La CNIL : statut, missions et pouvoirs face à l'entreprise

Une plainte d'un client ou une fuite de fichiers : c'est souvent alors qu'un dirigeant cherche « qu'est-ce que la CNIL » et ce qu'elle peut exiger. La réponse courte : une autorité publique indépendante, chargée de veiller à l'application du RGPD et de la loi Informatique et Libertés en France, qui accompagne les organismes avant de les contrôler et, si besoin, de les sanctionner.

Quel est le statut de la CNIL ?

La CNIL est une autorité administrative indépendante créée par la loi du 6 janvier 1978. Elle agit au nom de l'État sans relever du gouvernement ni d'un ministre, comme elle le rappelle dans sa réponse officielle à cette question.

En droit, la réponse à « qu'est-ce que la CNIL » combine deux textes. L'article 51 du RGPD impose à chaque État membre d'instituer une autorité de contrôle indépendante, et l'article 8 de la loi n° 78-17 du 6 janvier 1978 désigne la CNIL comme l'autorité de contrôle nationale. Selon sa page statut et organisation, elle est dirigée par un collège de 18 membres (parlementaires, magistrats des hautes juridictions, personnalités qualifiées). Une formation restreinte de cinq membres, présidée par une personne distincte du président de la CNIL, est seule compétente pour sanctionner : l'organe qui poursuit n'est pas celui qui juge.

Quelles sont les missions de la CNIL pour une entreprise ?

La CNIL décrit quatre missions. Pour une entreprise, les trois premières sont des ressources gratuites ; la dernière est un risque à anticiper.

À la question « la CNIL, c'est quoi », l'article 8 de la loi de 1978 répond par une liste d'actions : informer, veiller à la conformité des traitements, délivrer des labels, suivre les technologies.

Que peut faire la CNIL lors d'un contrôle ?

La CNIL peut contrôler tout responsable de traitement ou sous-traitant, quelle que soit sa taille, après une plainte, un signalement ou de sa propre initiative. Selon sa page « Comment se passe un contrôle de la CNIL ? », le contrôle prend quatre formes, parfois combinées :

• sur place : une délégation se rend dans vos locaux, le procureur de la République étant informé 24 heures avant ;
• sur audition : vous êtes convoqué au moins 8 jours à l'avance et pouvez vous faire assister d'un conseil ;
• en ligne : les agents examinent votre site ou votre service, éventuellement sous une identité d'emprunt ;
• sur pièces : vous recevez un questionnaire auquel vous répondez avec les justificatifs demandés.

Les agents peuvent copier tout document, accéder aux données et entendre le personnel ; un procès-verbal consigne leurs constatations. Le contrôle porte sur des preuves, comme votre registre des traitements, vos contrats ou vos mentions d'information.

De la mise en demeure à l'amende : comment s'enchaînent les suites ?

Un contrôle ne débouche pas automatiquement sur une sanction. Selon la gravité des manquements constatés, le dossier est clos, clos avec observations, ou fait l'objet d'une mise en demeure qui, rappelle la CNIL, ne constitue pas une sanction.

1. 1Clôturer — Sans manquement notable, le dossier est clos par courrier, avec ou sans observations.
2. 2Mettre en demeure — L'organisme doit se mettre en conformité dans le délai fixé ; la mise en demeure peut être rendue publique.
3. 3Saisir la formation restreinte — Si les faits le justifient, une procédure de sanction, ordinaire ou simplifiée, est engagée.
4. 4Décider et publier — La décision peut être rendue publique ; un recours est ouvert devant le Conseil d'État pendant deux mois.

Les pouvoirs de la formation restreinte vont du rappel à l'ordre à l'amende, en passant par l'injonction sous astreinte (jusqu'à 100 000 euros par jour) et l'interdiction d'un traitement. Les plafonds d'amende sont ceux de l'article 83 du RGPD, repris par l'article 20 de la loi de 1978 :

• jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour une entreprise, le montant le plus élevé étant retenu, pour les manquements aux obligations du responsable de traitement et du sous-traitant (sécurité, registre, DPO) ;
• jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les atteintes aux principes, aux droits des personnes ou aux règles de transfert.

Pour les dossiers peu complexes, la procédure simplifiée (loi du 24 janvier 2022) permet de statuer plus vite, avec des montants limités et sans publicité. Les autres acteurs (ANSSI, DGCCRF, juges) sont présentés dans notre article sur les autorités de protection des données en France, les règles françaises dans celui sur la loi Informatique et Libertés.

Ce que la CNIL attend concrètement de votre entreprise

Une fois tranchée la question « qu'est-ce que la CNIL », reste à savoir ce qu'elle peut vérifier chez vous. Le RGPD impose à l'organisme de pouvoir démontrer sa conformité :

La notification de violation peut être le premier contact direct d'une PME avec la CNIL : les textes attendent une démarche rapide et documentée, pas un aveu.

À retenir

• Si l'on vous demande « la CNIL, c'est quoi », la réponse est : l'autorité administrative indépendante qui applique le RGPD et la loi de 1978 en France.
• Elle informe et accompagne avant de contrôler ; ses référentiels sont des outils gratuits.
• Un contrôle peut être sur place, sur audition, en ligne ou sur pièces ; l'entrave est un délit.
• La mise en demeure n'est pas une sanction ; l'amende peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires mondial.
• Registre, notification des violations sous 72 heures et réponse aux droits sont des obligations à pouvoir justifier.