L’essentiel
La conformité du dispositif de sécurité ne peut donc pas être dissociée de celle des traitements qu’il met en œuvre. La recommandation a été élaborée après une consultation publique, dont les contributions ont été analysées et, le cas échéant, intégrées à la version finale. La délibération mentionne également l’article 8-I-2°-b) de la loi n° 78-17 du 6 janvier 1978, sans en préciser les modalités d’application.
En résumé
- Adoption de la recommandation sur le serveur mandataire web filtrant
- Article 32 du RGPD mobilisé pour la sécurité des données
- Traitements associés soumis eux-mêmes au RGPD
- Consultation publique analysée avant la version finale
- Publication prévue au Journal officiel
Contexte de l’affaire
Ces solutions peuvent contribuer à la sécurité des données, mais reposent elles-mêmes sur des traitements de données à caractère personnel. Un projet de recommandation a été soumis à consultation publique du 28 juillet au 30 septembre 2025. Les retours recueillis ont été analysés et certains ont été pris en compte dans la version finale.
La CNIL a ensuite adopté la recommandation par délibération et prévu la publication de cette dernière au Journal officiel de la République française.
Conditions / critères (ce que le juge vérifie)
- Utiliser le serveur dans une démarche de sécurité en profondeur
- Rattacher le dispositif à l’obligation de sécurité de l’article 32 du RGPD
- Identifier les traitements de données mis en œuvre par l’outil
- Assurer la conformité de ces traitements au RGPD
- Prendre en compte les observations recueillies lors de la consultation
Preuves retenues (ce qui a fait pencher la décision)
- Texte de la délibération n° 2026-022
- Référence à l’article 32 du RGPD
- Projet soumis à consultation publique
- Analyse des retours de l’écosystème
- Version finale de la recommandation adoptée
Conséquences pratiques
- Évaluer les traitements associés au serveur
- Vérifier leur conformité au RGPD
- Documenter leur contribution à la sécurité
- Prendre en compte la recommandation de la CNIL
- Actualiser l’analyse après publication des orientations
Checklist pour Avocats
À faire
- Cartographier les traitements du serveur filtrant
- Évaluer les mesures de sécurité déployées
- Vérifier l’application de l’article 32 du RGPD
- Documenter la conformité des traitements associés
- Consulter la recommandation publiée par la CNIL
À éviter
- Assimiler sécurité technique et conformité RGPD
- Déployer le serveur sans analyser ses traitements
- Négliger les données traitées par filtrage
- Écarter les exigences de sécurité applicables
- Ignorer les orientations finales de la CNIL
FAQ / Q-R juridiques
L’obligation de sécurité des traitements
L’article 32 du règlement (UE) 2016/679 est mentionné comme fondement de l’obligation de sécurité des données. La CNIL indique qu’un serveur mandataire web filtrant peut contribuer à satisfaire cette obligation dans le cadre d’une approche de sécurité en profondeur.
La conformité des traitements associés aux outils de sécurité
Le déploiement d’un serveur mandataire web filtrant repose lui-même sur des traitements de données. La CNIL rappelle que ces traitements doivent également être conformes au RGPD, indépendamment de la contribution de l’outil à la sécurité des données.
La consultation publique d’une recommandation
Le projet de recommandation a été soumis aux observations de l’écosystème du 28 juillet au 30 septembre 2025. Les contributions ont été analysées et, le cas échéant, prises en compte avant l’adoption de la version finale.
Textes cités
RGPD & protection des données
Approfondir ce sujet :