Alors que 66% des Français se disent plus sensibles qu’auparavant à la protection des données, la CNIL continue à recevoir toujours plus de plaintes individuelles ou collectives, 6 mois après l’entrée en application du RGPD.

Bilan factuel ou quantitatif

Une ordonnance avant la fin de l’année

La lisibilité du cadre juridique national sera améliorée par une ordonnance qui sera prise avant la fin de l’année. La CNIL s’est déjà prononcée pour avis sur le projet de cette ordonnance le 15 novembre.

Du côté des professionnels : une appropriation qui se poursuit

• 32 000 organismes ont désigné un délégué à la protection des données (personnes physiques ou morales) ; ce qui représente 15 000 DPO contre 5 000 CIL (correspondants informatique et libertés) avant le RGPD ;
• 1 000 notifications de violations de données ont été reçues, soit environ 7 par jour depuis le 25 mai ;
• Une hausse significative des contacts avec les publics, notamment les professionnels : 178 000 appels depuis janvier 2018 et ; 246 000 consultations des FAQ en ligne (178 000 en 2017)) ;
• 7 millions de visites sur le site de la CNIL (4,4 millions en 2017) ;
• 130 000 téléchargements de l’outil PIA pour réaliser une analyse d’impact sur la protection des données.

Du côté des particuliers : une sensibilité en nette augmentation et une dimension plus collective de l’action

Depuis le début de l’année, la CNIL a reçu 9 700 plaintes, soit 34% de plus qu’en  2017 sur la même période.

6 000 plaintes ont été reçues depuis le 25 mai.

On constate, dans le cadre de l’instruction de ces plaintes, qu’elles sont l’occasion, pour les organismes mis en cause, de repenser leur organisation notamment au regard de l’information des personnes et des modalités d’exercice des droits, comme le droit d’accès. En effet, les organismes reçoivent énormément de demandes de droit d’accès notamment, ce à quoi ils n’étaient manifestement pas assez préparés.

• Trois organismes ont saisi la CNIL de plaintes collectives: la Quadrature du Net (plaintes concernant Google, Amazon, Facebook, LinkedIn et Apple, pour un total de 45 000 personnes concernées), l’association NOYB (Google) et l’ONG anglaise Privacy International (plaintes concernant 7 entreprises procédant à de la collecte à grande échelle de données en ligne).
• Les autorités de protection européennes traitent actuellement en coopération 345 plaintes transfrontalières. La CNIL est concernée par 187 cas et autorité chef de file pour 15 cas. Ces plaintes soulèvent notamment des questions sur le consentement.

Du côté des autorités de protection des données : une coopération européenne opérationnelle soutenue

• 4 plénières du Comité européen à la protection des données (CEPD) ont déjà eu lieu depuis mai ainsi que de nombreux sous-groupes de travail ;
• 19 lignes directrices ont été adoptées et 6 sont en cours d’élaboration (la certification, les codes de conduite, les transferts de données ou encore la vidéosurveillance) ;
• La seconde revue annuelle du Privacy Shield a eu lieu en octobre (présentation d’un rapport à venir) ;
• Un avis a été adopté sur la proposition de Règlement et la proposition de Directive en matière d’accès aux preuves électroniques et le CEPD a été saisi par la Commission européenne pour rendre un avis sur le projet de décision d’adéquation du Japon ;

Le CEPD a validé plus de 20 listes nationales de traitements devant faire l’objet d’une analyse d’impact sur les données personnelles (AIPD).

Les actions de la CNIL pour accompagner les professionnels

La CNIL a déjà élaboré des nouveaux outils de régulation permis par le RGPD ou la loi modifiée et d’autres initiatives sont en cours :

La publication de la liste des traitements devant faire l’objet d’une analyse d’impact ainsi que des lignes directrices synthétiques permettant aux responsables de traitement concernés de savoir plus précisément s’ils sont ou non soumis à cette obligation ;

La consultation sur un règlement-type biométrie qui permettra de fixer un cadre exigeant et protecteur, pour lequel la CNIL a reçu 29 contributions. Ce règlement sera adopté prochainement par la CNIL ;

• La consultation prochaine sur 5 « référentiels » relatives à la gestion clients et prospects, la gestion des impayés, les vigilances sanitaires, les ressources humaines et la gestion des cabinets médicaux.  Ces référentiels actualisent la doctrine de la CNIL au regard des nouvelles exigences du RGPD en s’appuyant sur la doctrine établie depuis de nombreuses années (autorisations uniques, normes simplifiées, packs de conformité, etc.). Certains de ces référentiels seront portés par la CNIL au niveau européen ;
• L’adoption de deux référentiels de certification de compétences « DPO » après consultation (délivrance des premiers agréments envisagée au 1^er semestre 2019) ;
• Une dizaine de codes de conduite en cours de préparation, portant notamment sur la recherche médicale et les infrastructures dites de « cloud » ;

Développement d’une stratégie à destination des « têtes de réseaux » afin d’assurer une diffusion plus large des principes RGPD ;

• La conception d’un MOOC pour se familiariser avec les principes fondamentaux du RGPD (1^er trimestre 2019) ;
• Un plan d’accompagnement des collectivités locales en 2019 : guide pratique, fiches thématiques, (téléservices, sécurité, DPO et collectivités, etc.).

sources : La CNIL 2018

Richard Sadowski

Conseil d'entreprise externe et Médiateur Professionnel Certifié. Avec plus de quatre décennies d'expérience juridique, Richard SADOWSKI se distingue comme un expert de premier plan en droit français. Sa carrière est marquée par une expertise approfondie dans la création et la modification de sociétés, la gestion des contentieux, les assurances, ainsi que le droit informatique et des libertés, notamment le RGPD. Sa connaissance en propriété intellectuelle, droit immobilier, patrimonial et fiscal complète son profil de juriste d'entreprise aguerri. En tant que conseiller juridique, Richard joue un rôle crucial dans la protection et la défense des intérêts de ses clients, tout en veillant scrupuleusement à la conformité légale de leurs projets. Son rôle de conseiller auprès des dirigeants lui permet d'apporter un soutien stratégique dans divers domaines, qu'ils soient commerciaux, financiers, environnementaux ou techniques. Au-delà de ses compétences juridiques, Richard excelle également dans l'audit RGPD. Doté d'une maîtrise aiguisée des nouvelles technologies, il guide ses clients depuis l'audit initial CNIL jusqu'à une mise en conformité totale avec les normes. En tant que médiateur professionnel certifié, Richard offre une approche pragmatique pour résoudre les litiges, qu'ils soient internes ou externes. Cette expertise s'étend aux problématiques de recouvrements, conflits commerciaux et différends entre associés. Son intérêt et son ouverture au droit européen, ainsi qu'aux droits belge, luxembourgeois et monégasque, enrichissent sa perspective juridique, lui permettant d'offrir des conseils pertinents et adaptés à un contexte international. Richard SADOWSKI représente un pilier de sagesse et d'expertise dans le monde juridique, offrant des solutions innovantes et conformes à la complexité des défis actuels.

Voir la biographie complète