Protection des données en France : quelles autorités ?

Si vous vous demandez quelles autorités assurent la protection des données personnelles en France, la réponse courte tient en quatre lettres : la CNIL. D'autres institutions interviennent autour d'elle, chacune sur un champ précis : CEPD, ANSSI, DGCCRF, Défenseur des droits, juridictions et procureur de la République.

La CNIL, autorité de référence pour les données personnelles

La Commission nationale de l'informatique et des libertés est une autorité administrative indépendante créée par la loi Informatique et Libertés du 6 janvier 1978. Son collège compte 18 membres ; ni les ministres ni les dirigeants d'entreprise ne peuvent s'opposer à son action (statut et organisation de la CNIL).

Ses missions tiennent en quatre volets : informer et protéger les droits, accompagner la mise en conformité, anticiper les évolutions technologiques, contrôler et sanctionner. Au sens du RGPD, elle est l'autorité de contrôle indépendante que chaque État membre doit instituer (article 51).

Quels sont les pouvoirs de contrôle et de sanction de la CNIL ?

La CNIL peut contrôler tout responsable de traitement, sur place, sur pièces, sur audition ou en ligne. Sa présidente peut prononcer une mise en demeure, et sa formation restreinte peut infliger des sanctions.

La formation restreinte, composée de cinq membres et d'un président distinct du président de la CNIL, peut prononcer un rappel à l'ordre, une injonction assortie d'une astreinte pouvant atteindre 100 000 euros par jour, la limitation ou l'interdiction d'un traitement, la suspension des flux vers un pays tiers et une amende administrative. Celle-ci peut atteindre 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements aux obligations du responsable de traitement et du sous-traitant, et 20 millions d'euros ou 4 % pour les atteintes aux principes fondamentaux, aux droits des personnes ou aux transferts. La décision peut être rendue publique.

Depuis la loi n° 2022-52 du 24 janvier 2022, une procédure simplifiée permet au président de la formation restreinte de statuer seul sur les dossiers peu complexes ou de faible gravité, avec une amende plafonnée à 20 000 euros pour les organismes dont le chiffre d'affaires est inférieur à 50 millions d'euros, sans publicité de la décision.

Quel rôle joue le CEPD au niveau européen ?

Le Comité européen de la protection des données (CEPD) réunit les autorités de contrôle des États membres de l'Union et de l'Espace économique européen (article 68 du RGPD). Il ne reçoit pas les plaintes des particuliers : il publie des lignes directrices et tranche les désaccords entre autorités (article 65) au sein du mécanisme de coopération et de cohérence.

Savoir quelles autorités assurent la protection des données personnelles en France suppose donc de regarder aussi vers l'Europe. Pour un traitement transfrontalier, le guichet unique désigne une autorité chef de file, celle de l'établissement principal de l'organisme (article 56), qui coordonne sa décision avec les autorités concernées (article 60). Votre point de contact reste l'autorité de votre pays.

ANSSI, DGCCRF, Défenseur des droits : des acteurs voisins

Plusieurs organismes publics apparaissent dans les résultats lorsqu'on cherche quelles autorités assurent la protection des données personnelles en France, alors que leur mission est différente.

• L'ANSSI, rattachée au Premier ministre, est l'autorité nationale en matière de cybersécurité et de cyberdéfense. Elle ne traite pas les réclamations relatives aux données personnelles.
• La DGCCRF protège les consommateurs et coopère avec la CNIL dans le cadre d'un protocole renouvelé le 18 novembre 2024.
• Le Défenseur des droits, autorité indépendante, traite les litiges avec les services publics et les discriminations, après une tentative amiable.
• L'ARCEP et l'ARCOM sont des régulateurs sectoriels (télécoms, audiovisuel et plateformes) : une réclamation sur vos données ne relève pas d'eux.

Juges et procureur : quand la voie judiciaire s'ouvre

Le RGPD garantit à toute personne un recours juridictionnel contre un responsable de traitement ou un sous-traitant (article 79) et un droit à réparation du dommage matériel ou moral subi (article 82). La CNIL n'indemnise pas : seul un juge accorde des dommages et intérêts.

Sur le plan pénal, les articles 226-16 à 226-24 du Code pénal répriment les atteintes aux droits de la personne résultant des fichiers ou des traitements informatiques, avec des peines pouvant aller jusqu'à cinq ans d'emprisonnement et 300 000 euros d'amende. Les poursuites relèvent du procureur de la République (voir la page des sanctions pénales).

Le DPO n'est pas une autorité

Le DPO ne fait donc pas partie de la réponse à « quelles autorités assurent la protection des données personnelles en France » ; son périmètre est détaillé dans notre article sur le délégué à la protection des données.

À qui s'adresser selon votre situation ?

Commencez toujours par l'organisme concerné ou son DPO : la CNIL n'instruit une plainte qu'après une démarche restée sans réponse satisfaisante. L'organisme dispose d'un mois pour répondre, prolongeable de deux mois si la demande est complexe. Ensuite, l'interlocuteur dépend de votre objectif : faire cesser un manquement, obtenir réparation ou faire sanctionner une infraction.

À retenir

• À la question « quelles autorités assurent la protection des données personnelles en France », une seule réponse au sens du RGPD : la CNIL, autorité administrative indépendante dotée de pouvoirs de contrôle et de sanction.
• Le CEPD coordonne les autorités européennes ; même sous le guichet unique, votre point de contact reste la CNIL.
• ANSSI, DGCCRF, Défenseur des droits, ARCEP et ARCOM agissent sur des champs voisins, sans remplacer la CNIL.
• Seul un juge indemnise un préjudice ; seul le procureur de la République engage des poursuites pénales.
• Le DPO n'est pas une autorité, mais le premier interlocuteur à saisir avant toute plainte.