Autorité de contrôle : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Une autorité de contrôle est l'autorité publique indépendante qu'un État membre de l'Union européenne charge de surveiller l'application du RGPD sur son territoire. En France, il s'agit de la CNIL.
Ce qu'il faut comprendre
Chaque État membre institue au moins une autorité de contrôle. Elle conseille, traite les réclamations, mène des enquêtes et prononce des mesures correctrices, dont des amendes administratives. Les autorités nationales se réunissent au sein du Comité européen de la protection des données, le CEPD, qui adopte des lignes directrices communes et tranche certains désaccords.
Lorsqu'un organisme traite des données dans plusieurs pays de l'Union, le mécanisme du guichet unique s'applique : l'autorité du pays de son établissement principal devient autorité chef de file. Elle coopère avec les autres autorités concernées. Une petite entreprise établie uniquement en France relève, elle, de la seule CNIL, même si quelques clients résident à l'étranger.
Ne confondez pas l'autorité de contrôle avec les autres régulateurs. L'Arcom, l'Anssi ou l'Arcep ont des missions distinctes, même si elles coopèrent parfois avec la CNIL sur des sujets communs comme la cybersécurité ou les services en ligne. Les autorités chargées de surveiller l'application de l'IA Act relèvent d'un autre cadre : en France, l'autorité de contrôle au sens du RGPD reste la CNIL.
Exemple concret
Une association humanitaire française gère des donateurs en France, en Belgique et en Espagne, avec un siège unique à Lyon. À la suite d'une fuite de son fichier, elle notifie la violation à la CNIL, autorité chef de file. La CNIL instruit le dossier et coopère avec ses homologues belge et espagnole, saisis par des donateurs de leur pays.
Textes de référence
- RGPD, art. 4, 21)
- RGPD, art. 51
- RGPD, art. 56
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
