En cinq décennies, la circulation des informations personnelles est devenue à la fois massive et facile à exploiter. Face à ce risque pour la vie privée, la France s'est dotée dès 1978 d'une autorité dédiée : la CNIL, Commission nationale de l'informatique et des libertés. Son rôle s'est encore renforcé avec l'entrée en application du RGPD européen en 2018.
Qu'est-ce que la CNIL, d'où vient-elle, et quelles sont ses missions aujourd'hui ? Cet article fait le point, en corrigeant au passage une idée reçue tenace sur les obligations des organismes, qui a profondément changé depuis le RGPD.
Je précise mon rôle : je vulgarise ici des règles de protection des données. Pour une question de conformité précise, la CNIL elle-même (via son site) ou un professionnel spécialisé sont vos interlocuteurs.
La CNIL est l'autorité française chargée de veiller à la protection des données personnelles. Créée par la loi « Informatique et Libertés » du 6 janvier 1978, c'est une autorité administrative indépendante : elle ne reçoit aucune instruction du gouvernement et reste libre de ses décisions. Sa mission première est de veiller à ce que l'informatique soit au service des citoyens et ne porte pas atteinte à leurs droits.
Elle est composée d'un collège de 18 membres, dont 12 sont élus ou désignés par les assemblées et juridictions auxquelles ils appartiennent : l'Assemblée nationale, le Sénat, le Conseil d'État, la Cour de cassation, la Cour des comptes, auxquels s'ajoutent des personnalités qualifiées. Le mandat des membres est en principe de cinq ans. Le président de la CNIL recrute librement ses collaborateurs, la commission s'appuyant sur une équipe d'agents.
L'histoire de la CNIL est née d'une vive controverse. En 1974, le gouvernement projetait, avec le programme SAFARI (Système automatisé pour les fichiers administratifs et le répertoire des individus), d'interconnecter les fichiers administratifs en identifiant chaque citoyen par un identifiant unique.
Le 21 mars 1974, un article du journal Le Monde intitulé « SAFARI ou la chasse aux Français » révéla le projet et déclencha une forte émotion publique. Cette contestation conduisit à l'abandon du projet, puis à l'adoption de la loi Informatique et Libertés de 1978, qui institua la CNIL. C'est donc en réaction à un risque de surveillance généralisée que l'autorité a vu le jour.
La CNIL veille au respect de la réglementation sur les données personnelles, qu'elles soient traitées par des organismes publics ou privés. Ses missions principales sont les suivantes :
Depuis 2018, la CNIL s'inscrit dans le cadre européen du RGPD et participe au Comité européen de la protection des données (CEPD), qui coordonne les autorités des États membres.
Le traitement des données personnelles obéit à plusieurs principes fondamentaux, que la CNIL fait respecter :
Les données dites sensibles (origine, opinions politiques ou religieuses, santé, orientation sexuelle, données biométriques) font l'objet d'une protection renforcée : leur traitement est interdit par principe, sauf exceptions encadrées (consentement explicite, obligation légale, intérêt vital, par exemple).
C'est ici qu'une idée reçue importante doit être corrigée. Avant 2018, les organismes devaient effectuer des déclarations préalables de leurs fichiers auprès de la CNIL. Ce système n'existe plus.
Depuis l'entrée en application du RGPD, le 25 mai 2018 (transposée en droit français par la loi du 20 juin 2018 et l'ordonnance du 12 décembre 2018), on est passé d'un contrôle préalable à une logique de responsabilisation (accountability). Concrètement, les organismes ne déclarent plus leurs traitements : ils doivent désormais tenir un registre de leurs traitements, être en mesure de démontrer leur conformité à tout moment, et notifier à la CNIL les violations de données dans un délai de 72 heures. La CNIL contrôle a posteriori.
En cas de manquement, la CNIL dispose d'un pouvoir de sanction renforcé. Les amendes administratives peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial de l'organisme, le montant le plus élevé étant retenu. Des sanctions pénales existent par ailleurs dans le Code pénal pour certaines atteintes graves aux données (jusqu'à cinq ans d'emprisonnement et 300 000 € d'amende). Les décisions de la CNIL peuvent être contestées devant le Conseil d'État.
La CNIL, autorité administrative indépendante créée en 1978 en réaction au projet SAFARI, veille à la protection des données personnelles. Composée de 18 membres, elle informe, accompagne, contrôle et sanctionne. Depuis le RGPD (2018), la logique de déclaration préalable a disparu au profit de la responsabilisation : les organismes tiennent un registre et démontrent leur conformité, sous peine d'amendes pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial.
La réglementation évoluant régulièrement, il reste conseillé de consulter le site de la CNIL ou un professionnel pour toute démarche de conformité. Cet article a une vocation purement informative.
Pour aller plus loin : vous pouvez consulter nos articles sur le RGPD, le droit à l'effacement (droit à l'oubli), et le rôle du délégué à la protection des données (DPO).
Article rédigé par
