CNIL et RGPD en France : Rôles, missions et responsabilités

La CNIL, Commission Nationale de l’Informatique et des Libertés, est une autorité de contrôle indépendante, veillant particulièrement au respect du RGPD en France. Née en 1978 avec la Loi Informatique et Libertés, la France s'affirme comme pionnière en matière de régulation des activités numériques. Mais qu’en est-il exactement du rôle de cet organisme vis-à-vis de la protection des données personnelles ?

Depuis 2018 et l’entrée en vigueur du RGPD, la CNIL est chargée entre autres de contrôler son application en France et fait désormais partie d’un réseau d’autorités de contrôle présentes dans tous les Etats membres de l’Union européenne.

Ainsi la CNIL n’est pas seulement le gendarme du RGPD mais a plus généralement pour mission d’orienter les usages des technologies de communication vers une utilisation plus éthique, au service des citoyens.

Petit à petit, le rôle de la CNIL évolue et se décompose aujourd’hui en quatre missions principales, depuis l’information et l’accompagnement des entreprises et des DPO jusqu’aux sanctions qu’elle peut prononcer en cas de manquement aux obligations de protection des données du RGPD.

Comment fonctionne la CNIL ?

La CNIL, une autorité administrative indépendante ou AAI, jouit d'une autonomie spécifique.

Bien qu'agissant au nom de l'État, elle n'est liée à aucune autre administration ou ministère. Elle est constituée de 18 membres, dont des parlementaires, des personnalités qualifiées, et des représentants de grandes institutions. Ces membres, élus ou nommés, sont épaulés par des services dédiés pour réaliser leurs missions.

Elle se réunit régulièrement en sessions plénières, destinées à discuter des avancées technologiques et d'examiner les propositions législatives. Une formation restreinte, incluant 5 membres et un président, se consacre à la fonction de sanction. C'est cette équipe qui émet des sanctions financières contre les entreprises ou organismes qui ne respectent pas le RGPD.

Quelles sont les missions principales de la CNIL ?

La CNIL est chargée de quatre grandes missions distinctes. Ces fonctions ont pour but d’améliorer les pratiques des acteurs dans le domaine des technologies et du traitement des données.

Information et accompagnement

La première mission de la CNIL est une mission d’information et d’accompagnement. En effet, toute personne, particulier ou entreprise, peut s’adresser directement à la CNIL pour poser des questions. C’est notamment dans le cadre de cette mission que la CNIL reçoit des plaintes et signalements qui peuvent attirer son attention sur des manquements.

Accompagnement à la conformité

La deuxième mission de la CNIL est une mission d’accompagnement de la conformité et de conseil aux acteurs économiques. A ce titre, la CNIL publie par exemple régulièrement des notes et des documents pour aider les entreprises à comprendre les éventuelles évolutions réglementaires liées au RGPD.

C’est aussi dans le cadre de cette mission que la CNIL peut répondre aux sollicitations du gouvernement pour donner son avis sur un texte réglementaire ou législatif (projet de loi) ou sur la création d’un nouveau fichier, par exemple.

Anticipation et innovation

La CNIL est également chargée d’une mission d’anticipation et d’innovation. Dans ce contexte, elle analyse des signaux faibles dans une démarche prospective de façon à mieux appréhender les changements souvent rapides des usages des technologies. L’idée est de permettre au législateur de s’adapter si besoin et de proposer des réponses juridiques aux nouvelles problématiques.

Contrôle et sanction

Enfin, la CNIL a un rôle de contrôle voire de sanction. A ce titre, elle peut demander un certain nombre de documents aux entreprises pour contrôler leur conformité au RGPD. On pense par exemple au registre des traitements ou à l’analyse d’impact que les DPO doivent pouvoir fournir.

En cas de manquement, la CNIL est habilitée en vertu du RGPD à prononcer directement des sanctions.

Quels sont les droits fondamentaux des citoyens défendus par la CNIL ?

Comme nous l'avons vu précédemment, la CNIL veille à la protection de la vie privée et des libertés individuelles face à l'usage croissant des technologies numériques. Pour servir le citoyen, la CNIL fait valoir plusieurs droits importants concernant la gestion des données personnelles.

Voici les demandes d'exercice de droits qui existent :

1. Droit d'accès : Chaque citoyen a le droit de savoir si ses données personnelles sont utilisées par une organisation, de demander une copie de ces données et de comprendre comment elles sont traitées (finalité, durée de conservation, etc.).

2. Droit de rectification : Le citoyen peut demander à corriger ou à compléter les données personnelles qui sont inexactes ou incomplètes.

3. Droit à l'oubli : Toute personne peut demander l’effacement de ses données personnelles lorsque celles-ci ne sont plus nécessaires, ont été collectées de manière illicite ou si elle retire son consentement.

4. Droit à la limitation du traitement : Dans certaines situations, un citoyen peut demander que l’usage de ses données soit restreint. Cela permet de geler l’utilisation des données en attendant qu’une vérification ou une rectification soit effectuée.

5. Droit à la portabilité : Les citoyens ont le droit de recevoir leurs données personnelles dans un format structuré et courant, afin de les transférer à une autre organisation s'ils le souhaitent.

6. Droit d’opposition : Le citoyen peut s’opposer à l’utilisation de ses données personnelles, notamment pour des traitements liés à des motifs légitimes (comme le marketing direct) ou à des traitements qui impliquent des décisions automatisées.

7. Droit de ne pas faire l'objet de décisions automatisées : Le citoyen a le droit de ne pas être soumis à des décisions entièrement automatisées (comme un refus de crédit basé uniquement sur un algorithme) sans intervention humaine.

8. Droit à l’information : Les organisations doivent fournir aux citoyens des informations claires et transparentes sur l’usage de leurs données personnelles. Cela inclut la manière dont les données sont collectées, utilisées et sécurisées.

9. Droit d’introduire une réclamation : En cas de non-respect de ces droits, les citoyens peuvent déposer une plainte auprès de la CNIL, qui a le pouvoir d’enquêter et de sanctionner les violations.

10. Droit à la confidentialité : Ce droit garantit la protection de la vie privée des citoyens, notamment en matière de communications électroniques. Il inclut des règles spécifiques pour les cookies et les traceurs.

Quelles sanctions peut-elle prononcer ?

En 2021, la CNIL a effectué 384 contrôles de conformité auprès d’entreprises françaises. En cas de manquement cependant, tous ces contrôles ne conduisent pas à des sanctions.

La CNIL poursuit plutôt un objectif d’encouragement à la mise en conformité des acteurs. C’est pourquoi elle dispose d’un arsenal de réponses plus “douces” visant à accompagner les acteurs dans leur démarche de protection des données.

La première étape est en effet celle de l’avertissement, qui peut être adressé à la CNIL aux entreprises ou organismes. La deuxième réponse est celle de la mise en demeure : 135 mises en demeure ont été adressées à des organismes en 2021.

Enfin, la CNIL peut prononcer des sanctions RGPD, comme cela a été le cas pour 18 entreprises en 2021 (dont 1 non-lieu).

Ce pouvoir de sanction est encadré par le RGPD et peut s’élever au maximum à 20 millions d’euros ou à 4% du chiffre d’affaires mondial (dans le cas d’une entreprise).

En conclusion, la CNIL joue un rôle essentiel dans la protection des données personnelles en France, veillant à ce que chaque entreprise et organisme respecte les obligations du RGPD. Sa mission va au-delà du simple contrôle : elle informe, guide, et, si nécessaire, sanctionne pour garantir la conformité de tous.