CNIL et RGPD : retour sur une année de transition

Deux réformes importantes en 2018

En 2018, la Commission nationale de l’informatique et des libertés (CNIL) a reçu un nombre record de 11 077 plaintes, ce qui représente une hausse de 32 % en un an. Celle-ci est liée à l’entrée en vigueur du Règlement général sur la protection des données (RGPD). Un peu plus du tiers des plaintes (35,7 %) concernent des diffusions de données sur internet. Parmi elles, 373 sont des demandes de déréférencement. À noter, plusieurs centaines de plaintes reçues contre l’association belge EU Disinfolab et son étude portant sur les tweets sur l’affaire Benalla seront traitées par l’autorité belge de protection des données via le nouveau mécanisme de coopération européenne. La CNIL a aussi reçu 1 170 notifications de violations de données, plus de la moitié en raison d’actes externes malveillants et 17 % à la suite d’un accident interne.

La CNIL note « une sensibilité accrue des citoyens concernant la sécurité de leurs données personnelles dans tous les secteurs ». Une culture de la protection des données émerge, avec une explosion des consultations du site de la CNIL et la nomination de près de 16 000 délégués à la protection des données.

Le rapport revient sur les modifications du droit d’accès des citoyens aux fichiers de l’état. Depuis un décret du 1^er août 2018, les demandes de rectifications dans la majeure partie des fichiers de l’État (notamment le traitement d’antécédents judiciaires [TAJ]) se font par demandes directes à l’administration concernée. La CNIL n’est donc plus l’interlocutrice première des citoyens et n’intervient qu’en cas de litige. Jusqu’au 1^er août, elle a procédé à 1 534 vérifications des fiches TAJ de personnes mises en cause. Près de 40 % de ces fiches ont dû être supprimées ou être substantiellement modifiées. Avec le nouveau régime, la CNIL craint que les ministères concernés (notamment l’intérieur) ne répondent favorablement qu’à un nombre restreint de demandes. Les délais de traitement risqueraient alors de s’allonger inutilement, avec un recours systématique à la CNIL.

De nouveaux enjeux et une action plus répressive

La CNIL a réalisé 310 contrôles en 2018, dont 204 sur place, 51 en ligne et 51 sur pièces. 49 mises en demeure ont été adoptées en 2018. La CNIL cite notamment les problèmes posés par les secteurs des assurances (cinq décisions) et des entreprises de ciblage publicitaire via les applications mobiles (quatre décisions). Seulement onze sanctions ont été prononcées par la formation restreinte, dont dix sont des sanctions pécuniaires (400 000 € pour Uber, 250 000 € pour Bouygues Telecom et Optical Center). Cela semble peu, surtout par rapport à l’amende prononcée par la CNIL en janvier 2019 contre Google (50 millions d’euros, v. Dalloz actualité, 28 janv. 2019, obs. N. Maximin isset(node/194149) ? node/194149 : NULL, 'fragment' => isset() ? : NULL, 'absolute' => )) .'"'>194149). La présidente de la CNIL a annoncé vouloir muscler son action répressive.

La CNIL a également poursuivi son programme de contrôle des fichiers de renseignement entamé en 2017, en se penchant sur cinq fichiers (PASP, GIPASP, EASP, STARTRAC, FSPRT). La Commission a aussi inspecté la question des pièces justificatives demandées par les agences immobilières, des traitements liés au recrutement et ceux liés au stationnement payant, sur lesquels elle devrait prochainement revenir.

Les plaintes reçues permettent à la CNIL d’observer plusieurs tendances émergentes : les problèmes liés au visionnage à distance d’images issues des dispositifs vidéo ; l’installation de caméras dans des unités de soin ; la volonté des consommateurs d’utiliser leur droit à la portabilité de leurs données ; les craintes sur l’usage des données par les applications mobiles. Le rapport fait également des focus sur les enjeux de la blockchain, de l’intelligence artificielle, des assistants vocaux et de la protection des données des enfants. En 2019, la CNIL devrait également publier de nouvelles préconisations en matière de communication politique et un guide pratique sur l’open data et les données personnelles, coécrit avec la Commission d’accès aux documents administratifs (CADA).