La CNIL n’est pas née d’hier
Des enjeux présents dès la fin du XXème siècle
La création de la CNIL remonte au 6 janvier 1978. À cette époque déjà, l’essor de l’informatique et le traitement automatisé des données personnelles suscitaient de nombreuses inquiétudes en termes de protection de la vie privée.
C’est pour répondre à ces préoccupations que la loi Informatique et Libertés de 1978 a été promulguée. Son objectif ? Établir des principes de protection des données, et créer une autorité indépendante pour surveiller leur application. La Commission Nationale de l’Informatique et des Libertés était née !
Une autorité qui évolue avec son temps
Depuis sa création, la CNIL a évolué pour s’adapter aux avancées technologiques et aux nouveaux défis en matière de protection des données.
À cet effet, plusieurs amendements ont été apportés à la loi Informatique et Libertés en 2004. Ceux-ci ont renforcé les pouvoirs de la CNIL grâce à l’introduction de nouvelles obligations pour les responsables de traitement.
Cerise sur le gâteau : en 2018, avec l’entrée en vigueur du Règlement Général sur la Protection des Données (RGPD), la CNIL a vu ses missions s’étendre encore davantage. Elles intègrent maintenant les nouvelles exigences européennes de protection des données.
Quelles sont les 5 missions de la CNIL ?
1. Contrôler le respect de la vie privée
La mission première de la CNIL est simple (du moins en apparence) : protéger les données personnelles des citoyens. Elle est donc chargée de contrôler la bonne application des lois relatives à la protection des données, assurant que les traitements de données respectent les droits des individus.
2. Conseiller et informer les citoyens
La CNIL joue un rôle essentiel en matière de sensibilisation et d’information. Elle publie des guides, des recommandations et des avis pour aider les particuliers et les entreprises à comprendre – et à respecter – leurs droits et obligations en matière de protection des données.
Elle organise même des campagnes de sensibilisation pour informer le grand public sur ces enjeux.
3. Vérifier et sanctionner
La Commission Nationale de l’Informatique et des Libertés intervient non seulement pour prévenir, mais aussi pour sanctionner les violations de la vie privée.
Disposant de pouvoirs de contrôle et de sanction, elle peut effectuer des inspections et des audits pour vérifier la conformité des traitements de données avec la réglementation. Et en cas de non-conformité, la CNIL peut même prononcer des sanctions – qui peuvent aller de simples avertissements à des amendes substantielles.
4. Recevoir et traiter les plaintes
La CNIL est également chargée de recevoir et de traiter les plaintes des particuliers concernant la protection de leurs données personnelles. Elle examine les plaintes, mène des enquêtes si nécessaire, et peut prendre des mesures pour remédier aux violations constatées.
5. Attribuer des certifications et labels
Pour promouvoir les bonnes pratiques en matière de protection des données, la CNIL délivre des certifications et des labels. Ceux-ci attestent de la conformité des pratiques d’une entreprise par rapport aux normes en vigueur, offrant ainsi une reconnaissance officielle et une garantie de qualité.
Comment la CNIL fonctionne-t-elle ?
Une structure bien réglée
La CNIL est composée d’un collège de 18 membres :
- 1 membre de la Commission d’Accès aux Documents Administratifs (CADA) ;
- 2 membres du Conseil économique, social et environnemental ;
- 4 parlementaires (2 députés et 2 sénateurs) ;
- 5 personnalités qualifiées (désignées par le président de l’Assemblée nationale, le président du Sénat et le Conseil des ministres) ;
- 6 représentants des hautes juridictions (2 conseillers d’État, 2 conseillers à la Cour de cassation, 2 conseillers à la Cour des comptes).
Elle est structurée en différentes divisions, chacune ayant des responsabilités spécifiques :
- accompagnement juridique ;
- protection des droits et sanctions ;
- technologie et innovation ;
- relations avec les publics ;
- administration et finance.
Quel est le budget de la CNIL ?
La CNIL est principalement financée par une subvention de l’État, complétée par des contributions issues de sanctions administratives infligées aux contrevenants.
En 2023, son budget annuel s’élevait à environ 23 millions d’euros.
Cette somme est d’abord destinée à couvrir les dépenses de fonctionnement de la Commission, mais elle est aussi utilisée pour :
- réaliser des audits ;
- organiser des campagnes de sensibilisation ;
- développer des outils et services destinés à aider les particuliers et les entreprises à protéger leurs données.
De telles ressources lui permettent de déployer une équipe d’experts composée de juristes, d’ingénieurs, et de spécialistes en informatique.
Comment la CNIL collabore-t-elle avec les autres entités nationales ?
La CNIL n’opère pas seule. Elle collabore étroitement avec d’autres entités françaises, qui ont toutes pour objectif de renforcer la protection des données personnelles et garantir le respect de la législation.
Elle travaille ainsi en partenariat avec d’autres autorités administratives indépendantes, comme la Défenseure des droits et la Commission d’accès aux documents administratifs (CADA), pour traiter les problématiques intersectorielles. Elle coopère aussi avec des ministères, notamment le ministère de l’Intérieur et le ministère de la Justice, pour assurer une mise en œuvre cohérente et efficace des règles de protection des données.
À plus petite échelle, la CNIL joue également un rôle actif dans l’accompagnement des entreprises et des collectivités locales en leur offrant des guides, des formations et des conseils pour les aider à se conformer aux exigences du Règlement général sur la protection des données.
Et à l’international ?
Ce n’est pas parce que la CNIL est une institution 100 % française qu’elle ne collabore pas avec d’autorités de protection des données à travers le monde ! Elle est notamment membre du Comité européen de la protection des données (CEPD), et participe à ce titre à l’élaboration et à l’harmonisation des politiques de protection des données au sein de l’UE.
La CNIL échange également des informations et des bonnes pratiques avec des organismes équivalents dans d’autres pays. L’objectif ? Faciliter la gestion des problématiques transfrontalières liées à la vie privée.
Et ce n’est pas tout : elle collabore avec des organisations internationales, telles que le Groupe de travail Article 29 et l’Organisation de coopération et de développement économiques (OCDE), pour promouvoir des standards élevés de protection des données à l’échelle mondiale.
Quels cadres réglementaires pour la CNIL ?
Le Règlement général sur la protection des données (RGPD)
Vous le savez sûrement, mais un petit rappel ne fait jamais de mal : le RGPD, entré en vigueur le 25 mai 2018, est la principale réglementation européenne sur la protection des données personnelles. Ses objectifs ? Harmoniser les lois sur la protection des données dans tous les États membres de l’UE, et renforcer les droits des individus en matière de confidentialité et de sécurité des informations personnelles.
Et la CNIL, dans tout ça ? Elle est chargée de veiller à la conformité avec le RGPD en France. Dans ce cadre, elle s’attache à :
- informer et sensibiliser les citoyens et les entreprises au RGPD à travers des guides et des formations ;
- mener des audits et des contrôles pour vérifier la conformité des organisations avec le RGPD ;
- infliger des amendes en cas de manquements ;
- gérer les plaintes des citoyens concernant des violations de leurs droits en matière de protection des données.
La Loi Informatique et Libertés
C’est LA loi qui a mené à la création de la CNIL en 1978. Modifiée à plusieurs reprises (notamment pour s’adapter au RGPD), il s’agit de la législation française n°1 en matière de protection des données personnelles.
Elle garantit le droit des individus à l’accès, la rectification, l’effacement, et la portabilité de leurs données. En parallèle, la CNIL impose aux entreprises et administrations des obligations strictes en matière de collecte, de traitement, de stockage et de sécurisation de ces mêmes données personnelles.
La directive ePrivacy
La directive ePrivacy, également connue sous le nom de « directive vie privée et communications électroniques », complète le RGPD. Elle régule spécifiquement les données de communications électroniques, telles que les cookies, les données de géolocalisation et les métadonnées. La CNIL veille à la mise en œuvre de cette directive en France, notamment en encadrant l’utilisation des cookies et des traceurs sur les sites web.
Actions et interventions de la CNIL : quelques exemples
Sanctions aux entreprises
En 2023, les chiffres de la CNIL ont explosé : 340 contrôles, 42 sanctions, (soit deux fois plus qu’en 2022), dont 36 amendes pour un total de 89 179 500 euros.
Cependant, cette activité répressive ne date pas d’hier : dès janvier 2019, la CNIL a infligé une amende record de 50 millions d’euros à Google pour manquement aux obligations de transparence, d’information et de consentement dans le cadre du RGPD. La raison ? La Commission a constaté que :
- les informations fournies par Google aux utilisateurs n’étaient pas facilement accessibles ni compréhensibles ;
- le consentement pour la personnalisation des annonces publicitaires n’était pas valablement recueilli.
Deux ans plus tard, en décembre 2020, la CNIL a aussi sanctionné Carrefour France et Carrefour Banque pour un total de 3 millions d’euros, et Amazon pour 35 millions d’euros, en raison de diverses infractions liées à :
- la collecte excessive de données ;
- des pratiques de conservation de données non conformes ;
- des manquements aux droits des utilisateurs.
Contrôles de conformité
La CNIL a aussi eu son rôle à jouer durant la pandémie de COVID-19 ! Elle a en effet participé à l’évaluation et à la supervision des applications de traçage des contacts, comme « StopCovid » en France. Elle a veillé à ce que ces applications respectent les principes de protection des données, notamment en matière de consentement et de minimisation des données collectées.
Guidelines
Mais la CNIL ne fait pas que contrôler et sanctionner : elle intervient régulièrement pour encadrer les comportements, via la publication de guidelines et de bonnes pratiques.
Elle a notamment travaillé sur l’encadrement de l’utilisation des dispositifs de vidéosurveillance, tant dans les espaces publics que privés. C’est pourquoi elle a publié, en 2020, des recommandations pour l’utilisation de la vidéosurveillance dans les entreprises, soulignant l’importance de :
- la proportionnalité ;
- l’information des personnes concernées ;
- la sécurisation des données.
En parlant de surveillance… En 2020, la Commission a mis à jour ses lignes directrices concernant l’utilisation des cookies et autres traceurs, renforçant les exigences en matière de consentement préalable et d’information claire des internautes. Fidèle à sa mission, elle a ensuite mené des contrôles et prononcé des sanctions contre les entreprises ne respectant pas ces nouvelles règles.
Campagnes de sensibilisation
Pour ne pas avoir à trop sanctionner, il faut avant tout éduquer… La CNIL organise donc régulièrement des campagnes de sensibilisation pour informer le public sur la protection des données. Y sont abordés des thèmes variés, allant de la sécurité des données en ligne à la protection des informations personnelles dans le cadre des réseaux sociaux.
Un exemple ? La CNIL s’est mobilisée dans le cadre du Cybermoi/s, un évènement organisé tous les ans durant tout le mois d’octobre par l’ANSSI et Cybermalveillance.gouv.fr : webinaires, outil d’aide à la génération de mots de passe (Phrase2passe), affichage… la Commission ne lésine pas sur les moyens pour sensibiliser les entreprises et les particuliers.
Rapports et publications
Chaque année, la CNIL publie son grand rapport d’activité. Y sont détaillés ses actions, les tendances observées en matière de protection des données, et les défis à venir.
Mais ce n’est pas tout : elle produit de nombreux documents de référence : guides, référentiels, recommandations, méthodologies de référence… le tout, adapté aux besoins des divers secteurs concernés.
Recherche et innovation
Vous ne le savez peut-être pas, mais la CNIL entretient aussi des liens étroits avec le monde de la recherche. Elle organise notamment chaque année un Privacy Research Day (Journée de recherche sur la vie privée), une conférence internationale faisant dialoguer régulateurs et chercheurs sur le sujet… de la vie privée.
Elle travaille également sur le développement de nouvelles technologies de protection de la vie privée, comme les Privacy by Design et les Privacy Enhancing Technologies (PETs).
En plus de la promouvoir, la Commission a aussi pour rôle d’accompagner l’innovation. Dans ce cadre, elle a publié en 2023 une feuille de route sur l’intelligence artificielle visant à :
- encourager le développement d’une IA qui respecte la vie privée ;
- faire collaborer et accompagner les parties prenantes les plus innovantes du secteur ;
- auditer les systèmes existants.
Autre preuve que la CNIL est en phase avec son temps, et notamment notre contexte environnemental actuel : elle a choisi, comme sujet de son 9e cahier IP du Laboratoire d’Innovation Numérique (LINC), celui des intersections entre protection des données et de l’environnement.
Impact et répercussions de la CNIL
Pour les particuliers
Pour les particuliers, la CNIL est une garante de la protection des droits en matière de données personnelles. Les individus peuvent exercer leurs droits (accès, rectification, suppression) grâce aux outils et aux ressources fournis par la CNIL. Elle intervient aussi pour protéger les citoyens contre les abus et les violations de leurs données personnelles.
Pour les entreprises
Les entreprises doivent se conformer aux réglementations de la CNIL, ce qui implique la mise en place de mesures de protection des données robustes. La CNIL fournit des lignes directrices et des recommandations pour aider les entreprises à se conformer à la législation (notamment le RGPD), et les certifications CNIL peuvent servir de preuve de conformité.
Sur la société
La CNIL joue un rôle clé dans la promotion d’une culture de protection des données en France. Son impact se fait sentir non seulement à travers la régulation et la sanction, mais aussi par la sensibilisation et l’éducation du public. Elle contribue à la création d’un environnement numérique sûr et respectueux des droits des individus… Un beau programme, non ?