A – Les domaines de compétences de la Cnil

La loi n° 78-17 relative à l’informatique, aux fichiers et aux libertés constitue le socle de la protection des données à caractère personnel en France. Afin de contrer les risques issus de la démocratisation de l’informatique au secteur privé (à toutes les entreprises puis à tous les individus), cette loi a été modifiée à plusieurs reprises, notamment le 6 août 2004 et le sera prochainement du fait de la publication du règlement européen. La loi n° 2016-1321 du 7 octobre 2016 pour une république numérique a également entraîné quelques récents changements dans la loi Informatique et libertés.

Ainsi en août 2004, le champ d’application de la loi s’est trouvé élargi à d’autres supports que les stricts traitements automatisés8 de données à caractère personnel. La compétence de la Cnil, pour s’assurer du bon respect de la loi Informatique et libertés, est étendue aux fichiers non automatisés (manuels/papiers)9, notamment ceux contenant des données sensibles, aux images et aux sons ainsi qu’aux systèmes vidéo de surveillance privée. En revanche, la Cnil n’est pas compétente pour les traitements d’activité purement personnelle ni pour les systèmes de vidéosurveillance intéressant la sécurité publique qui relèvent d’une autre disposition légale10.

En août 2004, le focus a également été mis sur la protection de données considérées comme sensibles11, que le traitement soit public ou privé. La Cnil veille donc à ce que ces données ne soient jamais collectées sauf consentement des personnes ou légitimité du traitement.

Issus des textes successifs qu’ils l’ont façonnée, plusieurs grands principes permettent à la Cnil de s’assurer que les responsables de fichiers, automatisés ou non, traitent les données à caractère personnel conformément à la loi Informatique et libertés. Leurs esprits et contenus sont suffisamment larges pour leur permettre de s’adapter aux évolutions technologiques futures. Ainsi, chaque responsable de traitement, sous peine de sanctions pénales et/ou de sanctions prononcées par la Cnil doit les observer. Premièrement, tout traitement de données à caractère personnel doit reposer sur une finalité licite et déterminée. Deuxièmement, le consentement des personnes doit être recherché ou satisfaire à d’autres conditions comme le respect d’une obligation légale, l’exécution d’une mission de service public, d’un contrat etc. Troisièmement la collecte des données doit être pertinente et non excessive au regard de la finalité poursuivie. Quatrièmement, les droits des personnes doivent être portés à leur connaissance par le responsable de traitement et être appliqués. Cinquièmement, la sécurité des données doit être garantie par le responsable de traitement, lequel doit mettre en œuvre toute mesure technique et organisationnelle permettant d’éviter que les informations ne soient volées, transformées, détruites ou que des tiers non autorisés y aient accès. Enfin, le responsable de traitement, sous réserve d’une durée d’archivage spécifiquement arrêtée par la loi, ne doit pas conserver les données plus longtemps que ne le requiert la finalité pour laquelle il les a collectées.

Sur la base de ces compétences, les prérogatives de la Cnil se sont vues augmenter avec la loi d’août 2004 et devraient continuer de se renforcer dans l’avenir.

B – Une diversification des missions en lien avec le développement du numérique et des nouveaux outils technologiques de communication

En premier lieu et dans la droite ligne de sa création, la Cnil autorise et réglemente.

Elle autorise d’abord l’existence des traitements/fichiers préalablement à leur mise en œuvre. Ainsi plusieurs formalités préalables, graduées selon la sensibilité des informations détenues par les fichiers, ont été instaurées : de la déclaration pour les traitements ne détenant pas de données personnelles à caractère sensible à l’autorisation ou l’avis pour les fichiers contenant des données réputées sensibles par la loi12. La Cnil détient ainsi le « registre des registres » c’est-à-dire qu’elle recense l’intégralité des traitements autorisés par ses soins et mis en œuvre par les responsables de traitements13 publics ou privés en France.

Elle réglemente ensuite, puisque réunie en formation restreinte ou plénière, les commissaires prennent des délibérations visant à autoriser les traitements ou à créer des cadres référencés auxquelles les responsables de traitement déclarent se conformer en fonction des secteurs dont ils relèvent. Par ailleurs, la Cnil émet régulièrement des avis sur des textes législatifs et réglementaires et génère par conséquent une véritable doctrine « informatique et libertés » dans de nombreux domaines.

En second lieu, la Cnil informe et protège. Elle renseigne les personnes sur l’effectivité de leurs droits d’accès, de rectification, d’opposition et d’effacement concernant leurs données détenues par les responsables de traitement et les assiste pour que leurs droits soient observés.

À noter que la loi Lemaire du 7 octobre 2016 et le règlement européen, en écho, renforcent ces droits. Ainsi l’article 1er de la loi Informatique et libertés s’est vu compléter par le principe suivant lequel « toute personne dispose du droit de décider et de contrôler les usages qui sont faits des données à caractère personnel la concernant, dans les conditions fixées par la présente loi », sorte de droit à « l’autodétermination informationnelle »14. D’autres droits sont créés et consolidés par le règlement tels le droit d’être informé de ses droits de manière adaptée, le droit à la portabilité de ses données, le droit à l’oubli pour les mineurs, le droit au déréférencement, etc. Dans cette même logique, la Cnil garantit également le droit d’accès indirect aux traitements intéressant la sûreté de l’État, la défense et la sécurité publique (fichiers STIC, JUDEX, RG, etc.).

En troisième lieu, la Cnil conseille et accompagne la conformité auprès des opérateurs publics et privés qui traitent des données à caractère personnel. Le développement de l’informatique et du numérique allié à l’entrée en vigueur de textes successifs et importants nécessite que la Cnil accompagne les acteurs afin que la protection des données et les droits des personnes soient garantis, gage de confiance nécessaire tant à l’égard des personnes concernées qu’à la continuité des activités. L’accompagnement de la conformité s’articule autour de trois points essentiels : le développement des correspondants informatique et libertés (Cil), la création des « packs de conformité »15 et des reconnaissances de bonnes pratiques via la remise de labels.

En quatrième lieu, la Cnil anticipe et innove sans cesse face aux progrès, usages et contraintes issus des nouvelles technologies de l’information et de la communication susceptibles d’avoir des incidences sur la vie privée des personnes. Dans cette perspective, elle s’est dotée d’un laboratoire qui contribue au développement de solutions technologiques protectrices de la vie privée et qui accompagne les entreprises au respect du « privacy by design »16. Le Linc17 effectue des recherches sur les NTIC18, échange sur les tendances émergentes du développement numérique et sur leurs incidences éventuelles concernant la sécurité des données.

En cinquième lieu, car c’est l’une de ses missions initiales, la Cnil contrôle.

A – Des contrôles a priori nécessaires

Le contrôle a priori se traduit à la fois par l’existence des formalités préalables (déclarations, demande d’autorisations, etc.), y compris sous forme simplifiée, mais également par l’existence, au plus près des traitements, des correspondants informatique et libertés.

Par l’existence de ces formalités préalables, la Cnil oblige le responsable, préalablement à la création des fichiers, à penser l’intégralité des enjeux et obligations concernant le/les traitement(s) qu’il souhaite mettre en œuvre. Son pouvoir réglementaire permet également à la Cnil d’élaborer des normes simplifiées, cadres de référence auxquels les responsables de traitement s’engagent à se conformer. Les offices notariales n’échappent pas à ce contrôle a priori du fait qu’elles traitent des données à caractère personnel, dont certaines sont sensibles aux yeux de la loi. Elles se voient d’ailleurs dotées de textes de références auxquels elles doivent souscrire. Ainsi la norme simplifiée n° 05519 ou l’autorisation unique n° 00620 encadrent la pratique des traitements notariés. Les données pouvant être collectées et enregistrées sont énumérées par ces cadres de références. Les personnels habilités à accéder directement aux informations contenues dans le traitement de données à caractère personnel sont également énumérés. L’autorisation prévoit l’identité des destinataires à qui les données peuvent être communiquées, autres que les collaborateurs de l’étude. Les durées de conservation des données sont définies. Des mesures de sécurité organisationnelles et techniques sont recommandées afin de garantir la confidentialité des données. Les personnes sont informées, lors du recueil des données, de leurs droits d’accès, de rectification ou d’opposition qui leur sont reconnus par la loi du 6 janvier 1978 modifiée.

Ces cadres permettent ainsi que les grands principes posés par la loi Informatique et libertés et repris par le règlement européen soient connus, compris et respectés. Ils constituent une forme de « guidance » et de repères pour les responsables de traitement.

Par ailleurs, depuis 2005, date de création de cette fonction, la Cnil a encouragé la désignation de Cil, les forme et les accompagne dans leurs missions. Véritable relais de la Cnil auprès du responsable de traitement, le Cil s’assure du respect de la loi pendant toute la durée du traitement, tient le registre des traitements à jour, sensibilise aux enjeux de la loi, conseille et alerte. Si cette fonction était facultative, il semble que le règlement européen en fasse aujourd’hui une obligation dès lors que les activités de base du responsable de traitement ou du sous-traitant consistent en un suivi régulier et systématique, à grande échelle, des personnes concernées par le traitement ou lorsqu’ils mettent en œuvre un traitement à grande échelle de données réputées sensibles. Ainsi le nouveau Cil, rebaptisé Dpo21 (soit délégué à la protection des données en français !), chef d’orchestre de la conformité dès mai 2018, voit ses prérogatives renforcées par le règlement. Il opérera un contrôle continu sur le respect du règlement et du droit national en matière de protection des données au sein du périmètre dont il aura la responsabilité. Véritable point de contact avec l’autorité de contrôle, il coopérera avec la Cnil pour pallier les écarts et manquements repérés.

B – Des contrôles a posteriori efficaces par l’exemplarité

La loi d’août 2004 a renforcé les pouvoirs de contrôle a posteriori de la Cnil qui est désormais dotée d’un pouvoir de sanction y compris à l’encontre du secteur privé.

Ainsi, lorsqu’un manquement à la loi Informatique et libertés est porté à la connaissance de la Cnil par réclamations, pétitions et plaintes, l’article 11-f de la loi lui permet « de charger un ou plusieurs de ses membres ou le secrétaire général, dans les conditions prévues à l’article 44, de procéder ou de faire procéder par les agents de ses services à des vérifications portant sur tous traitements et, le cas échéant, d’obtenir des copies de tous documents ou supports d’information utiles à ses missions ».

Le contrôle peut avoir lieu sur place, sur pièces, sur audition ou en ligne22. Le procureur de la République territorialement compétent est prévenu du contrôle en amont. Les agents de la Cnil, munis d’une lettre de mission, peuvent accéder à l’ensemble des locaux professionnels entre 6 heures et 21 heures et être accompagnés d’experts le cas échéant. L’entrave à leur action constitue un délit pénal puni d’un an d’emprisonnement et/ou de 15 000 € d’amende. Ce contrôle permet aux agents de la Cnil de confronter la mise en œuvre concrète de la loi par le responsable de traitement aux failles rapportées.

À l’issue du contrôle et conformément au chapitre VII de la loi, la formation restreinte de la Cnil peut, au regard des manquements constatés, mettre en demeure le responsable de traitement de se mettre en conformité dans un délai qu’elle fixe ou sous un délai de 24 heures en cas d’extrême urgence. Si le responsable de traitement se conforme à la mise en demeure, la procédure est clôturée. À l’inverse et s’il ne se conforme pas à la mise en demeure, la formation restreinte peut prononcer, en respectant une procédure contradictoire, soit un avertissement, soit une sanction pécuniaire (à l’exception des cas où le traitement est mis en œuvre par l’État), soit une injonction de cesser le traitement. Des mesures d’urgence sont prévues en cas d’atteinte particulièrement grave aux droits et aux libertés. La formation restreinte peut rendre publiques les sanctions qu’elle prononce.

Afin de séparer les pouvoirs d’instruction et de sanction, la loi de 2011 relative au Défenseur des droits a confié les fonctions de déclenchement des poursuites, de contrôle et de mise en demeure au président de la Cnil et celles de jugement et de sanction à une formation restreinte composée de six membres de la Cnil. Cette organisation est critiquée par une partie des professionnels du droit qui n’apprécie pas que le pouvoir de juger et de sanctionner soit confié à une commission plutôt qu’aux juridictions répressives. En 2016, 430 contrôles ont été effectués dont 101 en ligne et 94 contrôles relatifs à la vidéo. Concernant l’origine de ces contrôles, 60 % ont été initiés par la Cnil, notamment au vu de l’actualité, 20 % émanent du programme annuel décidé par les membres de la commission, 15 % s’inscrivent dans le cadre de l’instruction de plaintes et 5 % sont réalisés dans le cadre des suites de mises en demeure ou de procédures de sanction23.

Si l’efficacité du contrôle a posteriori opéré par la Cnil se mesure à l’aune des 7 703 plaintes reçues par la commission en 2016, dont seulement 1 155 d’entre elles ont été instruites, sans doute est-il alors possible d’évoquer une relative efficacité des contrôles opérés par la commission.

En revanche, si l’efficacité du contrôle a posteriori se mesure par référence aux sanctions exemplaires, parfois publiques, décidées par la Cnil à l’encontre des responsables de traitement qui s’enrichissent grâce aux données à caractère personnel, en faisant fi de la sécurité desdites données au détriment du respect de la vie privée des personnes, alors sans doute est-il possible de considérer la Cnil comme un organe de contrôle efficace.

En effet, devant le nombre considérable d’atteintes aux données à caractère personnel et à la loi Informatique et libertés, force est d’admettre qu’il est impossible pour la Cnil de poursuivre toutes ces infractions, sauf à se doter de moyens humains qu’elle ne pourrait juguler. Son efficacité réside alors dans un choix politique, celui de « frapper fort pour l’exemple », afin de dissuader les infractions à la loi et de pousser les responsables de traitement à se mettre en conformité. Le futur règlement européen s’inscrit totalement dans cette perspective dans la mesure où les sanctions financières vont devenir encore plus sévères24 et que les sous-traitants de données vont partager et assumer la coresponsabilité des traitements.

Conclusion

Avec la prochaine application du règlement européen, les formalités préalables devraient s’effacer au profit d’une logique de responsabilité et de transparence dite « d’accountability ». Ce principe, notion phare du règlement, réside d’une part dans la prise en compte de la protection des données dès la conception d’un service ou d’un produit et des traitements qui s’y rapportent et d’autre part, dans la mise en place d’une organisation, de mesures et d’outils internes garantissant une protection optimale des données traitées.

Les contrôles réalisés par la Cnil devraient par conséquent s’orienter davantage vers des contrôles a posteriori. Dès mai 2018, il appartiendra à tous les responsables de traitement mis en cause de démontrer leur conformité à l’ensemble des dispositions de la loi Informatique et libertés, laquelle aura été revisitée suite aux apports du règlement. Ils devront prouver qu’ils ont bien cartographié l’ensemble des traitements mis en œuvre et qu’ils sont bien organisés et structurés (sécurité logique/sécurité informatique/mesures organisationnelles/mesures techniques) pour protéger les données. La présence d’un délégué à la protection des données, même mutualisé, semble s’imposer.