le rapporteur peut proposer au président de la formation restreinte d’enjoindre au mis en cause de prendre toute mesure de nature à mettre fin au manquement et, s’il y a lieu, d’assortir son injonction d’une astreinte journalière. Le mis en cause dispose d’un délai de huit jours pour présenter ses observations. Aucune séance n’est organisée, à moins que le président de la formation restreinte ne le décide.
« Art. 47-3. – Le président de la formation restreinte fixe le délai d’exécution de l’injonction et, le cas échéant, le montant de l’astreinte journalière conformément au deuxième alinéa du VI de l’article 20 de la loi du 6 janvier 1978 susvisée.
« Le mis en cause transmet au président de la formation restreinte, au plus tard à la date fixée dans la décision de ce dernier, les éléments attestant qu’il s’est conformé à l’injonction prononcée à son encontre.
« Le secrétaire général informe la formation restreinte et le président de la commission des injonctions provisoires adoptées et, le cas échéant du montant de l’astreinte journalière.
« Les conditions dans lesquelles il est procédé à la clôture ou à la liquidation de l’astreinte sont celles définies à l’article 44 du présent décret. »
Art. 5. – A l’article 152 du décret du 29 mai 2019 susvisé, après les mots : « antarctiques françaises », sont insérés les mots : « , dans sa rédaction résultant du décret n°2025-891 du 5 septembre 2025, ».
Art. 6. – Le I de l’article 154 du décret du 29 mai 2019 susvisé est ainsi modifié :
1° Le 9° devient le 7° ;
2° Les 6°, 7° et 8° sont remplacés par les dispositions suivantes : « 6° Aux articles 46, 47, 47-2 et au deuxième alinéa de l’article 58, les mots : “huit jours” sont remplacés par les mots : “quinze jours” ; ».
Art. 7. – Les dispositions du présent décret sont applicables en Nouvelle-Calédonie, en Polynésie française, dans les îles Wallis et Futuna et dans les Terres australes et antarctiques françaises.
Art. 8. – Le présent décret entre en vigueur le lendemain de sa publication.
Art. 9. – Le ministre d’État, ministre des outre-mer, et le ministre d’État, garde des sceaux, ministre de la justice, sont chargés, chacun en ce qui le concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.
Fait le 5 septembre 2025.
Par le Premier ministre :
François Bayrou
Le ministre d’État, garde des sceaux, ministre de la justice,
Gérald Darmanin
Le ministre d’État, ministre des outre-mer,
Manuel Valls
Source Légifrance
NOR : JUSC2513966D
Publics concernés : citoyens, entreprises, administrations, collectivités territoriales, personnes morales de droit privé collaborant au service public de la justice, membres et agents de la Commission nationale de l’informatique et des libertés.
Objet : le décret modifie le décret du 29 mai 2019. Il précise la procédure selon laquelle les fournisseurs de plateformes en ligne proposent des engagements au président de la commission, et comment ils sont acceptés ou rendus contraignants par celui-ci en application du règlement européen 2022/2065 sur les services numériques. Il précise également les modalités de la procédure contradictoire préalable à l’adoption d’une injonction provisoire par le président de la formation restreinte lorsque la formation restreinte a été saisie et que le manquement au règlement sur les services numériques est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes physiques. Pour cette procédure, un délai adapté de 15 jours a été prévu pour son application en Polynésie française, en Nouvelle-Calédonie, à Wallis-et-Futuna et dans les Terres australes antarctiques françaises. Enfin, il adapte les règles relatives à plusieurs délégations de signature au sein de la commission nationale de l’informatique et des libertés et modifie le quorum requis pour la formation restreinte.
Entrée en vigueur : le texte entre en vigueur le lendemain de sa publication au Journal officiel de la République française.
Application : le présent décret est pris en application de l’article 51 du règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/ CE (règlement sur les services numériques) », 59 de la loi n°2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique, et 8, 9, 13, 16, 19, 20, 124-5 de la n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Le Premier ministre,
Sur le rapport du ministre d’État, garde des sceaux, ministre de la justice,
- Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
- Vu la directive (UE) 2016/680 du Parlement européen et du Conseil du 27 avril 2016 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel par les autorités compétentes à des fins de prévention et de détection des infractions pénales, d’enquêtes et de poursuites en la matière ou d’exécution de sanctions pénales, et à la libre circulation de ces données, et abrogeant la décision-cadre 2008/977/JAI du Conseil ;
- Vu le règlement (UE) 2022/2065 du Parlement européen et du Conseil du 19 octobre 2022 relatif à un marché unique des services numériques et modifiant la directive 2000/31/ CE ;
- Vu le code des relations entre le public et l’administration ;
- Vu la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
- Vu la loi n°2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes ;
- Vu la loi n°2024-449 du 21 mai 2024 visant à sécuriser et à réguler l’espace numérique ;
- Vu le décret n°2018-232 du 30 mars 2018 pris pour l’application à la Commission nationale de l’informatique et des libertés de la loi n°2017-55 du 20 janvier 2017 portant statut général des autorités administratives indépendantes et des autorités publiques indépendantes ;
- Vu le décret n°2019-536 du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés ;
- Vu la délibération n°2025-025 du 27 mars 2025 portant avis de la Commission nationale de l’informatique et des libertés ;
- Vu l’avis du gouvernement de la Nouvelle-Calédonie en date du 23 juillet 2025 ;
- Vu l’avis du gouvernement de la Polynésie française en date du 30 juillet 2025 ;
Décrète :
Art. 1er. – L’article 5 du décret du 29 mai 2019 susvisé est ainsi modifié :
1° Après le a du 1°, il est inséré un a bis ainsi rédigé : « a bis) Les mesures correctrices mentionnées au III de l’article 20 de la loi du 6 janvier 1978 susvisée ; » ;
2° Au premier alinéa du III, après les mots : « en application du », sont insérés les mots : « 1° a bis ».
Art. 2. – Au dernier alinéa de l’article 6 du décret du 29 mai 2019 susvisé, le mot : « quatre » est remplacé par le mot : « trois ».
Art. 3. – Au second alinéa de l’article 26 du décret du 29 mai 2019 susvisé, après les mots : « ordre de mission », sont insérés les mots : « signé par le secrétaire général ou par tout agent d’encadrement placé sous son autorité qu’il aura désigné, ».
Art. 4. – La section 3 du chapitre Ier du décret du 29 mai 2019 susvisé est ainsi modifiée :
1° La sous-section 2 devient la sous-section 3 ;
2° La sous-section 3 devient la sous-section 4 ;
3° La sous-section 4 devient la sous-section 5 ;
4° La sous-section 5 devient la sous-section 6 ;
5° Après l’article 38, il est inséré une sous-section 2 ainsi rédigée :
« Sous-section 2
« La procédure applicable aux engagements proposés par les fournisseurs de plateformes en ligne relevant du règlement 2022/2065 sur les services numériques (article 38-1)
« Art. 38-1. – Lorsque le fournisseur de plateformes en ligne propose des engagements au président de la commission en application du II de l’article 20 de la loi n°78-17 du 6 janvier 1978, il transmet ses propositions accompagnées d’une description détaillée de la nature et de la durée de ces engagements, d’une explication motivée de la manière dont ses engagements doivent permettre de garantir la conformité du service avec les obligations prévues à l’article 124-5 de la loi du 6 janvier 1978 susvisée, et du calendrier détaillé envisagé pour leur mise en œuvre et leur maintien.
« Le président de la commission peut exiger du fournisseur de plateformes en ligne tout document ou information nécessaire à l’examen de la proposition d’engagements.
« Lorsque le dossier est jugé complet, il est adressé au fournisseur de plateformes en ligne un accusé de réception conformément aux dispositions de l’article R. 112-5 du code des relations entre le public et l’administration.
« Le président de la commission statue sur la proposition dans un délai de quatre mois à compter de la réception d’une demande complète. Ce délai peut être prolongé de deux mois supplémentaires sur décision du président.
« Le silence gardé par le président de la commission à l’issue de ces délais vaut décision implicite de rejet.
« A l’issue de l’examen de la proposition, le président de la commission peut accepter les engagements. Il peut également décider de rendre tout ou partie de ces engagements contraignants pour une période déterminée, qui ne peut excéder la durée proposée par le fournisseur de plateformes en ligne.
« Dans le cas où le président de la commission n’accepte pas la proposition d’engagements, il en informe le fournisseur de plateforme en ligne en indiquant les motifs de ce refus.
« La décision du président de la commission est notifiée au fournisseur de plateformes en ligne par tout moyen permettant d’apporter la preuve de la date de cette notification. » ;
6° Après l’article 47-1, il est ajouté une nouvelle sous-section 7 ainsi rédigée :
« Sous-section 7
« La procédure d’injonction provisoire (articles 47-2 et 47-3)
« Art. 47-2. – Lorsqu’une injonction provisoire est susceptible d’être prononcée en application du deuxième alinéa du VI de l’article 20 de la loi du 6 janvier 1978 susvisée, le rapporteur désigné par le président de la commission en application de l’article 22 de cette même loi établit un nouveau rapport ou complète son rapport établi pour les besoins de la procédure. Le président de la formation restreinte statue sur la base de ce rapport.
« Le rapport est notifié au mis en cause par tout moyen permettant d’apporter la preuve de la date de cette notification. Il est également transmis au président de la formation restreinte.
« Le rapporteur peut proposer au président de la formation restreinte d’enjoindre au mis en cause de prendre toute mesure de nature à mettre fin au manquement et, s’il y a lieu, d’assortir son injonction d’une astreinte journalière. Le mis en cause dispose d’un délai de huit jours pour présenter ses observations. Aucune séance n’est organisée, à moins que le président de la formation restreinte ne le décide.
« Art. 47-3. – Le président de la formation restreinte fixe le délai d’exécution de l’injonction et, le cas échéant, le montant de l’astreinte journalière conformément au deuxième alinéa du VI de l’article 20 de la loi du 6 janvier 1978 susvisée.
« Le mis en cause transmet au président de la formation restreinte, au plus tard à la date fixée dans la décision de ce dernier, les éléments attestant qu’il s’est conformé à l’injonction prononcée à son encontre.
« Le secrétaire général informe la formation restreinte et le président de la commission des injonctions provisoires adoptées et, le cas échéant du montant de l’astreinte journalière.
« Les conditions dans lesquelles il est procédé à la clôture ou à la liquidation de l’astreinte sont celles définies à l’article 44 du présent décret. »
Art. 5. – A l’article 152 du décret du 29 mai 2019 susvisé, après les mots : « antarctiques françaises », sont insérés les mots : « , dans sa rédaction résultant du décret n°2025-891 du 5 septembre 2025, ».
Art. 6. – Le I de l’article 154 du décret du 29 mai 2019 susvisé est ainsi modifié :
1° Le 9° devient le 7° ;
2° Les 6°, 7° et 8° sont remplacés par les dispositions suivantes : « 6° Aux articles 46, 47, 47-2 et au deuxième alinéa de l’article 58, les mots : “huit jours” sont remplacés par les mots : “quinze jours” ; ».
Art. 7. – Les dispositions du présent décret sont applicables en Nouvelle-Calédonie, en Polynésie française, dans les îles Wallis et Futuna et dans les Terres australes et antarctiques françaises.
Art. 8. – Le présent décret entre en vigueur le lendemain de sa publication.
Art. 9. – Le ministre d’État, ministre des outre-mer, et le ministre d’État, garde des sceaux, ministre de la justice, sont chargés, chacun en ce qui le concerne, de l’exécution du présent décret, qui sera publié au Journal officiel de la République française.
Fait le 5 septembre 2025.
Par le Premier ministre :
François Bayrou
Le ministre d’État, garde des sceaux, ministre de la justice,
Gérald Darmanin
Le ministre d’État, ministre des outre-mer,
Manuel Valls
Source Légifrance