CNIL (Commission nationale de l'informatique et des libertés)
L'essentiel
La CNIL est le gendarme français des données personnelles. Elle vérifie que les entreprises et administrations n'utilisent pas vos données n'importe comment, reçoit les plaintes des particuliers, publie les règles à suivre, mène des contrôles et inflige des amendes rendues publiques. Elle existe depuis 1978, bien avant le RGPD, et c'est elle qui applique ce règlement en France.
Détails Techniques
Autorité administrative indépendante instituée par la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, et désignée autorité de contrôle française au sens du règlement (UE) 2016/679 (RGPD). La CNIL exerce une mission d'information et de protection des personnes, d'accompagnement à la conformité (référentiels, recommandations, bacs à sable réglementaires), de contrôle (sur place, en ligne, sur pièces, sur convocation) et de sanction via sa formation restreinte : mises en demeure, injonctions sous astreinte, limitations de traitement et amendes administratives plafonnées à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Elle siège au Comité européen de la protection des données.
#Définition : CNIL (Commission nationale de l'informatique et des libertés)
La CNIL est l'autorité administrative indépendante chargée de veiller à la protection des données personnelles en France. Elle a été créée par la loi n° 78-17 du 6 janvier 1978, dite « Informatique et Libertés », adoptée après le scandale du projet SAFARI d'interconnexion des fichiers de l'État. Depuis le 25 mai 2018, elle est l'autorité de contrôle française au sens du RGPD et siège au Comité européen de la protection des données aux côtés de ses homologues.
Son indépendance est réelle et juridiquement protégée : ni le gouvernement ni aucune autorité ne peut lui adresser d'instruction. Sa formation collégiale réunit parlementaires, magistrats des juridictions suprêmes et personnalités qualifiées.
#Un pouvoir de sanction qui n'est pas symbolique
C'est la différence de nature avec l'ANSSI. La CNIL sanctionne, et publiquement.
L'article 83 du RGPD plafonne les amendes administratives à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial consolidé, le montant le plus élevé étant retenu. Les décisions les plus lourdes prononcées par la formation restreinte de la CNIL ont porté sur le dépôt de cookies sans consentement valable, avec des amendes de l'ordre de la centaine de millions d'euros contre de grandes plateformes en décembre 2021.
L'arsenal ne se limite pas à l'amende : mise en demeure, injonction sous astreinte, limitation voire interdiction de traitement. Une procédure de sanction simplifiée, introduite en 2022, permet de traiter les dossiers de faible complexité avec un plafond réduit — elle explique la forte hausse du nombre annuel de sanctions.
Point de vigilance stratégique : sur les cookies et traceurs, la CNIL agit au titre de l'article 82 de la loi Informatique et Libertés, hérité de la directive ePrivacy. Le mécanisme du guichet unique du RGPD ne s'applique pas. Une entreprise établie hors de France reste donc directement exposée à la CNIL sur ce terrain.
#Les quatre missions
Informer et protéger. Traitement des plaintes — plusieurs milliers chaque année —, information du public, exercice des droits d'accès indirect pour les fichiers de police et de renseignement.
Accompagner la conformité. Référentiels sectoriels, recommandations, modèles de registre, MOOC, bacs à sable réglementaires. C'est la face la plus utile pour une DSI : ces documents constituent la doctrine opposable en cas de contrôle.
Contrôler et sanctionner. Plusieurs centaines de contrôles par an, sur place, en ligne, sur pièces ou sur convocation, structurés par des thématiques prioritaires annoncées chaque année.
Anticiper. Le laboratoire d'innovation numérique de la CNIL publie des analyses prospectives sur les technologies émergentes, dont l'IA générative.
#Ce que la CNIL contrôle en pratique
Cinq points reviennent systématiquement en contrôle. Le registre des activités de traitement (article 30 du RGPD), rarement à jour. La désignation et les moyens réels du DPO, qui doit disposer d'une indépendance fonctionnelle. La conduite des analyses d'impact pour les traitements à risque élevé. La notification des violations de données sous 72 heures. Enfin, l'encadrement des transferts hors Union européenne, terrain durablement instable depuis l'arrêt Schrems II.
#CNIL et intelligence artificielle
La CNIL a engagé un plan d'action IA et publie depuis 2024 des fiches pratiques sur la constitution de bases d'entraînement, la base légale mobilisable — l'intérêt légitime, sous conditions strictes de mesures d'atténuation —, l'information des personnes et l'exercice des droits sur les modèles. Sa position mérite d'être connue avant de lancer un projet : elle ne considère pas l'entraînement d'un modèle comme incompatible par principe avec le RGPD, mais exige une documentation solide de la proportionnalité. Sur l'AI Act, la répartition des compétences entre autorités françaises de surveillance du marché relève d'arbitrages gouvernementaux ; la CNIL a fait valoir son expertise sur les systèmes traitant des données personnelles. Notre service conformité intègre ces exigences dès la phase de cadrage.
#Termes associés
Applications Concrètes
« Le responsable de traitement dispose de 72 heures après en avoir pris connaissance pour notifier la violation à la CNIL, et doit informer les personnes concernées lorsque le risque pour leurs droits et libertés est élevé. »
« La CNIL vérifie depuis un navigateur que le refus est aussi simple que l'acceptation et qu'aucun traceur non essentiel n'est déposé avant consentement. Le contrôle se fait sans préavis et sans présence sur site. »
« Un dispositif de scoring, de surveillance systématique ou de traitement de données sensibles à grande échelle impose une analyse d'impact relative à la protection des données préalable, conformément à l'article 35 du RGPD. »
« Les fiches pratiques IA de la CNIL encadrent le choix de la base légale, la documentation de la proportionnalité, l'information des personnes et les modalités d'exercice des droits sur les jeux d'entraînement. »
Questions fréquentes sur la CNIL
L'article 83 du RGPD fixe deux plafonds selon la nature du manquement : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les obligations de moyens, 20 millions d'euros ou 4 % pour les manquements aux principes fondamentaux et aux droits des personnes. Le montant le plus élevé des deux termes est retenu. La CNIL dispose aussi d'une procédure simplifiée, introduite en 2022, pour les dossiers de faible complexité, avec un plafond nettement inférieur. Enfin, l'amende n'est qu'un outil parmi d'autres : la limitation ou l'interdiction d'un traitement peut avoir un impact opérationnel bien supérieur.
Quatre modalités coexistent. Le contrôle sur place, avec présentation de la décision du président et possibilité d'accéder aux locaux professionnels. Le contrôle en ligne, mené depuis un navigateur — c'est le mode privilégié pour les cookies et les sites web. Le contrôle sur pièces, par échange documentaire. Le contrôle sur convocation, dans les locaux de la CNIL. Chaque année, la CNIL annonce des thématiques prioritaires qui orientent une partie de son programme. Le reste des contrôles découle des plaintes reçues et de l'actualité.
La CNIL protège les personnes et leurs données à caractère personnel, sur le fondement du RGPD et de la loi Informatique et Libertés. L'ANSSI protège les systèmes d'information eux-mêmes, dans une logique de sécurité nationale et de continuité d'activité. Une même fuite de données peut déclencher deux obligations distinctes : notification à la CNIL sous 72 heures au titre de l'article 33 du RGPD, et notification à l'ANSSI si l'entité relève du régime OIV ou de NIS2. Les deux autorités coopèrent, mais leurs textes, leurs critères et leurs sanctions sont indépendants.
Oui, dans deux cas de figure. Sur les traitements transfrontaliers relevant du RGPD, le mécanisme du guichet unique désigne une autorité chef de file, généralement celle de l'établissement principal, et la CNIL agit alors comme autorité concernée dans une procédure coopérative. Mais sur les cookies et traceurs, régis en France par l'article 82 de la loi Informatique et Libertés issu de la directive ePrivacy, le guichet unique ne s'applique pas : la CNIL est directement compétente pour tout site visant le public français. C'est ce fondement qui a permis les sanctions les plus lourdes prononcées contre des acteurs non établis en France.
L'article 37 du RGPD la rend obligatoire dans trois situations : pour les autorités et organismes publics, lorsque l'activité de base implique un suivi régulier et systématique à grande échelle des personnes, et lorsqu'elle implique un traitement à grande échelle de données sensibles ou relatives à des condamnations pénales. Hors de ces cas, la désignation reste volontaire mais fortement recommandée. Un point souvent négligé en contrôle : le DPO doit disposer de moyens réels, d'un accès direct au plus haut niveau de la direction et d'une absence de conflit d'intérêts. Un DPO purement nominal est un facteur aggravant.
La CNIL ne considère pas l'entraînement d'un modèle sur des données personnelles comme incompatible par principe avec le RGPD. Ses fiches pratiques publiées depuis 2024 admettent notamment le recours à l'intérêt légitime comme base légale, sous réserve d'une mise en balance documentée et de mesures d'atténuation concrètes : minimisation, filtrage des données sensibles, encadrement de la collecte par moissonnage, information des personnes et modalités effectives d'exercice des droits. La charge probatoire pèse sur le responsable de traitement : ce qui n'est pas documenté sera considéré comme non fait.