La Commission nationale de l'informatique et des libertés (CNIL) est une autorité administrative indépendante française. La CNIL est chargée de veiller à ce que l’informatique soit au service du citoyen et qu’elle ne porte atteinte ni à l’identité humaine, ni aux droits de l’homme, ni à la vie privée, ni aux libertés individuelles ou publiques. Elle exerce ses missions conformément à la loi n°78-17 du 6 janvier 1978 modifiée le 6 août 2004.
Le 21 mars 1974, la révélation par le quotidien Le Monde d'un projet gouvernemental tendant à identifier chaque citoyen par un numéro et d'interconnecter, via ce numéro, tous les fichiers de l'administration créa une vive émotion dans l'opinion publique.
Ce projet, connu sous le nom de SAFARI (Système automatisé pour les fichiers administratifs et le répertoire des individus), visait à interconnecter les fichiers nominatifs de l'administration française, notamment par le biais du numéro Insee. Il soulignait les dangers de certaines utilisations de l'informatique et faisait craindre un fichage général de la population. Cette inquiétude a conduit le gouvernement à créer une commission afin qu'elle propose des mesures garantissant que le développement de l'informatique se réalise dans le respect de la vie privée, des libertés individuelles et publiques.
Cette « Commission Informatique et Libertés » proposa, après de larges consultations et débats, de créer une autorité indépendante. C’est ce que fit la loi du 6 janvier 1978 en instituant la Commission nationale de l’informatique et des libertés.
La loi relative à l'informatique, aux fichiers et aux libertés du 6 janvier 1978 constitue le fondement de la protection des données à caractère personnel dans les traitements informatiques mis en œuvre sur le territoire français. Elle a été réformée par la loi du 6 août 2004, qui transposait, de façon libre, la directive européenne du 24 octobre 1995 sur la protection des données à caractère personnel (dir. 95/46/CE). La loi de 2004 allège de façon substantielle les obligations déclaratives des détenteurs de fichiers, accroît les pouvoirs de la Cnil en ce qui concerne les contrôles sur place et les sanctions, et renforce les droits des personnes.
La commission se compose d’un collège pluraliste de 17 personnalités nommées pour 5 ans :
12 des 17 membres sont élus ou désignés par les assemblées ou les juridictions auxquelles ils appartiennent.
La CNIL élit son Président parmi ses membres ; elle ne reçoit d’instruction d’aucune autorité. Les ministres, autorités publiques,dirigeants d’entreprises, publiques ou privées, ne peuvent s’opposer à son action.
Les décisions de la CNIL peuvent faire l’objet de recours devant la juridiction administrative.
Le budget de la CNIL relève du budget de l’État. Le Président de la CNIL recrute librement ses collaborateurs, qui ont le statut d'agent contractuel. Dans le cadre de l'application de la loi organique relative aux lois de finances (LOLF), il fait partie du programme 308 : "Protection des droits et libertés".
En 2010 :
| Présidents de la CNIL | Début du mandat | Fin du mandat |
|---|---|---|
| Pierre Bellet | 5 décembre 1978 | 27 novembre 1979 |
| Jacques Thyraud | 1979 | 1983 |
| Jean Rosenwald | 1983 | Juin 1984 |
| Jacques Fauvet | 14 juin 1984 | 1999 |
| Michel Gentot | 3 février 1999 | 7 janvier 2004 |
| Alex Türk | 3 février 2004 |
Le Président actuel, Alex Türk, est sénateur du Nord (non-inscrit) et membre de la Commission des Lois depuis 1992. Il est Président de la Commission Nationale de l'Informatique et des Libertés depuis le 3 février 2004. Il a été Président du groupe des « CNIL » européennes (dit G29) du 19 février 2008 au 15 février 2010.
Les membres de la CNIL se réunissent en séances plénières et en formation contentieuse une fois par semaine sur un ordre du jour établi à l’initiative de son Président. Une partie importante de ces séances est consacrée à l’examen de projets de loi et de décrets soumis à la CNIL pour avis par le Gouvernement. La CNIL autorise également la mise en oeuvre de fichiers les plus sensibles, parmi lesquels ceux faisant appel à la biométrie.
Depuis la loi du 6 août 2004, la formation contentieuse de la commission, composée de six membres, peut prononcer des sanctions allant de l’avertissement à une amende maximale de 300 000 €, à l’encontre des responsables de traitement ne respectant pas la loi.
La CNIL dispose de 132 postes budgétaires. Pour conduire leurs missions, les membres de la CNIL s’appuient sur différents services organisés au sein de trois directions : une direction des affaires juridiques, internationales et de l’expertise, une direction des relations avec les usagers et du contrôle et une direction des ressources humaines, financières, informatiques et logistiques.
Dans l’exercice de ses missions, la CNIL répond aux demandes de conseils qui lui sont adressées par des responsables de fichiers, instruit les plaintes dont elle est saisie par les citoyens, organise des contrôles sur place. Elle procède également aux vérifications nécessaires dans le cadre du droit d’accès indirect aux fichiers intéressant la sécurité publique et la sûreté de l’État, et délivre à toute personne qui en fait la demande un extrait de la liste des traitements qui lui sont déclarés (“fichier des fichiers”).
Au-delà de ses activités de recensement, de contrôle des fichiers, des réponses faites aux demandes de conseil et de l’instruction des plaintes, la CNIL consacre une partie de son activité à l’information des personnes sur leurs droits et sur leurs obligations. Directement sollicitée par de nombreux organismes ou institutions pour conduire des actions de formation et de sensibilisation à la loi “informatique et libertés”, la CNIL participe à des colloques, des salons ou des conférences pour informer. La CNIL a déjà organisé 18 rencontres régionales Il s’agit d’aller périodiquement à la rencontre de l’ensemble des acteurs publics ou privés concernés par la protection des données personnelles, dans une région à l’instar des entreprises et des administrations déconcentrées de l’État. Pour donner plus d’écho à ses décisions ou à ses actions, la CNIL dispose de différents outils de communication : site internet, lettre mensuelle électronique adressée à 27 883 abonnés, rapport annuel, communiqués de presse ainsi qu’une collection de guides pratiques.
Informer La CNIL informe les personnes de leurs droits et obligations, et propose au gouvernement les mesures législatives ou réglementaires de nature à adapter la protection des libertés et de la vie privée à l'évolution des techniques. L'avis de la CNIL doit d’ailleurs être sollicité avant toute transmission au Parlement d'un projet de loi relatif à la protection des données personnelles.
Garantir le droit d'accès La CNIL veille à ce que les citoyens accèdent efficacement aux données contenues dans les traitements les concernant. Elle exerce, pour le compte des citoyens qui le souhaitent, l'accès aux fichiers intéressant la sûreté de l'État, la défense et la sécurité publique, notamment ceux des Renseignements généraux et de la police judiciaire.
Recenser les fichiers La CNIL tient à la disposition du public le “fichier des fichiers”, c'est-à-dire la liste des traitements déclarés et leurs principales caractéristiques. Les traitements de données à “risques” sont soumis à l’autorisation de la CNIL. Elle donne un avis sur les traitements publics utilisant le numéro national d’identification des personnes. Elle reçoit les déclarations des autres traitements. Le non-respect de ces formalités par les responsables de fichiers est passible de sanctions administratives ou pénales.
Contrôler La CNIL vérifie que la loi est respectée en contrôlant les applications informatiques. Elle peut de sa propre initiative se rendre dans tout local professionnel et vérifier sur place et sur pièce les fichiers. La Commission use de ses pouvoirs d’investigation pour instruire les plaintes et disposer d'une meilleure connaissance de certains fichiers. La CNIL surveille par ailleurs la sécurité des systèmes d'information en s'assurant que toutes les précautions sont prises pour empêcher que les données ne soient déformées ou communiquées à des personnes non-autorisées. Lorsqu’elle constate un manquement à la loi, la CNIL peut prononcer diverses sanctions : l’avertissement, la mise en demeure, les sanctions pécuniaires pouvant atteindre 300 000 €, l’injonction de cesser le traitement. Enfin, le Président peut demander en référé à la juridiction compétente d'ordonner toute mesure de sécurité nécessaire. Il peut saisir également le Procureur de la République des violations de la loi dont il a connaissance.
Réglementer La CNIL établit des normes simplifiées, afin que les traitements les plus courants fassent l'objet de formalités allégées. Elle peut aussi décider de dispenser de toute déclaration des catégories de traitement sans risque pour les libertés individuelles.
Toute personne peut s’adresser à la CNIL pour être aidée dans l’exercice de ses droits (notamment si elle se heurte à un refus de droit d’accès).
Toute personne peut s’adresser directement à un organisme pour savoir si elle est fichée ou pas.
Toute personne peut, gratuitement, sur simple demande avoir accès à l’intégralité des informations la concernant sous une forme accessible (les codes doivent être explicités). Elle peut également en obtenir copie moyennant le paiement, le cas échéant, des frais de reproduction.
Toute personne peut demander directement que les informations détenues sur elle soient rectifiées (si elles sont inexactes), complétées ou clarifiées (si elles sont incomplètes ou équivoques), mises à jour (si elles sont périmées) ou effacées (si ces informations ne pouvaient pas être régulièrement collectées par l’organisme concerné).
Toute personne peut s’opposer à ce qu’il soit fait un usage des informations la concernant à des fins publicitaires ou de prospection commerciale ou que ces informations la concernant soient cédées à des tiers à de telles fins.
La personne concernée doit être mise en mesure d’exercer son droit d’opposition à la cession de ses données à des tiers dès leur collecte.
L’utilisation d’automates d’appels téléphoniques, de fax ou de messages électroniques à des fins publicitaires est interdite si les personnes n’y ont pas préalablement consenti.
Toute personne peut demander à la CNIL de vérifier les informations la concernant éventuellement enregistrées dans des fichiers intéressant la sûreté de l’ État, la défense ou la sécurité publique (droit d’accès indirect). La CNIL mandate l’un de ses membres magistrats afin de vérifier la pertinence, l’exactitude et la mise à jour de ces informations et demander leur rectification ou leur suppression. Avec l’accord du responsable du traitement, les informations concernant une personne peuvent lui être communiquées.
La CNIL en 2009 :
L'Allemagne en 1971, la Suède en 1973, les États-Unis en 1974 et la France en 1978 ont été les quatre premiers pays dotés d'une loi informatique et libertés. Ces lois instituent la création d'autorités de contrôle indépendantes.
Certaines structures économiques et politiques internationales s'en sont inspirées, parmi lesquelles l'Organisation de coopération et de développement économiques (OCDE) en 1980, le Conseil de l'Europe en 1981 (Convention pour la protection des personnes à l’égard du traitement automatisé des données à caractère personnel) et les Nations unies (ONU) en 1990. En 1995, la Communauté européenne a émis une directive en ce sens, que les pays de l'Union européenne doivent transposer.
Depuis le 28 janvier 2007, une Journée européenne de la protection des données à caractère personnel est organisée par le Conseil de l'Europe et relayée en France par la Cnil .
L’Union européenne a adopté le 24 octobre 1995 une directive destinée à harmoniser au sein des États membres la protection assurée à toute personne quel que soit le lieu où sont opérés les traitements de ses données à caractère personnel.
À ce jour, les 27 États membres ainsi que les pays de l’Espace Économique Européen (Islande, Liechtenstein, Norvège), disposent d’une loi « informatique et libertés » et d’une autorité de contrôle indépendante.
Ces autorités indépendantes se réunissent régulièrement à Bruxelles pour conseiller la Commission européenne sur ses initiatives législatives et pour harmoniser leurs pratiques ou recommandations destinées aux concepteurs et aux utilisateurs des technologies de l’information. Ces “CNIL” européennes réunies au sein du “groupe de l’article 29”, par référence à l’article de la directive qui l’institue, se prononcent par des avis qui sont rendus publics.
L’article 29 de la directive du 24 octobre 1995 sur la protection des données et la libre circulation de celles-ci a institué un groupe de travail des 27 « CNIL européennes ». Il a pour mission de contribuer à l’élaboration des normes européennes en adoptant des recommandations, de rendre des avis sur le niveau de protection dans les pays tiers et de conseiller la Commission européenne sur tout projet ayant une incidence sur les droits et libertés des personnes physiques à l’égard des traitements de données personnelles. Le G29 se réunit à Bruxelles en séance plénière tous les deux mois environ. Environ 15 sous-groupes composés des collaborateurs des « CNIL européennes » se réunissent régulièrement à Bruxelles pour alimenter les réflexions des membres du G29 en séance plénière et rédiger les avis qui leur seront ensuite soumis pour adoption. Depuis le 15 février 2010, le nouveau président du G29 est le hollandais Jacob Kohnstamm.
D’autre pays européens non membres de l’Union ont adopté des lois et des garanties similaires à celles reconnues par les États membres tels que la Croatie, la Macédoine, les îles anglo-normandes,Monaco, Gibraltar et la Suisse.
Au-delà de l’Europe, des pays tels que le Canada, l’Argentine,l’Australie, la Nouvelle Zélande, la Corée du Sud, le Maroc, le Burkina Faso et le Sénégal se sont également dotés d’une loi et d’une autorité indépendante de contrôle. D’autres États ont fait le choix d’adopter une législation de garanties, quelquefois limitée au seul secteur public ou à certaines activités du secteur privé, sans toujours instituer une autorité indépendante de contrôle dotée de larges pouvoirs ; il revient alors aux juridictions judiciaires de sanctionner la méconnaissance des droits reconnus. Tel est le cas pour les États-Unis, le Japon, le Paraguay, Taiwan, et la Thaïlande.
L’Union européenne a posé, dans la directive du 24 octobre 1995, le principe selon lequel les données personnelles ne pouvaient être transmises hors de l’Union européenne que si l’entreprise destinataire des données ou le pays de destination offrait un niveau de protection “adéquat”. Ce principe n’interdit pas les échanges internationaux de données, il les subordonne à des garanties minimales. Ces garanties peuvent résulter de l’adoption de législations particulières, de clauses d’un contrat liant l’exportateur de données à l’importateur ou des règles internes mises en œuvre dans les entreprises. Parmi ces garanties figurent le droit d’accès et de rectification, la confidentialité des données, l’interdiction d’utiliser les données à des fins de publicité ou de prospection commerciale si les personnes concernées n’en n’ont pas été préalablement informées et mises en mesure de s’y opposer.
La CNIL participe à la conférence mondiale et à la conférence francophone des autorités de protection des données. Elle assure le secrétariat général de l’association des autorités francophones.
En 2008, elle a contrôlé les fichiers informatisés de dix collectivités locales et de quatre en 2007 , relevant diverses irrégularités. Ces contrôles peuvent être suivis d'avertissements (publics ou non), de mise en demeure voire d'amendes . 270 contrôles physiques ont été effectués en 2009 . En 2009, le Conseil d'État a limité ses pouvoirs de contrôle, en l'astreignant à avertir les organisations concernées de sa visite imminente, ce que, conteste la CNIL, laisserait le temps aux organismes concernés d'effacer les fichiers compromettants.
La CNIL est par exemple intervenue sur les cas suivants :
faits trop anciens :
Madame X, âgée de 43 ans, postulant pour un emploi au sein de l’aéroport d’Orly, s’est vue refuser son assermentation, étant signalée dans le STIC. Elle saisit donc en août 2004 la Cnil qui entreprend aussitôt les démarches de vérification des fichiers auprès du ministère de l’Intérieur. Le 25 novembre 2004, la sécurité publique informe la Cnil que Madame X est connue de ses services, ce que fait aussi la police judiciaire le 13 janvier 2005, ce qui donne lieu, en février 2005, à des investigations de la Cnil au ministère de l’Intérieur, au cours desquelles le magistrat de la Cnil découvre que Madame X est seulement signalée pour une affaire de non-représentation d’enfant datant de 1993. Ce signalement, compte tenu de l’ancienneté des faits, n’aurait jamais du figurer dans le Stic. Il a donc été supprimé. La Cnil a demandé que les services de police judiciaire, prennent attache avec le préfet qui avait refusé l’assermentation de Madame X afin que sa situation soit réexaminée.
Monsieur L, agent de sécurité, âgé de 44 ans, a été licencié en août 2004, suite à un signalement dans le Stic pour un vol commis en 1994. Ce signalement a été supprimé car le délai de conservation de cinq ans était expiré. Mais ce dossier n’a pu être réglé qu’en mai 2005.
mesure excessive :
Madame K, agent de sécurité, âgée de 24 ans, n’a pu être embauchée dans une société de sécurité et de gardiennage en septembre 2004. Elle était signalée dans le Stic pour une infraction à la législation relative aux animaux dangereux (elle promenait son chien dans la rue, non muselé et non tenu en laisse). Il y avait là une erreur d’enregistrement, cette infraction, relevant d’une contravention de 2 classe, n’aurait en effet jamais dû donner lieu à signalement dans le Stic. La CNIL l’a donc fait supprimer.
Une personne, fichée à tort, s'était vu écartée d'une candidature pour travailler sur le tarmac de l'aéroport de Roissy-Charles-de-Gaulle. Le temps de corriger les données, l'emploi a été attribué à une autre personne.
Le 14 décembre 2007 les locaux de la CNIL ont été occupés une matinée par plusieurs dizaines de personnes qui ont notamment déployé une banderole « Informatique ou libertés, il faut choisir ». Le collectif Pièces et Main d'Œuvre avance, dans un texte d'avril 2007, que la Cnil ne bénéficie que d'une « pseudo-indépendance » et rappelle que « depuis juillet 2004, la loi a décidé que les services de police n'auraient même plus à s'asseoir sur les avis de la Cnil pour créer de nouveaux fichiers. Celle-ci était inaudible et silencieuse, la voici muette. Rien qu'un guichet de police. »
Le 6 novembre 2009, le Conseil d'État a annulé deux sanctions prononcées en 2006 par la CNIL à l’encontre de sociétés effectuant de la prospection commerciale par téléphone, sanctions faisant suite à un contrôle surprise ne nécessitant aucune autorisation judiciaire. Après plainte de ces entreprises, le conseil d’État a estimé que les contrôles doivent être « préalablement autorisés par un juge », à moins que le responsable de l'entreprise ait été « préalablement informée de son droit de s'opposer » au contrôle .
La C.N.I.L. est, toutefois,j désormais tenue de respecter le secret professionnel des activités qui y sont assujetties. Cette disposition méconnue relève du nouvel article 21 de la loi n° 78-17 du 6 janvier 1978 tel qu'il a été modifié par la loi n° 2004-801 du 6 août 2004 qui stipule : Sauf dans les cas où elles sont astreintes au secret professionnel, les personnes interrogées dans le cadre des vérifications faites par la commission en application du f du 2° de l’article 11 sont tenues de fournir les renseignements demandés par celle-ci pour l’exercice de ses missions.
Le Conseil constitutionnel dans une décision n° 2004-499 DCC du 29 juillet 2004 a rappelé cette obligation qui concerne donc toutes les professions tenues au secret professionnel :
15. Considérant qu'en vertu du dernier alinéa de l'article 21 de la loi du 6 janvier 1978, dans sa rédaction issue de l'article 3 de la loi déférée, les personnes interrogées dans le cadre des vérifications faites par la Commission nationale de l'informatique et des libertés sont tenues de fournir les renseignements demandés par celle-ci pour l'exercice de ses missions « sauf dans les cas où elles sont astreintes au secret professionnel »;
16. Considérant que, selon les requérants, cette référence au secret professionnel constitue « un recul quant aux garanties apportées aux exigences constitutionnelles applicables en la matière » ; qu'ils font valoir que « dans la loi de 1978, il n'était pas possible d'opposer un tel secret aux agents de la CNIL » et qu'« une telle restriction déséquilibre manifestement le régime de protection de la vie privée et de la liberté individuelle des personnes dont les données personnelles ont fait l'objet d'un traitement;
17. Considérant que, dans le silence des dispositions de la loi du 6 janvier 1978 antérieures à la loi déférée, les personnes interrogées par la Commission nationale de l'informatique et des libertés étaient déjà soumises au secret professionnel ; que, dès lors, le grief manque en fait;