[…] le « paquet européen de protection des données à caractère personnel », composé du règlement n° 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) et de la directive n° 2016/680 du 27 avril 2016, dite directive « Police-Justice ».
[…]
Le RGPD a vocation à s’appliquer à l’ensemble des traitements de données à caractère personnel dans les Etats membres, à la fois dans le secteur public et le secteur privé, à l’exception toutefois des traitements mis en œuvre pour l’exercice d’activités qui ne relèvent pas du champ d’application du droit de l’Union européenne, telles que les activités de sûreté de l’Etat ou de défense nationale, et ceux mis en œuvre aux fins de la directive « Police-Justice ».

Ooook. Trois contextes (champs d'application) distincts :

• Directive européenne Police-Justice : pénal, application des peines judiciaires, prévention, maintien de l'ordre, PNR, etc. ;
  
  
• Loi Informatique et Libertés (1978) : sûreté de l'État et défense nationale (car ce ne sont pas des compétences de l'UE donc hors directive Police-Justice et RGPD) ;
  
  
• RGPD pour le reste.

Droits en plus et/ou en moins entre la directive Police-Justice et le RGPD (notamment un droit d'accès restreint voire indirect pour la directive).