La CNIL et les données personnelles

Si vous avez entendu parler du RGPD, vous avez sans doute entendu parler de la Commission Nationale de l’Informatique et des Libertés (CNIL). Mais quel est son rôle exactement ? Comment cet organisme français indépendant peut-il responsabiliser et influencer les organismes publics et entreprises privées qui traitent vos données personnelles.

La CNIL – Commission Nationale de l’Informatique et des Libertés

La CNIL a vu le jour le 6 janvier 1978 en France. Elle a été instituée par la loi Informatique et Libertés, et a été modifiée en 2004 pour l’adapter au nouvel essor d’Internet et à la protection des données personnelles des citoyens. C’est une autorité administrative indépendante (AAI), soit un organisme public qui agit au nom de l’État, sans être placée sous l’autorité du gouvernement. Elle veille à la protection des données personnelles informatiques et papier des individus. Elle s’assure que l’informatique soit au service du citoyen – et non l’inverse, et veille à ce qu’elle ne porte pas atteinte aux droits de l’homme, à la vie privée ou aux libertés.

C’est l’autorité compétente en France, elle a des homologues dans chacun des Etats Européens.

Composition de la CNIL

La CNIL est composée de 18 membres (élus ou nommés) et s’appuie sur différents services internes. En tant qu’autorité publique, elle est chargée de statuer sur les litiges ou les plaintes qui lui sont soumis par les particuliers et les professionnels. Elle peut également émettre un avis sur les lois proposées par le Parlement ou la validité des fichiers créés par l’Administration.

Les 4 missions de la CNIL

Les prérogatives de la CNIL sont nombreuses. Elles s’étendent d’un rôle d’alerte, de conseil et d’information, jusqu’à un pouvoir de contrôle et de sanction. On distingue 4 grandes missions :

Informer et protéger les droits des citoyens

La CNIL joue un rôle d’informateur auprès de tous les publics. Elle renseigne les citoyens sur leurs droits et conduit des actions de formation et de sensibilisation au RGPD. Elle élabore des outils pédagogiques et des guides, pour accompagner les professionnels et organismes publics dans leur mise en conformité avec le RGPD. La CNIL fédère également une soixantaine d’organismes qui ont vocation à éduquer au numérique (Educnum). Elle protège également les personnes : en cas de difficulté dans l’exercice de ses droit, tout le monde peut saisir la CNIL et lui adresser une plainte. En 2021, elle a ainsi reçu 14143 plaintes, et en 2022, 13160 pour un montant de 101 277 900 euros.

Conseiller et accompagner les entreprises et institutions

La mise en conformité des différents organismes avec le RGPD est la mission prioritaire de la CNIL. À cet effet, elle recherche des solutions qui permettent à ces derniers d’atteindre cet objectif, et propose de nombreuses boîtes à outils pour les aider.

Anticiper et Innover

Dans le monde mouvant et ultra connecté d’aujourd’hui, les enjeux éthiques autour de l’informatique et des données personnelles sont nombreux. La CNIL capte les signaux faibles pour penser les enjeux de demain, et participe à constituer un débat de société. Elle entretient des contacts privilégiés avec les écosystèmes du numérique afin d’être au cœur de l’innovation, et contribue au développement de solutions de protection de la vie privée.

Contrôler et sanctionner

La CNIL joue un rôle de contrôle a posteriori : elle vérifie ainsi si les organismes remplissent concrètement leurs obligations au regard du RGPD. Tous les ans, elle intervient auprès de nombreux responsables de traitement. Ainsi, en 2021, la CNIL a procédé à 384 contrôles, dont 173 en ligne. Elle dispose d’un arsenal de mesures pour rappeler à l’ordre et sanctionner les manquements : avertissement, mise en demeure et en dernier lieu sanctions. Ces dernières peuvent s’élever jusqu’à 20 millions d’euros, ou jusqu’à 4 % du chiffre d’affaires annuel mondial pour une entreprise. Ces sanctions sont rendues publiques.

En cas de litige ou de questionnement, la CNIL est également une alliée de poids. Vous pouvez la saisir pour toute préoccupation liée à la protection de vos données ou pour mener des enquêtes et sanctionner les entités en infraction, garantissant ainsi votre droit à la vie privée.

CNIL et RGPD : les principes de base

Voici les six grands principes et obligations du RGPD pour les entreprises et organismes :

1. Limiter la collecte aux données strictement nécessaires à votre objectif initial. Éviter la collecte de données superflues en appliquant les principes de finalité et de minimisation.
2. Être transparent dès la collecte des données. Informer clairement les individus sur l’usage qui en sera fait et sur leurs droits. S’assurer qu’aucune donnée ne soit collectée à leur insu.
3. Organiser et faciliter l’exercice des droits des personnes. Mettre en place des procédures pour répondre efficacement aux demandes d’accès, de rectification, de suppression ou d’opposition. Favoriser les démarches électroniques via une adresse dédiée.
4. Définir des périodes de conservation adéquates. Ne conserver les données que le temps strictement nécessaire à l’accomplissement de votre objectif. Respecter les obligations légales de conservation des archives publiques lors de l’archivage, de l’anonymisation ou de la destruction.
5. Mettre en place des mesures de sécurité appropriées. Protéger les données physiquement et informatiquement. Contrôler les accès et les habilitations de manière stricte. S’assurer que seuls les tiers autorisés y aient accès. Adapter ces mesures en fonction de la sensibilité des données et des risques associés.
6. Intégrer la conformité dans une démarche continue. S’assurer que tous les agents respectent au quotidien les principes et mesures en place. Effectuer des vérifications régulières pour contrôler que les traitements restent conformes et les adapter si nécessaire.

DPO Agency Délégué externe à la protection des données

Vous savez à présent tout sur le rôle de la CNIL, qui demeure l’autorité clé en matière de respect des droits des libertés informatiques, et a créé à ce jour de nombreux guides pour comprendre comment appliquer le RGPD dans votre entreprise. Cela étant dit, pour le mettre en œuvre, des conseils professionnels sont de rigueur : je vous invite à me contacter pour des conseils, un accompagnement ou une formation.

Pour quelles raisons se faire condamner par la CNIL ?

Découvrez ma vidéo ci-dessous pour connaître les 5 manières infaillibles de vous faire condamner par  la CNIL !

Autrice des News RGPD

Stéphann Fourrier

Consultez régulièrement l’univers RGPD, les acteurs, la mise en conformité,  la protection des données avec Stéphan Fourrier de DPO Agency.