Une question précise ? Lancez une analyse avec le Copilote →
L’essentiel
- Définition
- Autorité administrative indépendante française créée en 1978
- Composition
- Collège pluraliste de 17 commissaires
- Durée du mandat
- Mandat des membres fixé à cinq ans
- Missions
- Informer, accompagner, contrôler et sanctionner
- Données concernées
- Données personnelles et respect de la vie privée
- RGPD
- Obligations applicables aux responsables de traitement
- Actualités récentes
- Avis, recommandations et sanctions adoptés en 2024
CNIL : définition, rôle et cadre juridique
La CNIL est une autorité administrative indépendante française créée en 1978.
La Commission nationale de l’informatique et des libertés (CNIL) veille à la protection des données personnelles et de la vie privée. Elle informe le public, accompagne les responsables de traitement, contrôle les pratiques et peut prononcer des sanctions. [15, 18]
La CNIL est composée d’un collège pluraliste de 17 commissaires. Le mandat de ses membres est de cinq ans. [15, 16, 17]
Ses missions s’exercent notamment dans le cadre du RGPD : elle adopte des recommandations, rend des avis et intervient pour favoriser la conformité des traitements de données personnelles. [8, 10, 11]
- Informer et sensibiliser le public
- Accompagner les responsables de traitement
- Contrôler les traitements de données personnelles
- Prononcer des sanctions en cas de manquement
Conditions et critères examinés par la CNIL
La CNIL examine notamment la sécurité des données et les conditions de leur conservation. Une faille permettant l’accès non autorisé à des données personnelles peut conduire à une mise en garde ou à une sanction, comme l’illustrent les affaires concernant le Parti socialiste et Darty. [1, 4]
La conservation de données doit être justifiée par une finalité et une base appropriées. La CNIL a ainsi considéré que la conservation des numéros de cartes bancaires de clients non abonnés ne pouvait pas être justifiée par la seule facilitation d’achats futurs sans consentement explicite. [3]
Certains traitements peuvent être soumis à des exigences particulières. La CNIL a refusé l’autorisation de fichiers de locataires susceptibles d’exclure des personnes de l’accès à un contrat de bail, en raison de leur finalité et de garanties jugées insuffisantes. [6, 12]
La désignation d’un délégué à la protection des données peut également constituer une obligation. Le non-respect d’une injonction relative à cette désignation a conduit à la liquidation d’une astreinte visant la commune de Kourou. [9]
- Sécurité et contrôle des accès
- Finalité et durée de conservation
- Respect des droits des personnes
- Désignation d’un délégué à la protection des données lorsque cette obligation s’applique
Exemples d’interventions de la CNIL
| Situation | Intervention | Point de vigilance |
|---|---|---|
| Faille sur un site internet | Sanction de Darty à hauteur de 100 000 euros | Sécuriser les logiciels et les accès aux données |
| Conservation de numéros de carte bancaire | Opposition à la conservation sans consentement explicite des clients concernés | Ne pas conserver les données au-delà de la finalité justifiée |
| Non-désignation d’un DPO par une commune | Liquidation d’une astreinte de 6 900 euros | Respecter les obligations liées au RGPD |
| Fichiers de locataires | Refus possible de l’autorisation | Évaluer la finalité et les risques d’exclusion |
Procédure et démarches pratiques
La CNIL peut intervenir par des avis, des recommandations, des contrôles ou des procédures de sanction. Dans le cadre des sanctions, le respect de l’impartialité, des droits de la défense et du principe du contradictoire a été rappelé par le Conseil d’État. [13, 18]
Les organisations doivent documenter leurs pratiques, sécuriser les données qu’elles traitent et vérifier les modalités d’intervention de leurs prestataires. La responsabilité du responsable du traitement peut subsister lorsque la gestion technique est sous-traitée. [4]
La CNIL publie également des recommandations sectorielles. Elle a notamment adopté des bonnes pratiques pour les applications mobiles et approuvé un code de conduite européen concernant les prestataires de recherche clinique traitant des données pour le compte de promoteurs. [8, 10]
Les organismes publics et les acteurs utilisant des dispositifs particuliers peuvent être concernés par des avis spécifiques de la CNIL, notamment pour les systèmes de lecture automatisée des plaques d’immatriculation ou l’authentification dans le cadre d’un vote électronique. [7, 11]
- Identifier les traitements et leurs finalités
- Mettre en place des mesures de sécurité
- Vérifier les durées de conservation
- Encadrer les relations avec les sous-traitants
- Consulter les recommandations et avis pertinents de la CNIL
CNIL et RGPD : des actualités récentes
Les actualités de la CNIL concernent notamment la sécurité des traitements, les applications mobiles et les obligations des collectivités. Le 18 juillet 2024, elle a adopté une recommandation destinée à clarifier les pratiques de collecte de données dans l’écosystème mobile et à renforcer la confidentialité des utilisateurs.
La CNIL a également liquidé une astreinte de 6 900 euros à l’encontre de la commune de Kourou pour non-désignation d’un délégué à la protection des données, malgré une injonction antérieure. Elle a par ailleurs rendu un avis sur l’extension des traitements liés à la lecture automatisée des plaques d’immatriculation, en insistant sur la protection des libertés et de la vie privée.
Pour approfondir
Points de vigilance : sécurité et conservation des données
Les manquements de sécurité peuvent conduire à une intervention de la CNIL. Darty a ainsi été sanctionnée de 100 000 euros après l’accès en ligne à près d’un million de fiches de service après-vente par la modification d’un identifiant dans une URL.
La sous-traitance ne suffit pas à écarter la responsabilité du responsable du traitement : Darty devait vérifier les caractéristiques de son logiciel de gestion. Dans une autre affaire, la CNIL a mis en garde le Parti socialiste après une faille permettant l’accès non autorisé aux données de ses adhérents et a relevé la conservation illimitée de données d’adhésion.
La conservation des numéros de carte bancaire constitue également un point sensible. Selon la délibération concernant Cdiscount, ces numéros ne peuvent être conservés pour les clients non abonnés sans consentement explicite.
Fichiers de locataires et droit au déréférencement : deux cas particuliers
La CNIL peut refuser l’autorisation de créer des fichiers de locataires à jour de leurs paiements ou d’impayés locatifs. Ces fichiers sont soumis à une autorisation préalable lorsqu’ils peuvent conduire à exclure des personnes du bénéfice d’un contrat, et leur finalité peut être remise en cause lorsqu’elle risque d’entraver l’accès à un logement décent.
En matière de déréférencement, la CNIL a infligé à Google une amende de 100 000 euros pour avoir limité le déréférencement à son domaine français. Le Conseil d’État a saisi la Cour de justice de l’Union européenne afin de préciser l’étendue territoriale de cette obligation et la possibilité d’un géoblocage.
Exemples tirés de nos contenus
Questions fréquentes
CNIL : quelle est sa définition ?
La CNIL est une autorité administrative indépendante française créée en 1978. Elle est composée d’un collège pluraliste de 17 commissaires, dont le mandat est de cinq ans.
À quoi sert la CNIL ?
La CNIL veille à la protection des données personnelles et de la vie privée. Elle informe le public, accompagne les responsables de traitement, contrôle les pratiques et peut prononcer des sanctions.
Quel est le lien entre la CNIL et le RGPD ?
La CNIL accompagne les acteurs dans leur mise en conformité avec les règles de protection des données. Elle peut également contrôler les traitements et sanctionner certains manquements, notamment lorsque les obligations de sécurité ou de désignation d’un délégué à la protection des données ne sont pas respectées.
La CNIL peut-elle sanctionner une commune qui n’a pas désigné de DPO ?
Oui. Dans une décision du 22 juillet 2024, la CNIL a liquidé une astreinte de 6 900 euros prononcée contre la commune de Kourou pour ne pas avoir désigné de délégué à la protection des données malgré une injonction.
Une entreprise peut-elle conserver les numéros de carte bancaire de ses clients ?
La CNIL a considéré que les cybermarchands ne peuvent pas conserver les numéros de carte bancaire des clients non abonnés sans leur consentement explicite. La conservation ne peut pas être justifiée uniquement par la facilitation d’achats futurs.
La CNIL peut-elle refuser un fichier recensant les locataires à jour de leurs paiements ?
Oui. La CNIL peut refuser l’autorisation d’un tel fichier lorsqu’il est susceptible d’exclure des personnes de l’accès à un contrat de bail et qu’il ne présente pas de garanties suffisantes de confidentialité.
Décisions et analyses sur « CNIL »
Dernières décisions
Informations documentaires générées à partir de ressources officielles (jurisprudence, législation …) qui ne constituent pas un conseil juridiqueRetour en haut