CNIL Commission nationale de l'informatique et des libertés.

La CNIL est l'autorité de contrôle qui transforme le droit européen de la protection des données en conséquences concrètes en France. Elle précède le RGPD de plusieurs décennies, ce qui explique que son champ d'action dépasse la seule répression : elle conseille le gouvernement sur les projets de loi, accrédite et audite, diffuse une information accessible au public et agit comme point de contact unique tant pour les personnes concernées qui se plaignent que pour les responsables de traitement qui notifient des violations. Pour une organisation française, la CNIL est le visage concret de la conformité. C'est l'organisme qui répond à vos questions, celui qui vous contrôle et celui qui décide si un problème se solde par un avertissement ou par une amende.

Ce que fait réellement la CNIL

Considérez la CNIL comme quatre fonctions qui se recouvrent plutôt que comme un régulateur unique. Premièrement, elle produit des lignes directrices qui deviennent la référence opérationnelle en France : ses règles sur les cookies, ses cadres sur la biométrie et le recrutement, et ses prises de position sur l'intelligence artificielle sont lus comme l'incarnation des bonnes pratiques, même là où le texte du RGPD reste général.

Deuxièmement, elle conduit le dialogue de contrôle, en traitant les plaintes, en contrôlant les organisations par examen documentaire et inspection sur place, et en émettant des mises en demeure. Troisièmement, elle sanctionne, avec le pouvoir de prononcer des mesures correctrices contraignantes et des amendes administratives. Quatrièmement, elle outille les praticiens, l'exemple le plus visible étant le logiciel PIA utilisé pour structurer une analyse d'impact relative à la protection des données.

La plupart des responsables de traitement ne voient jamais la version « amende qui fait la une » de la CNIL. Ils voient la version dialogue : une demande de documents, une question sur la base légale, une mise en demeure fixant un délai pour corriger quelque chose. Tenir à jour votre registre des traitements, vos analyses d'impact et vos dispositifs relatifs au DPO est ce qui maintient l'échange dans ce registre plus modéré.

CNIL, RGPD et guichet unique de l'UE

La CNIL n'écrit pas la loi qu'elle applique. Le RGPD est le règlement ; la CNIL est l'une des autorités de contrôle nationales qui l'appliquent. Cette distinction compte pour les traitements transfrontaliers. Dans le cadre du mécanisme du guichet unique, une organisation dont l'établissement principal se situe en France traite principalement avec la CNIL comme autorité chef de file, et la CNIL se coordonne avec les autres autorités européennes au moyen des procédures de coopération et de cohérence plutôt qu'en agissant isolément.

Pour les traitements purement internes, la CNIL agit seule. La CNIL compte aussi parmi les autorités les plus actives de l'UE, si bien que son raisonnement et ses décisions de sanction sont étudiés bien au-delà de la France comme une indication de la direction que prend la répression européenne.

C'est aussi là que les rôles qui l'entourent se mettent en place. Le RGPD crée des obligations ; le DPO est la fonction interne à l'organisation qui veille à la conformité et sert de point de contact avec l'autorité ; la CNIL est l'autorité à l'autre bout de ce contact. Un praticien capable d'expliquer comment ces trois éléments s'articulent est rarement celui qui est pris en défaut lors d'une inspection.

Ce que les praticiens font avec la CNIL

En pratique, bien travailler avec la CNIL relève surtout de la préparation plutôt que de la réaction. Les habitudes concrètes sont constantes dans les organisations françaises matures.

• Mettez en correspondance les lignes directrices actuelles de la CNIL avec vos propres traitements, en particulier les cookies, la biométrie, le recrutement et toute décision pilotée par l'IA, et tenez cette correspondance à jour.
• Tenez à jour les preuves de responsabilité que la CNIL demande à voir en premier : le registre des activités de traitement, les analyses d'impact réalisées et la base documentée de chaque finalité de traitement.
• Utilisez l'outil PIA de la CNIL pour structurer les analyses d'impact afin que le résultat parle le langage même de l'autorité.
• Connaissez à l'avance votre procédure de notification des violations, pour qu'un incident à notifier devienne un processus plutôt qu'une improvisation.
• Traitez une mise en demeure comme un projet rythmé par un délai, et non comme une négociation, et documentez chaque mesure que vous prenez pour vous conformer.

Rien de tout cela n'est ésotérique. C'est la même discipline de responsabilité qu'exige le RGPD, organisée de sorte que l'organisme le plus susceptible de la réclamer puisse obtenir une réponse rapide et crédible.