CNIL Commission nationale de l'informatique et des libertés.

La CNIL è l'autorità di controllo che trasforma il diritto europeo della protezione dei dati in conseguenze concrete all'interno della Francia. Precede il GDPR di decenni, ed è per questo che il suo mandato è più ampio della sola attività sanzionatoria: consiglia il governo sui progetti di legge, accredita e svolge audit, diffonde orientamenti rivolti al pubblico e funge da punto di contatto unico sia per gli interessati che presentano reclami sia per i titolari del trattamento che notificano violazioni. Per un'organizzazione francese, la CNIL è il volto pratico della conformità. È l'organismo che risponde alle vostre domande, quello che vi ispeziona e quello che decide se un problema si conclude con un avvertimento o con una sanzione.

Che cosa fa davvero la CNIL

Considerate la CNIL come quattro funzioni che si sovrappongono, più che come un unico regolatore. In primo luogo, produce orientamenti che diventano il riferimento operativo in Francia: le sue regole sui cookie, i suoi quadri su biometria e selezione del personale, e le sue prese di posizione sull'intelligenza artificiale sono letti come ciò che rappresenta una buona prassi, anche laddove il testo del GDPR rimane generale.

In secondo luogo, conduce il dialogo di vigilanza, gestendo i reclami, controllando le organizzazioni mediante esame documentale e ispezione in loco, ed emettendo diffide formali a conformarsi. In terzo luogo, sanziona, con il potere di imporre misure correttive vincolanti e sanzioni amministrative. In quarto luogo, dota i professionisti di strumenti, il più visibile dei quali è il software PIA utilizzato per strutturare una valutazione d'impatto sulla protezione dei dati.

La maggior parte dei titolari del trattamento non vede mai la versione della CNIL fatta di sanzioni da prima pagina. Vede la versione del dialogo: una richiesta di documenti, una domanda sulla base giuridica, una diffida formale che fissa un termine per correggere qualcosa. Mettere in ordine il vostro registro delle attività di trattamento, le vostre valutazioni d'impatto e le vostre disposizioni relative al DPO è ciò che mantiene l'interazione in quel registro più moderato.

CNIL, GDPR e lo sportello unico dell'UE

La CNIL non scrive la legge che fa applicare. Il GDPR è il regolamento; la CNIL è una delle autorità di controllo nazionali che lo applicano. Questa distinzione conta per i trattamenti transfrontalieri. Nel quadro del meccanismo dello sportello unico, un'organizzazione con stabilimento principale in Francia tratta principalmente con la CNIL in quanto autorità capofila, e la CNIL si coordina con le altre autorità europee attraverso le procedure di cooperazione e coerenza anziché agire isolatamente.

Per i trattamenti puramente nazionali, la CNIL agisce in autonomia. La CNIL è inoltre tra le autorità più attive dell'UE, sicché il suo ragionamento e le sue decisioni sanzionatorie sono studiati ben oltre la Francia come indicazione della direzione che sta prendendo l'attività sanzionatoria europea.

È anche qui che i ruoli che le ruotano attorno trovano il loro posto. Il GDPR crea obblighi; il DPO è il ruolo interno all'organizzazione che vigila sulla conformità e funge da punto di contatto con l'autorità; la CNIL è l'autorità all'altro capo di tale contatto. Un professionista in grado di spiegare come questi tre elementi si relazionano è raramente quello colto in fallo durante un'ispezione.

Che cosa fanno i professionisti con la CNIL

In pratica, lavorare bene con la CNIL è soprattutto preparazione più che reazione. Le abitudini concrete sono costanti nelle organizzazioni francesi mature.

• Mettete in corrispondenza gli orientamenti attuali della CNIL con i vostri trattamenti, in particolare cookie, biometria, selezione del personale e qualsiasi decisione guidata dall'IA, e tenete aggiornata tale corrispondenza.
• Mantenete le prove di accountability che la CNIL chiede di vedere per prime: il registro delle attività di trattamento, le valutazioni d'impatto completate e la base documentata di ciascuna finalità del trattamento.
• Utilizzate lo strumento PIA della CNIL per strutturare le valutazioni d'impatto, affinché il risultato parli il linguaggio stesso dell'autorità.
• Conoscete in anticipo il vostro percorso di notifica delle violazioni, così che un incidente notificabile diventi un processo anziché un'improvvisazione affannosa.
• Trattate una diffida formale come un progetto scandito da una scadenza, non come una negoziazione, e documentate ogni passo che compiete per conformarvi.

Nulla di tutto ciò è esotico. È la stessa disciplina di accountability che il GDPR richiede, organizzata in modo che l'unico organismo più probabilmente destinato a chiederla possa ricevere una risposta rapida e credibile.