Le code pénal est ainsi modifié :
1° A l'article 226-16, la référence à l'article 45 est remplacée par la référence à l'article 20 ;
2° A l'article 226-17, les mots : « à l'article 34 » sont remplacés par les mots : « aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l'article 4 et aux articles 99 à 101 » ;
3° L'article 226-17-1 est ainsi modifié :
a) Après le mot : « électroniques », sont insérés les mots : « ou pour un responsable de traitement » ;
b) Les mots : « dispositions du II de l'article 34 bis » sont remplacés par les mots : « articles 33 et 34 du règlement (UE) 2016/679 du 27 avril 2016 précité ou des dispositions du II de l'article 83 et de l'article 102 » ;
c) Il est complété par un alinéa ainsi rédigé :
« Est puni des mêmes peines le fait pour un sous-traitant de ne pas notifier cette violation au responsable de traitement en méconnaissance de l'article 33 du règlement (UE) 2016/679 du 27 avril 2016 précité ou de l'article 102 de la loi n° 78-17 du 6 janvier 1978 précitée. » ;
4° L'article 226-19 est complété par un alinéa ainsi rédigé :
« Les dispositions du présent article sont applicables aux traitements non automatisés de données à caractère personnel dont la mise en œuvre ne se limite pas à l'exercice d'activités exclusivement personnelles. » ;
5° A l'article 226-22-1, les mots : « 70-25 à 70-27 » sont remplacés par les mots : « 112 à 114 » ;
6° Les articles 226-22-2 et 226-23 sont ainsi rédigés :
« Art. 226-22-2.-Est puni d'un an d'emprisonnement et de 15 000 € d'amende le fait d'entraver l'action de la Commission nationale de l'informatique et des libertés :
« 1° Soit en s'opposant à l'exercice des missions confiées à ses membres ou aux agents habilités en application du dernier alinéa de l'article 10 de la loi n° 78-17 du 6 janvier 1978 précitée lorsque la visite a été autorisée par le juge ;
« 2° Soit en refusant de communiquer à ses membres ou aux agents habilités en application du dernier alinéa de l'article 10 de la même loi, ou aux agents d'une autorité de contrôle d'un Etat membre de l'Union européenne en application de l'article 62 du règlement (UE) 2016/679 du 27 avril 2016 précité, les renseignements et documents utiles à leur mission, ou en dissimulant lesdits documents ou renseignements, ou en les faisant disparaître ;
« 3° Soit en communiquant des informations qui ne sont pas conformes au contenu des enregistrements tel qu'il était au moment où la demande a été formulée ou qui ne présentent pas ce contenu sous une forme directement accessible.
« Art. 226-23.-Dans les cas prévus aux articles 226-16 à 226-22-2, l'effacement de tout ou partie des données à caractère personnel faisant l'objet du traitement ayant donné lieu à l'infraction peut être ordonné. Les membres et les agents de la Commission nationale de l'informatique et des libertés sont habilités à constater l'effacement de ces données » ;
7° A l'article 711-1, les mots : « la loi n° 2018-957 du 7 novembre 2018 relative à l'accueil des gens du voyage et à la lutte contre les installations illicites » sont remplacés par les mots : « l'ordonnance n° 2018-1125 du 12 décembre 2018 prise en application de l'article 32 de la loi n° 2018-493 du 20 juin 2018 relative à la protection des données personnelles et portant modification de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés et diverses dispositions concernant la protection des données à caractère personnel ».