RGPD : la Cnil ne veut pas « gérer un tableau de chasse » des retardataires

La Cnil a publié son rapport d’activité, à présent disponible en ligne, ce 10 avril 2018. Il fait à la fois le point sur les actions menées par la Commission et celles à venir. Parmi les thèmes qui ont été longuement abordés : la mise en conformité de la France par rapport au RGPD et des interrogations vis-à-vis de grands acteurs privés.

L’année a été chargée pour l’autorité de régulation : plus de 8000 plaintes en 2017 — un record —, dont une demande croissante de demandes de déréférencements. La Cnil a aussi assisté à une explosion des visites sur son site web : 4,4 millions en 2017, soit 2 millions de plus que l’année précédente.

Isabelle Falque-Pierrotin, présidente de la CNIL et du G29.

Mais le dossier principal demeure le RGPD. « L’Europe joue gros avec ce règlement », affirme la présidente avant d’ajouter que le Règlement est une chance pour l’Europe en offrant un cadre de confiance au développement du numérique et en remettant à égalité les acteurs européens et les acteurs étrangers. L’Union européenne, de par cette protection unique, devra démontrer que ses principes éthiques et généraux sont bons et prouver l’effectivité de ceux-ci. « Nous aurons potentiellement un standard mondial […] Une épreuve de vérité nous attend en 2018. » 

La pédagogie plus que la sanction

La présidente a tenu des propos se voulant rassurants sur ce qu’elle a renommé « fameux couperet du 25 mai  ». Pour commencer, tout ne changera pas soudainement. Cela ne signifie pas pour autant que la Cnil observera une sorte de « période de grâce » où elle ne ferait rien. L’objectif de l’autorité est d’accompagner la montée en apprentissage des acteurs et non pas de « gérer un tableau de chasse ». La pédagogie est pour le moment favorisée par rapport à la sanction. « Dans notre politique répressive pragmatique, nous prendrons en compte les efforts et la bonne foi des uns et des autres, » souligne Isabelle Falque-Pierrotin.

La Cnil s’engage à continuer ses efforts dans l’accompagnement de la mise en conformité au RGPD notamment par des outils à venir avant le 25 mai :

• Modèles-types de mentions d’information ou formulaires de recueil du consentement
• Modèle de registre simplifié
• Information sur les droits des personnes
• Dossiers thématiques à destination des professionnels du marketing et du commerce en ligne
• Guide TPE-PME élaboré en partenariat avec la BPI
• Plan d’accompagnement à destination des startups

Les affaires à suivre

Aux questions posées, notamment le scandale Cambridge Analatyca, où les données de près de 210 000 Français auraient été captées, la présidente répond que des mesures seraient certainement prises dans le cadre du G29 ou « de façon autonome », rien n’est certain mais elle assure que l’affaire sera suivie de « façon très directe. » Le cadre juridique nouveau s’appliquant à partir du mois de mai 2018, Facebook ne sera pas soumis aux sanctions prévues par le RGPD mais se verra appliqué le régime ancien en vertu non-rétroactivité de la loi pénale.

Quant à la lutte contre les abus des GAFA, Isabelle Falque-Pierrotin ne manque pas de rappeler que le RGPD offrira une « force de frappe supplémentaire » grâce à la capacité de coopération et de prononciation de décisions communes.

La présidente a conclu son allocution en faisant part de son inquiétude sur l’échec de la Commission mixte paritaire quant à l’élaboration d’un texte commun pour le projet de loi relatif à la protection des données personnelles. « La loi doit être opérationnelle le jour de l’entrée en vigueur du Règlement, sinon l’insertion de la Cnil dans la coopération européenne sera très difficile », insiste-t-elle.