Rôle et missions de la CNIL face au RGPD en France

La CNIL, Commission Nationale de l’Informatique et des Libertés, est une autorité de contrôle indépendante, veillant particulièrement au respect du RGPD en France. Née en 1978 avec la Loi Informatique et Libertés, la France s'affirme comme pionnière en matière de régulation des activités numériques. Mais qu’en est-il exactement du rôle de cet organisme vis-à-vis de la protection des données personnelles ?

Depuis 2018 et l’entrée en vigueur du RGPD, la CNIL est chargée entre autres de contrôler son application en France et fait désormais partie d’un réseau d’autorités de contrôle présentes dans tous les Etats membres de l’Union européenne.

Ainsi la CNIL n’est pas seulement le gendarme du RGPD mais a plus généralement pour mission d’orienter les usages des technologies de communication vers une utilisation plus éthique, au service des citoyens.

Petit à petit, le rôle de la CNIL évolue et se décompose aujourd’hui en quatre missions principales, depuis l’information et l’accompagnement des entreprises et des DPO jusqu’aux sanctions qu’elle peut prononcer en cas de manquement aux obligations de protection des données du RGPD.

Comment fonctionne la CNIL ?

La CNIL, une autorité administrative indépendante ou AAI, jouit d'une autonomie spécifique.

Bien qu'agissant au nom de l'État, elle n'est liée à aucune autre administration ou ministère. Elle est constituée de 18 membres, dont des parlementaires, des personnalités qualifiées, et des représentants de grandes institutions. Ces membres, élus ou nommés, sont épaulés par des services dédiés pour réaliser leurs missions.

Elle se réunit régulièrement en sessions plénières, destinées à discuter des avancées technologiques et d'examiner les propositions législatives. Une formation restreinte, incluant 5 membres et un président, se consacre à la fonction de sanction. C'est cette équipe qui émet des sanctions financières contre les entreprises ou organismes qui ne respectent pas le RGPD.

Quelles sont les missions principales de la CNIL ?

La CNIL est chargée de quatre grandes missions distinctes. Ces fonctions ont pour but d’améliorer les pratiques des acteurs dans le domaine des technologies et du traitement des données.

Information et accompagnement

La première mission de la CNIL est une mission d’information et d’accompagnement. En effet, toute personne, particulier ou entreprise, peut s’adresser directement à la CNIL pour poser des questions. C’est notamment dans le cadre de cette mission que la CNIL reçoit des plaintes et signalements qui peuvent attirer son attention sur des manquements.

Accompagnement à la conformité

La deuxième mission de la CNIL est une mission d’accompagnement de la conformité et de conseil aux acteurs économiques. A ce titre, la CNIL publie par exemple régulièrement des notes et des documents pour aider les entreprises à comprendre les éventuelles évolutions réglementaires liées au RGPD.

C’est aussi dans le cadre de cette mission que la CNIL peut répondre aux sollicitations du gouvernement pour donner son avis sur un texte réglementaire ou législatif (projet de loi) ou sur la création d’un nouveau fichier, par exemple.

Anticipation et innovation

La CNIL est également chargée d’une mission d’anticipation et d’innovation. Dans ce contexte, elle analyse des signaux faibles dans une démarche prospective de façon à mieux appréhender les changements souvent rapides des usages des technologies. L’idée est de permettre au législateur de s’adapter si besoin et de proposer des réponses juridiques aux nouvelles problématiques.

Contrôle et sanction

Enfin, la CNIL a un rôle de contrôle voire de sanction. A ce titre, elle peut demander un certain nombre de documents aux entreprises pour contrôler leur conformité au RGPD. On pense par exemple au registre des traitements ou à l’analyse d’impact que les DPO doivent pouvoir fournir.

En cas de manquement, la CNIL est habilitée en vertu du RGPD à prononcer directement des sanctions.

Quelles sanctions peut-elle prononcer ?

En 2021, la CNIL a effectué 384 contrôles de conformité auprès d’entreprises françaises. En cas de manquement cependant, tous ces contrôles ne conduisent pas à des sanctions.

La CNIL poursuit plutôt un objectif d’encouragement à la mise en conformité des acteurs. C’est pourquoi elle dispose d’un arsenal de réponses plus “douces” visant à accompagner les acteurs dans leur démarche de protection des données.

La première étape est en effet celle de l’avertissement, qui peut être adressé à la CNIL aux entreprises ou organismes. La deuxième réponse est celle de la mise en demeure : 135 mises en demeure ont été adressées à des organismes en 2021.

Enfin, la CNIL peut prononcer des sanctions, comme cela a été le cas pour 18 entreprises en 2021 (dont 1 non-lieu).

Ce pouvoir de sanction est encadré par le RGPD et peut s’élever au maximum à 20 millions d’euros ou à 4% du chiffre d’affaires mondial (dans le cas d’une entreprise).

En conclusion, la CNIL joue un rôle essentiel dans la protection des données personnelles en France, veillant à ce que chaque entreprise et organisme respecte les obligations du RGPD. Sa mission va au-delà du simple contrôle : elle informe, guide, et, si nécessaire, sanctionne pour garantir la conformité de tous.