Loi de 1978 et modification en 2004

La loi relative à l'informatique, aux fichiers et aux libertés du 6 janvier 1978 constitue le fondement de la protection des données à caractère personnel dans les traitements informatiques mis en œuvre sur le territoire français. Elle a été réformée par la loi du 6 août 2004, qui transposait, de façon libre, la directive européenne du 24 octobre 1995 sur la protection des données à caractère personnel (dir. 95/46/CE). La loi de 2004 allège de façon substantielle les obligations déclaratives des détenteurs de fichiers, accroît les pouvoirs de la CNIL en ce qui concerne les contrôles sur place et les sanctions, et renforce les droits des personnes^[4]. Elle a également créé les « Correspondants Informatique et Libertés » (CIL). Il s’agit de professionnels, qui au sein de leur organisme (entreprise, administration ou collectivité locale), veillent au respect de la loi Informatique et Libertés.

Règlement européen sur la protection des données de 2016

Le 25 janvier 2012, la Commission européenne a adopté un projet de règlement européen et de directive réformant le cadre de la protection des données. Le règlement devrait entrer en vigueur dans les deux ans à compter de sa publication après adoption par le Conseil et le Parlement européens dans chaque pays membre de l'Union. En mars 2012, le Groupe de Travail G29 a adopté un avis sur les propositions de réforme présentées par la Commission Européenne. Il se félicite du renforcement des droits des individus, des pouvoirs des autorités de contrôle et des responsabilités des responsables de traitements et sous-traitants. Toutefois, en dépit de ces avancées positives, le G29, comme la CNIL, estiment que le projet de règlement nécessite des éclaircissements et des améliorations ^[5].

Le règlement général sur la protection des données (RGPD) ainsi que la directive relative à la protection des données à caractère personnel à des fins répressives ont été adoptés le 14 avril 2016 par le Parlement européen^[6]. Ses dispositions sont directement applicables dans l'ensemble des 27 États membres de l'Union Européenne à partir du 25 mai 2018^[6].

En 2018, plus de 11 000 plaintes ont été déposées auprès de la CNIL, soit une augmentation de 32% sur la période de 7 mois où le RGPD était en vigueur^[7].

La loi « Informatique et Libertés » a été mise en conformité et cohérence avec la réglementation européenne successivement par la loi du 20 juin 2018, l'ordonnance du 12 décembre 2018, et plusieurs décrets^[8].

Collège de 18 membres

La commission se compose d’un collège pluraliste de 18 personnalités nommées pour cinq ans renouvelable une fois :

• quatre parlementaires (deux députés et deux sénateurs) ;
• deux membres du Conseil économique, social et environnemental ;
• six représentants des hautes juridictions (deux conseillers d’État, deux conseillers à la Cour de cassation, deux conseillers maîtres à la Cour des comptes) ;
• cinq personnalités qualifiées : trois désignées par décret, un par le Président de l’Assemblée nationale et un par le président du Sénat ;
• un membre de la Commission d'accès aux documents administratifs.

Autorité administrative indépendante

12 des 18 membres sont élus ou désignés par les assemblées ou les juridictions auxquelles ils appartiennent.

La CNIL élit son président parmi ses membres. Depuis le 1^er septembre 2012 et l’adoption des lois organiques et ordinaires relatives au Défenseur des droits, la fonction de président de la CNIL est devenue incompatible avec toute activité professionnelle, tout mandat électif national, tout autre emploi public et toute détention, directe ou indirecte, d'intérêts dans une entreprise du secteur des communications électroniques ou de l'informatique. La fonction de président est désormais un emploi à plein temps.

La CNIL ne reçoit d’instruction d’aucune autorité. Les ministres, autorités publiques, dirigeants d’entreprises, publiques ou privées, ne peuvent s’opposer à son action.

Les décisions de la CNIL, qui prennent le nom de délibération, peuvent faire l’objet de recours devant le Conseil d'État.

Présidents

Secrétaires généraux

Le secrétaire général de la CNIL coordonne et encadre les activités des directions de la CNIL. Il organise également le fonctionnement du Collège et de la formation restreinte.

Séances plénières et formation restreinte

Les membres du Collège de la CNIL se réunissent en séances plénières quasiment une fois par semaine sur un ordre du jour établi à l’initiative de son président. Une partie importante de ces séances est consacrée à l’examen de projets de loi et de décrets soumis à la CNIL pour avis par le gouvernement. La CNIL autorise également la mise en œuvre de fichiers les plus sensibles, parmi lesquels ceux faisant appel à la biométrie.

Depuis le 25 mai 2018, la formation restreinte peut prononcer des sanctions^[28] à l’égard d'organismes qui ne respectent pas le règlement général sur la protection des données (RGPD) de l'Union européenne jusqu’à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires mondial.

Le 31 mars 2011, les lois organiques et ordinaires relative au Défenseur des droits ont modifié l’organisation de la formation restreinte. L’article 13 de la loi du 6 janvier 1978 modifiée en août 2004 a ainsi été modifié pour prévoir que le président et les deux vice-présidents de la CNIL (lesquels composent son bureau) ne sont plus éligibles à la formation restreinte de la CNIL. Celle-ci est composée d’un président distinct de celui de la formation plénière et de cinq autres membres élus par les 18 membres du Collège. Cette réforme donne aussi une plus grande liberté de publicité des décisions de la CNIL : le bureau peut désormais, sur demande du président, décider de la publicité des mises en demeure, et la formation restreinte dispose, elle, d’une plus grande liberté pour la publication des sanctions.

Activités hors séances plénières

Seuls les dossiers nécessitant une décision ou une prise de position du collège des commissaires sont évoqués lors des séances plénières. En dehors des séances, les commissaires sont chargés de suivre plus particulièrement les secteurs qui leur sont attribués par le président en liaison avec les services. Les commissaires peuvent être chargés de représenter la CNIL dans diverses réunions ou instances, et participer à des missions de contrôle. Les commissaires ayant la qualité de magistrats ou d'anciens magistrats sont seuls habilités à avoir accès aux fichiers de police pour le compte des citoyens concernés (droit d'accès indirect).

La CNIL, dont les moyens ont plus que doublé depuis l'an 2000, s'appuie sur un effectif d'environ 270 agents (en 2022). Pour remplir ses missions, le président de la CNIL, assisté d'un secrétaire général, s’appuie sur différents services organisés au sein de quatre directions : une direction des affaires juridiques, internationales et de l’expertise, une direction des relations avec les usagers et du contrôle, une direction des ressources humaines, financières, informatiques et logistiques, et une direction des études, de l’innovation et de la prospective, créée en 2011.

Dans l’exercice de ses missions, la CNIL répond aux demandes de conseils qui lui sont adressées par des responsables de traitements, instruit les plaintes dont elle est saisie par les citoyens, organise des contrôles sur place. Elle procède également aux vérifications nécessaires dans le cadre du droit d’accès indirect aux fichiers intéressant la sécurité publique et la sûreté de l’État, et délivre à toute personne qui en fait la demande un extrait de la liste des traitements qui lui sont déclarés (« fichier des fichiers »).

Au-delà de ses activités de recensement, de contrôle des fichiers, des réponses faites aux demandes de conseil et de l’instruction des plaintes, la CNIL consacre une partie de son activité à l’information des personnes sur leurs droits et sur leurs obligations. Directement sollicitée par de nombreux organismes ou institutions pour conduire des actions de formation et de sensibilisation à la loi « Informatique et Libertés », la CNIL participe à des colloques, des salons ou des conférences pour informer. La CNIL a déjà organisé 21 rencontres régionales. Il s’agit d’aller périodiquement à la rencontre de l’ensemble des acteurs publics ou privés concernés par la protection des données personnelles, dans une région à l’instar des entreprises et des administrations déconcentrées de l’État. Pour donner plus d’écho à ses décisions ou à ses actions, la CNIL dispose de différents outils de communication : site internet, lettre mensuelle électronique adressée à 36 661 abonnés, rapports annuels, communiqués de presse ainsi qu’une collection de guides pratiques^[29], la plupart étant édités uniquement en français, sauf pour les guides sur la sécurité^[30] et la gestion des risques^[31],[32] qui sont édités en français et en anglais.

Six missions principales

Droits « informatique et libertés »

Intelligence artificielle

La CNIL s'est dotée début 2023 d'un service dédié à l'intelligence artificielle^[42].

Obligations des responsables du traitement

• Notifier la mise en œuvre du fichier et ses caractéristiques à la CNIL, sauf cas de dispense prévus par la loi ou par la CNIL.
• Mettre les personnes concernées en mesure d’exercer leurs droits en les en informant.
• Assurer la sécurité des informations afin d'empêcher qu’elles soient déformées, endommagées ou que des tiers non autorisés n'y aient accès. La loi prévoit une obligation de mesures techniques et d'organisation, une obligation de moyens, dénuée d'obligation de résultat^{[43],[44],[45],[46]}.
• Se soumettre aux contrôles et vérifications sur place de la CNIL et répondre à toute demande de renseignements qu’elle formule dans le cadre de ses missions.

Statistiques

Au niveau de l'Union européenne

L’Union européenne a adopté le 24 octobre 1995 une directive destinée à harmoniser au sein des États membres la protection assurée à toute personne quel que soit le lieu où sont opérés les traitements de ses données à caractère personnel.

À ce jour, les trente-et-un États membres de l'Espace économique européen (Union Européenne plus Islande, Liechtenstein, Norvège) disposent d’une loi « informatique et libertés » et d’une autorité de contrôle indépendante.

Administrations équivalentes dans d'autres pays

D’autres pays européens non membres de l’Union ont adopté des lois et des garanties similaires à celles reconnues par les États membres, tels que la Macédoine, les îles anglo-normandes, Monaco, Gibraltar et la Suisse.

Au-delà de l’Europe, des pays tels que le Canada, l’Argentine, l’Australie, la Nouvelle-Zélande, la Corée du Sud, la Tunisie, le Maroc, le Burkina Faso, le Sénégal, le Mali, le Cap Vert, le Ghana, le Madagascar, l'Ile Maurice, le Gabon, le Malawi, la Côte d'Ivoire et le Niger se sont également dotés d’une loi et d’une autorité indépendante de contrôle. D’autres États ont fait le choix d’adopter une législation de garanties, quelquefois limitée au seul secteur public ou à certaines activités du secteur privé, sans toujours instituer une autorité indépendante de contrôle dotée de larges pouvoirs ; il revient alors aux juridictions judiciaires de sanctionner la méconnaissance des droits reconnus. Tel est le cas pour les États-Unis, le Japon, le Paraguay, Taïwan, et la Thaïlande.

Expiration de mention

Monsieur C., 24 ans, mécanicien aéronautique, a souhaité exercer son droit d’accès indirect aux fichiers de police judiciaire, à la suite de la décision de refus de délivrance de son badge aéroportuaire, indispensable à l’exercice de sa profession. Les vérifications effectuées par la CNIL, ont conduit à la suppression de son signalement dans le STIC pour une affaire de « vol simple » dont le délai de conservation, fixé à cinq ans, était expiré.

Acte ne devant pas être référencé

Monsieur P., 35 ans, a sollicité la délivrance d’une carte professionnelle pour exercer dans la sécurité privée. Il a parallèlement saisi la CNIL d’une demande de droit d’accès indirect aux fichiers de police judiciaire. Au terme des vérifications, deux affaires de nature contraventionnelle ont été supprimées du STIC et les deux restantes ont fait l’objet d’une mise à jour par mention des décisions de classement sans suite pour « carence du plaignant » et « préjudice peu important » dont il avait bénéficié. Monsieur P. qui, malgré ces inscriptions, a pu obtenir sa carte professionnelle, ne devrait, dès lors, pas avoir de difficultés à obtenir son renouvellement à l’avenir car il est désormais inconnu administrativement de ce fichier.

Personne fichée à tort

Une personne, fichée à tort, s'était vu écartée d'une candidature pour travailler sur le tarmac de l'aéroport de Roissy-Charles-de-Gaulle. Le temps de corriger les données, l'emploi a été attribué à une autre personne^[54].

Monsieur G., 57 ans, commandant de bord depuis plus de vingt ans au sein d’une compagnie aérienne, a été en butte à des difficultés de renouvellement de son badge aéroportuaire. Si ce badge lui a finalement été délivré avec retard, sa validité a été limitée à un an au lieu de trois ans. N’ayant pu obtenir de plus amples explications, Monsieur G. a souhaité exercer son droit d’accès indirect afin de déceler l’origine de ses difficultés. Les vérifications menées par la CNIL ont conduit à la suppression de son enregistrement dans le fichier JUDEX pour une affaire de « travail clandestin, abus de biens sociaux et escroquerie » dans laquelle il n’était pas mis en cause. Monsieur G était juste cité dans la procédure mais ni en tant que mis en cause ni en tant que victime. Lors de l’intégration du compte rendu d’enquêtes dans JUDEX, il y a été intégré à tort comme l’auteur de ces faits, ce qui a été à l’origine de ses difficultés^[55].

Protection des données de santé personnelles

IQVIA a noué un partenariat avec 14 000 pharmacies françaises, stocke et traite des données de santé de clients de pharmacies en France. La CNIL qui avait donné un accord, lance une enquête et des contrôles^{[56],[57],[58]}.

Reconnaissance faciale

Pour les expériences Reconnaissance faciale et possibles extensions en France^[59] ou en Europe et éviter l'avènement d'une société de surveillance, il faut s'assurer que ces projets^[60] soient conformes, avec les constitutions, aux règles du RGPD, et qu'ils soient contrôlés^[61] par les autorités indépendantes telles que la CNIL.

L'entreprise Clearview AI fait l'objet de plusieurs controverses et procédures judiciaires vis-à-vis des milliards d'images qu'elle a collectées sur Internet^[62],[63].

En décembre 2021, La CNIL met en demeure l’entreprise Clearview AI, lui demande de supprimer les données collectées en France et lui enjoint de cesser ce type de pratique sur le territoire français « Clearview AI ne dispose pas non plus d’un intérêt légitime à collecter et utiliser ces données, notamment au regard du caractère particulièrement intrusif et massif du procédé qui permet de récupérer les images présentes sur Internet de plusieurs dizaines de millions d’internautes en France. ». Les activités de l'entreprise font déjà l’objet de multiples enquêtes dans le monde^[64]. Clearview n'ayant pas donné suite à la mise en demeure, la CNIL la condamne à une amende de 20 millions d'euros le 20 octobre 2022, auquel elle a deux mois pour se conformer sous peine d'une astreinte de 100 mille euros d'amende supplémentaires par jour de retard^[65],[66].

Le Point et son palmarès annuel des hôpitaux et des cliniques

En 2022, la CNIL coupe l’accès à une base de données nécessaire au journal Le Point pour que celui-ci établisse son palmarès annuel des hôpitaux et des cliniques. Elle prend cette décision après que le Comité éthique et scientifique pour les recherches, les études et les évaluations dans le domaine de la santé (Cesrees), dépendant des ministères de la Santé et de la Recherche, a émis un avis négatif pour la délivrance des données, étant en désaccord avec la méthodologie de l'enquête du magazine. Dans sa décision, la CNIL« invite » Le Point à modifier sa méthodologie en fonction des remarques du Cesrees afin que soient « corrigés de façon substantielle » ses « biais » méthodologiques. La rédaction du magazine s'étonne qu'« un journal est sommé de faire valider son travail par l'administration »^[67],[68].

La société d'exploitation de l'hebdomadaire, SEBDO, a ainsi contesté cette décision devant le Conseil d'État le 23 décembre 2022, pour « excès de pouvoir » et lui demandé d'enjoindre à la CNIL de lui délivrer à titre provisoire une autorisation lui permettant de réaliser ce classement. Cette requête a été rejetée par le Conseil d'État, au principal motif que la décision de la CNIL était régulière^[69].

Bibliographie

: document utilisé comme source pour la rédaction de cet article.

• Loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (texte consolidé).
• Décret n°2005-1309 du 20 octobre 2005 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, Légifrance, version consolidée au 1^er avril 2012.
• Loi du 6 août 2004 relative à la protection des personnes physiques à l'égard des traitements de données à caractère personnel et modifiant la loi n^o 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés (texte d'origine).
• Loi du 7 octobre 2016 pour une République numérique
• 31^e rapport d'activité 2010 de la Commission nationale de l'informatique et des libertés, La Documentation française.
• 30^e rapport d'activité 2009 de la Commission nationale de l'informatique et des libertés, La Documentation française.
• 29^e rapport d'activité 2008 de la Commission nationale de l'informatique et des libertés, La Documentation française.
• Guillaume Desgens-Pasanau, La Protection des données à caractère personnel, Litec LexisNexis, coll. « Carré Droit », septembre 2012 (ISBN 2711016838).
• David Forest, Abécédaire de la société de surveillance, Syllepse, 2010.
• Collectif, Correspondant informatique et libertés : bien plus qu’un métier, AFCDP, 2015 (ISBN 978-2-9552430-0-8), 574 p. [présentation en ligne].

Articles connexes

Documentaire

• Elise Lucet, « Cash investigation : Nos données personnelles valent de l'or », sur france.tv, France 2, 2021 (consulté le 19 mai 2021)

Liens externes

• Notices d'autorité :

  • VIAF
  • ISNI
  • BnF (données)
  • IdRef
  • LCCN
  • Israël
  • WorldCat
• Ressources relatives à plusieurs domaines :
  • Annuaire du service public français
  • Radio France
• Ressources relatives aux organisations :
  • SIREN
  • data.gouv.fr
• Ressource relative à la vie publique :
  • Nominations au Journal officiel
• (fr + en) Site officiel