Qu’est-ce que la CNIL et quel est son rôle ?
.png)
DPO Consulting Rejoint Grant Thornton
La CNIL est un acteur clé de la préservation de la vie privée numérique en France. Pour les particuliers, elle représente un recours concret face aux abus dans l'utilisation de ses données personnelles. Pour une entreprise, elle représente un risque bien réel. En cas de non-conformité, elles s’exposent avec des amendes pouvant atteindre 4 % du chiffre d'affaires mondial, une sanction rendue publique qui nuit à la confiance des clients, et des contrôles qui peuvent survenir sans préavis.
La CNIL, ou Commission Nationale de l'Informatique et des Libertés, est l'autorité administrative indépendante française chargée de veiller à la protection des données personnelles. La CNIL et le RGPD (règlement général sur la protection des données) forment un duo indissociable en France. Concrètement, le RGPD fixe le cadre juridique européen en matière de protection des données et la CNIL en assure l'application et le contrôle sur le territoire national.
Sa mission consiste à s'assurer que l'utilisation des données personnelles des individus par une entreprise, une administration, une association ou un professionnel respecte les libertés individuelles. Cela va de la collecte de données sur un site e-commerce à la vidéosurveillance dans un immeuble, en passant par les fichiers de recrutement ou les algorithmes des plateformes numériques.
La CNIL n'est pas un simple organisme consultatif : elle dispose d'un pouvoir de contrôle, de sanction et réglementaire (recommandations, référentiels), ce qui en fait l'un des régulateurs les plus actifs d'Europe.
La CNIL ne cible pas uniquement les géants du numérique ou bien les grandes entreprises. Toute organisation qui traite des données personnelles (clients, employés, prospects) doit se conformer au RGPD, y compris les TPE et PME.
La CNIL n'est pas née avec le RGPD, contrairement à une idée reçue. Elle a été créée par la loi Informatique et Libertés du 6 janvier 1978, à une époque où l'informatisation naissante des fichiers administratifs et privés commençait à susciter des inquiétudes sur la surveillance des citoyens. Cette loi fondatrice reste toujours en vigueur aujourd'hui. Elle est régulièrement modifiée, comme en 2018 afin d’y intégrer le RGPD.
Sa gouvernance s’articule autour d’un collège de 18 membres, notamment issus du Parlement, du Conseil d'État, de la Cour de cassation et de la Cour des comptes, garantissant son indépendance vis-à-vis du pouvoir exécutif, et d’une formation restreinte de 6 membres, dont la mission est de prononcer les sanctions.
Depuis l'entrée en application du RGPD, le rôle de la CNIL a profondément évolué. Auparavant, les entreprises devaient effectuer une déclaration CNIL préalable avant de mettre en œuvre certains traitements de données. Avec le RGPD, ce système a été largement remplacé par le principe de responsabilisation (« accountability »). Concrètement, les organisations doivent être en mesure de démontrer leur conformité à tout moment, sans nécessairement solliciter d'autorisation préalable, à l’exception de certains traitements sensibles (données de santé à grande échelle, interconnexions de fichiers publics, etc.).
Aujourd’hui, en pratique, toute organisation en France doit respecter de manière simultanée deux textes :
· Le RGPD qui est applicable dans toute l’Union européenne et qui prévoit des obligations renforcées en matière de protection des données (DPO, analyse d’impact…) et des amendes administratives jusqu'à 20 M€ ou 4 % du CA mondial en cas de non-conformité.
· La Loi Informatique et Libertés, une spécificité juridique française, qui prévoit des adaptations locales ainsi que des sanctions pénales en cas de manquements.
Avec ces évolutions, l’action de la CNIL se concentre donc sur le contrôle a posteriori, l'accompagnement des professionnels et la sanction des manquements constatés. Depuis quelques années, elle joue un rôle croissant en matière de régulation de l'intelligence artificielle et coopère étroitement avec les autres autorités européennes de protection des données via le mécanisme du « guichet unique », qui permet de traiter les dossiers transfrontaliers impliquant plusieurs pays de l'UE.
A lire : Comprendre le RGPD : les fondamentaux pour une conformité durable
Les principales missions de la CNIL s’articulent autour de 6 axes complémentaires :
· Informer et sensibiliser : la CNIL publie des guides pratiques, des fiches thématiques et des recommandations pour aider le grand public et les professionnels à mieux comprendre leurs droits et obligations.
· Accompagner la conformité : la CNIL met également à disposition des référentiels sectoriels, des modèles de registre de traitement, des guides pour les analyses d'impact, ainsi qu’un dispositif de « bac à sable » pour expérimenter des usages innovants sous son regard.
· Contrôler : la CNIL est l’organisme en charge de mener des contrôles sur place, sur pièces, en ligne ou sur audition. Elle définit chaque année des thématiques prioritaires de contrôle selon les risques identifiés (recrutement, cybersécurité, usages de l'intelligence artificielle, etc.).
· Sanctionner : lorsqu'un manquement est constaté, la formation restreinte composée de 6 membres peut prononcer des mesures, allant du simple rappel à l'ordre à l'amende administrative.
· Anticiper : la CNIL étudie les impacts des technologies émergentes sur la vie privée, et formule des recommandations dans une logique d’anticipation des risques.
Plus particulièrement, lors de ses contrôles, la CNIL évalue le respect de six grands principes :
· Licéité, loyauté et transparence : les données doivent être collectées pour des finalités légitimes, clairement expliquées aux personnes concernées.
· Limitation des finalités : elles ne peuvent être utilisées que pour les objectifs initialement déclarés.
· Minimisation des données : il ne faut collecter que ce qui est strictement nécessaire.
· Exactitude : les données doivent être tenues à jour et corrigées si besoin.
· Limitation de la conservation : elles ne doivent pas être conservées au-delà de la durée nécessaire à la finalité poursuivie.
· Intégrité et confidentialité : les données doivent obligatoirement être sécurisées.
La majorité des manquements recensés par la CNIL concerne un de ces six principes. Ils constituent, par ailleurs, une bonne base pour conduire une auto-évaluation d’une organisation ou une entreprise.
Toute personne estimant que ses données personnelles sont traitées de manière irrégulière peut adresser une plainte à la CNIL. Cette procédure, gratuite et accessible à tous, est l'un des principaux leviers à disposition des citoyens souhaitant faire valoir leurs droits en matière de protection de leurs données personnelles.
Une plainte CNIL peut être déposée notamment lorsque :
• une entreprise ou une administration refuse de répondre à une demande d'exercice de droit d’accès, de rectification, ou d’effacement.
• des données sont collectées sans base légale ou sans consentement valable : cookies déposés sans accord préalable, cases pré-cochées, consentement implicite.
• des données sont conservées au-delà de la durée nécessaire à la finalité du traitement.
• un site ou une application refuse de supprimer un contenu vous concernant malgré une demande justifiée.
• un employeur met en place une surveillance disproportionnée de ses salariés.
• une fuite de données personnelles n'a pas été correctement notifiée aux personnes concernées.
• un démarchage commercial persiste malgré une opposition exprimée par la personne concernée.
Si la CNIL peut être saisie dans un certain nombre de situations, son périmètre d’action ne couvre néanmoins pas tous les litiges liés au numérique. Elle n’est, par exemple, pas concernée par un différend commercial, une insatisfaction sur la qualité d'un service, ou une infraction pénale (usurpation d'identité, cyberharcèlement) qui sont des situations qui relèvent d’autres autorités.
Avant de saisir la CNIL, il est indispensable de contacter directement l'organisme concerné pour tenter de résoudre le problème. Dans la plupart des cas, la CNIL exige cette étape préalable qui consiste à :
• identifier le responsable du traitement, dont le contact figure généralement dans la politique de confidentialité.
• adresser une demande claire et écrite, idéalement par courrier électronique ou lettre recommandée avec accusé de réception.
• conserver une copie de tous les échanges, ainsi que les captures d'écran ou documents justificatifs pertinents.
• laisser à l'organisme un délai raisonnable pour répondre, généralement un mois, prolongeable à trois mois pour les demandes complexes.
En l'absence de réponse satisfaisante, ou en cas de silence prolongé, il est alors pertinent de déposer une plainte auprès de la CNIL.
La procédure de dépôt de plainte auprès de la CNIL implique de :
1. Vérifier la recevabilité de la situation en consultant les questions-réponses du site de la CNIL, qui orientent souvent vers la réponse adaptée sans même nécessiter de plainte formelle.
2. Créer un compte CNIL sécurisé pour accéder au formulaire de plainte en ligne et suivre l'évolution du dossier.
3. Sélectionner le formulaire correspondant à la situation (droit d'accès, suppression de contenu, cookies, démarchage, vidéosurveillance…).
4. Renseigner son identité complète : une plainte anonyme n'est pas recevable. Il est obligatoire s'identifier auprès de la CNIL et même possible de demander à ce que son identité ne soit pas communiquée à l'organisme mis en cause.
5. Décrire précisément les faits en apportant des informations pertinentes sur la nature du manquement, les dates, le contexte, les démarches déjà entreprises auprès de l'organisme.
6. Joindre les pièces justificatives utiles (échanges de courriers, captures d'écran, réponses reçues ou absence de réponse).
7. Soumettre la plainte, qui donne lieu à un accusé de réception immédiat.
Les personnes qui ne souhaitent pas ou ne peuvent pas utiliser le service en ligne peuvent soumettre leur dépôt de plainte par courrier postal.
Les services de la CNIL vérifient d'abord la recevabilité du dossier et peuvent solliciter des informations complémentaires. Selon la nature et la gravité des faits, plusieurs suites sont possibles : un simple rappel à la réglementation adressé à l'organisme, une médiation, l'ouverture d'une procédure de contrôle pouvant déboucher sur une mise en demeure ou une sanction, ou encore le classement du dossier si les faits ne sont pas caractérisés.
Le délai de traitement varie selon la complexité du dossier. Il faut compter quelques semaines pour les situations simples et plusieurs mois, voire plus d'un an, pour les dossiers les plus complexes ou ceux impliquant une coopération européenne.
Contrairement à une idée reçue, la CNIL ne peut pas accorder de dommages et intérêts au plaignant. Son rôle est de faire respecter la réglementation et non d'indemniser un préjudice individuel.
Le RGPD confère aux citoyens un ensemble de droits sur leurs données personnelles, qui constituent le socle de la protection individuelle. Ils doivent d’aborder exercer ces droits directement auprès de l'organisme concerné. Sans réponse de leur part dans un délai raisonnable, ils peuvent saisir la CNIL.
Ce droit permet de savoir si des données personnelles sont traitées par un organisme et, le cas échéant, en obtenir une copie ainsi que des informations sur les finalités, les destinataires, la durée de conservation et l'origine des données.
Il permet de demander la correction de données inexactes ou incomplètes.
Aussi connu sous l’intitulé « droit à l'oubli », il permet sous certaines conditions, la suppression de données personnelles. Ce droit n'est néanmoins pas absolu. Il peut être refusé lorsque le traitement répond à une obligation légale, à un intérêt public, ou à la liberté d'expression et d'information.
Il permet aux citoyens de s'opposer, pour des raisons tenant à sa situation particulière, à un traitement de données. Il est absolu pour la prospection commerciale et toute personne peut s'y opposer à tout moment, sans justification.
Ce droit permet de récupérer les données fournies à un organisme dans un format structuré et lisible par machine, afin de les transmettre à un autre responsable de traitement (changement de banque, d'opérateur télécom, de réseau social).
La CNIL met à disposition une documentation régulièrement mise à jour et pensée pour être exploitable par les entreprises et les organisations même sans service juridique dédié. Les principales ressources incluent des guides sectoriels, des fiches pédagogiques thématiques, des modèles de mentions d'information et de clauses contractuelles, référentiels de conformité propres à certains secteurs, modèles de registre des traitements prêts à l'emploi, et grilles d'analyse d'impact relative à la protection des données (AIPD). Elle propose également un logiciel libre et gratuit, PIA, pour structurer la réalisation de ces analyses d'impact pas à pas.
Le service en ligne de plaintes est le principal point d'entrée vers la CNIL. Il permet de créer un compte sécurisé, de déposer une plainte via un formulaire adapté à la situation, puis de suivre en temps réel l'évolution de son dossier et d'échanger directement avec l'agent en charge du traitement pour compléter sa demande si nécessaire. Ce service est complété par une rubrique « questions-réponses » qui permet aux utilisateurs de trouver la bonne démarche sans avoir à déposer de plainte formelle.
La CNIL joue un rôle actif dans l'accompagnement des délégués à la protection des données (DPO), qu'ils soient internes ou externes à l'organisation : sessions de formation, ateliers thématiques réguliers, boîte à outils dédiée et espace de ressources conçu spécifiquement pour les professionnels de la conformité.
Les organisations peuvent également solliciter la CNIL via ses services de renseignement pour des questions ponctuelles d'interprétation du RGPD, notamment lorsqu'un projet de traitement soulève une difficulté particulière.
A lire : Externaliser son DPO, un gage de conformité et de confiance
La CNIL déploie des actions de sensibilisation à destination du grand public, des scolaires et des professionnels, à travers des partenariats avec l'Éducation nationale, des campagnes de communication et des supports pédagogiques adaptés à différents publics. Elle propose aussi des webinaires réguliers, notamment sur le déroulement concret d'un contrôle, afin de rendre ces procédures plus accessibles et d'aider les organisations à mieux s'y préparer.
Pour aider les entreprises, les organisations et les administrations à rester en conformité avec le RGPD, la CNIL formule un ensemble de recommandations qui structurent une véritable culture de la protection des données au sein des organisations.
Tout d’abord, la nomination d'un DPO est obligatoire pour les organismes publics, pour les organisations dont l'activité de base implique un suivi régulier et systématique des personnes à grande échelle, et pour celles qui traitent à grande échelle des données sensibles (santé, biométrie, etc.). Son rôle est de conseiller l'entreprise sur ses obligations RGPD, servir de point de contact privilégié avec la CNIL et auditer les traitements. Même quand la nomination n'est pas obligatoire, désigner un DPO interne ou externe reste une bonne pratique qui démontre la bonne foi de l'organisation en cas de contrôle.
DPO consulting propose aux entreprises de toute taille, de la TPE-PME à l’entreprise multinationale, une offre de DPO externalisé.
Faites votre demande de devis en ligne pour plus d’informations.
Le registre des traitements est un document à tenir à jour. Obligatoire pour la plupart des organisations, il recense l'ensemble des traitements de données personnelles mis en œuvre : finalités, catégories de données collectées, destinataires (y compris sous-traitants et partenaires), durées de conservation et mesures de sécurité. C’est, par ailleurs, le premier document à fournir lors d’un contrôle.
Le respect du principe de minimisation est aussi critique pour les entreprises et les organisations. Collecter « au cas où » des informations non indispensables constitue l'un des manquements les plus fréquemment relevés par la CNIL.
Les entreprises sont également tenues de réaliser une analyse d'impact (AIPD) pour les traitements susceptibles d'engendrer un risque élevé pour les droits et libertés des personnes, comme le scoring, la surveillance biométrique, les usages de l'intelligence artificielle… Une AIPD est obligatoire avant la mise en œuvre d’un traitement et doit permettre de décrire ce traitement et ses finalités, évaluer sa nécessité et sa proportionnalité, identifier les risques, puis définir des mesures pour les réduire.
Elles doivent, par ailleurs, déployer les actions nécessaires pour sécuriser les traitements : chiffrement des données sensibles, authentification forte pour l'accès aux systèmes, sauvegardes régulières et testées, formation des équipes à la cybersécurité… Ce volet est systématiquement vérifié lors des contrôles. C’est aussi un des manquements les plus lourdement sanctionnés lorsqu'il est associé à une fuite de données.
Il est, par ailleurs, obligatoire de mettre à la disposition des personnes concernées une information claire précisant les finalités du traitement, sa base légale, la durée de conservation et les modalités d'exercice des droits.
L’encadrement des sous-traitants est, en parallèle, un sujet qui nécessite une attention particulière. Toute organisation qui fait appel à un prestataire traitant des données pour son compte (hébergeur, outil marketing, solution de paie) doit encadrer cette relation par un contrat conforme au RGPD, avec des clauses spécifiques (droit d'audit, notification des fuites) et une vérification des garanties offertes par le prestataire.
Enfin, elles doivent s’inscrire dans une logique de documentation de leur conformité sur le long terme. La CNIL insiste de plus en plus sur le pilotage continu de la conformité plutôt que sur une mise en conformité ponctuelle. Il s’agit donc de conserver les preuves de recueil du consentement, tenir les documents à jour, et être en mesure de démontrer à tout moment les mesures prises.
Les principales erreurs en matière de conformité au RGPD incluent :
· Négliger le recueil du consentement pour les cookies : ce manquement est l'un des plus fréquemment sanctionnés, notamment via la procédure simplifiée. La solution consiste à proposer des cases à cocher non pré-remplies, une explication claire des finalités et une possibilité réelle de refuser sans pénalité.
· Ignorer les demandes d'exercice de droits : ne pas répondre à une demande d'accès, de rectification ou d'effacement dans le délai d'un mois, ou exiger des frais excessifs pour l'exercer, expose directement l'organisation à une plainte. Pour limiter ce risque, il est judicieux de prévoir un processus dédié et automatisé.
· Sous-estimer la sécurité des accès internes : de nombreux incidents proviennent d'une mauvaise gestion des droits d'accès en interne plutôt que d'un piratage externe. Pour éviter cette erreur, l’idéal est de mettre en place le chiffrement des données sensibles, un principe du moindre privilège et la formation des employés.
· Oublier d'encadrer les sous-traitants : l'absence de vérification de la conformité RGPD des prestataires (hébergeurs, outils SaaS) et de clauses RGPD dans les contrats est une erreur très fréquente. Pour sécuriser la relation, l’action la plus pertinente reste la mise en place d’un engagement de conformité et la vérification des certifications pertinentes (ISO 27001).
· Omettre la notification des violations de données : en cas de fuite présentant un risque pour les personnes concernées, l'entreprise doit notifier la CNIL sous 72 heures et informer les personnes concernées, si le risque est élevé.
· Ne pas documenter ses traitements : un registre des traitements incomplet ou obsolète prive l'organisation de toute preuve de conformité en cas de contrôle. Il doit être mis à jour régulièrement, avec des preuves conservées.
· Confondre déclaration CNIL et conformité RGPD : certaines organisations pensent encore, à tort, qu'une déclaration CNIL suffit à garantir leur conformité. Or les formalités préalables ont disparu avec le RGPD, remplacé par une obligation de responsabilisation continue, bien plus exigeante qu'une simple déclaration administrative.
· Penser que les TPE, les PME et les professions libérales ne sont pas concernées : la procédure de sanction simplifiée a vocation à traiter efficacement les manquements des petites structures, qui représentent une part croissante des dossiers traités chaque année.
DPO Consulting met à votre disposition son outil de conformité au RGPD, coffre-fort de la conformité : myDPO solution
Le non-respect du RGPD et des exigences de la CNIL peut entraîner des conséquences graduées :
• Le rappel à l'ordre pour des manquements mineurs ou de bonne foi, sans caractère public.
• La mise en demeure qui enjoint l'organisme de se conformer dans un délai déterminé.
• L'injonction assortie d'une astreinte pouvant atteindre 100 000 euros par jour de retard.
• L'amende administrative : le RGPD prévoit deux plafonds : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements les moins graves (défaut de sécurité, absence d'analyse d'impact, etc.) et jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves (absence de base légale, non-respect des droits des personnes, transferts internationaux illégaux).
• La procédure de sanction simplifiée : en vigueur depuis 2022, elle permet de prononcer un rappel à l'ordre, une amende plafonnée à 20 000 euros, ou une injonction assortie d'une astreinte limitée à 100 euros par jour de retard. Elle est aujourd'hui utilisée pour la majorité des sanctions prononcées chaque année, notamment à l'encontre de petites structures et elle n’est pas rendue publique.
• La publicité de la sanction est possible dans le cadre de la procédure ordinaire, avec un impact réputationnel souvent aussi lourd que l'amende elle-même.
Au-delà de ces sanctions administratives, une entreprise s'expose également à des risques complémentaires : actions civiles engagées par les personnes concernées devant les tribunaux, atteinte durable à la confiance des clients et partenaires, et dans certains cas particulièrement graves, des poursuites pénales prévues par le Code pénal, indépendamment des sanctions prononcées par la CNIL elle-même.
En France, la CNIL est l'autorité compétente pour veiller au respect du RGPD et de la loi Informatique et Libertés. Elle dispose d'un pouvoir de contrôle et de sanction, et coopère étroitement avec les autres autorités européennes de protection des données via le mécanisme du « guichet unique » lorsque les dossiers concernent plusieurs pays de l'Union européenne.
La CNIL peut prononcer un rappel à l'ordre, une mise en demeure, une injonction assortie d'une astreinte financière (jusqu'à 100 000 euros par jour de retard), une limitation ou une interdiction temporaire ou définitive d'un traitement, le retrait d'une certification, ainsi que des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves.
Depuis l'entrée en vigueur du RGPD, la plupart des formalités préalables de déclaration ont été supprimées au profit d'un principe de responsabilisation (« accountability ») qui implique que chaque organisation doit être en mesure de démontrer sa conformité à tout moment, sans déclaration systématique auprès de la CNIL.
Une entreprise doit contacter la CNIL en cas de violation de données personnelles présentant un risque pour les personnes concernées, dans un délai de 72 heures après en avoir eu connaissance. Elle peut aussi solliciter la CNIL pour des questions d'interprétation du RGPD ou lorsqu'elle est destinataire d'une plainte transmise par l'autorité.
La CNIL dispose d'un pouvoir de contrôle sur place ou sur pièces, en ligne (audit de sites et d'applications à distance) ou sur audition. Ces contrôles peuvent être réalisés de manière inopinée.
Le DPO est l'interlocuteur privilégié de la CNIL au sein d'une organisation. Il pilote la conformité RGPD en interne, sert de point de contact lors des échanges avec la CNIL. Il peut également solliciter la CINIL pour clarifier des points d'interprétation complexes.
La meilleure préparation consiste à maintenir une conformité continue grâce à des audits de conformité réguliers, une documentation exhaustive des processus internes, la formation des équipes, et des simulations de contrôle pour mieux se préparer en s’appuyant notamment sur le bilan de contrôles et les thématiques prioritaires publiés par la CNIL.
.svg)
%20(1).png)
