Le Règlement (UE) 2016/679 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (RGPD) a célébré son cinquième anniversaire le 25 Mai 2023. L’occasion de se pencher sur son déploiement pratique, réalisé en France par la CNIL, son écho et sa place dans le cadre réglementaire français et européen.

Garant de la bonne application du RGPD au niveau France, la Commission nationale de l’informatique et des libertés (CNIL) publie chaque année son rapport d’activité. Ce rapport indique les travaux et temps forts de 2022.

Le rapport d’activité de la CNIL permet de faire un état des lieux de ses différentes missions mais également des modalités et outils mis en œuvre pour permettre la bonne application du RGPD.

La CNIL a pour priorité de garantir la protection et l’information des personnes. Elle a en effet reçu, en 2022, 12 193 plaintes et en a traité 13 160. Elle a donc traité plus de plaintes qu’elle n’en a reçues. C’est la première fois que la CNIL diminue le stock de plaintes, depuis l’entrée en application du RGPD.

De plus, la CNIL continue d’accompagner les professionnels en développant de nouveaux outils (guides, référentiels) et des recommandations, selon les secteurs d’activité. Ces différents éléments mis à disposition des professionnels permettent à ces derniers d’avoir de la documentation pertinente et concrète, et d’ainsi maintenir leur conformité au RGPD.

A titre d’exemples, la CNIL a publié des guides en matière de cybersécurité, de recrutement, et d’accompagnement des DPO. Elle a également créé plusieurs webinaires et « journées RGPD » afin d’échanger sur les modalités d’application du RGPD.

La CNIL assure une veille dédiée à la détection et l’analyse des technologies et nouveaux usages ayant un impact sur la vie privée. Elle a par ailleurs publié le programme de recherche des prochaines années du LINC (Laboration d’innovation numérique de la CNIL).

Afin de garantir la protection de la vie privée dès la conception des dispositifs de gestion des données personnelles (Privacy by design), la CNIL développe des solutions technologiques protectrices de la vie privée et conseille les entreprises dès la mise en place de ces dispositifs.

Il est à noter que la CNIL a annoncé début 2023, la création d’un service dédié à l’intelligence artificielle (IA). Elle a également publié un plan d’action pour un déploiement de systèmes d’IA, encadrant les 4 thématiques suivantes :

• Appréhender le fonctionnement des systèmes d’IA et leurs impacts pour les personnes ;

• Permettre et encadrer le développement d’IA respectueuses de la vie privée ;

• Fédérer et accompagner les acteurs innovants de l’écosystème IA en France et en Europe ;

• Auditer et contrôler les systèmes d’IA et protéger les personnes. Le service de la CNIL dédié à l’intelligence artificielle servira d’appui aux autres services et sera chargé de répondre aux questions et interrogations relatives au développement de systèmes d’IA respectueux de la vie privée. Les premiers travaux de ce service contribueront également à la mise en place prochaine d’un projet de règlement européen IA (en cours de discussion). Le rapport d’activité de la CNIL de 2022 présente l’approche en matière de contrôles et sanctions des manquements au RGPD. En 2022, la CNIL a prononcé 21 sanctions et 147 mises en demeure. Le montant cumulé des amendes a dépassé 100 millions d’euros. Elle a également créé une procédure de sanction simplifiée, adaptée aux dossiers ne présentant pas de difficulté juridique ou technique particulière. Enfin, la CNIL et plusieurs homologues européens participent à une action coordonnée (coordinated enforcement Framework) du Comité européen de la protection des données (CEPD). Cette action a pour objectif de vérifier les fondements de la désignation et de la fonction de délégué à la protection des données (DPO). Ces vérifications se matérialisent par l’envoi de questionnaires à plusieurs types d’établissements français (collectivités territoriales, entreprises privées, établissements publics). Ces questionnaires seront analysés et des contrôles sur place pourront être menés afin de conclure l’évaluation.

Pour découvrir l’ensemble de notre offre de veille réglementaire, contactez-nous à : communication@regulationpartners.com