CNIL
La CNIL (Commission nationale de l'informatique et des libertés) est l'autorité administrative indépendante chargée de la protection des données personnelles en France. Elle conseille les collectivités, reçoit les plaintes, contrôle les traitements et peut sanctionner.
Cette définition couvre également les termes :
- Commission nationale de l'informatique et des libertés
- Autorité de protection des données
Définitions
Définition simple : qu'est-ce que la CNIL pour les collectivités territoriales ?
La CNIL (Commission nationale de l'informatique et des libertés) désigne l'autorité administrative indépendante chargée de veiller à la protection des données personnelles en France, afin que l'informatique et le numérique ne portent atteinte ni à la vie privée, ni aux libertés individuelles ou publiques.
Créée par la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés, elle est l'une des premières autorités de ce type en Europe. Depuis 2018, elle veille à l'application du règlement général sur la protection des données (RGPD) et coopère avec ses homologues au sein du Comité européen de la protection des données. Elle est l'autorité la plus citée dans les contenus de Numérique360.
Les enjeux de la CNIL pour les collectivités
Les collectivités traitent des données personnelles dans presque toutes leurs missions : état civil, action sociale, cantine, urbanisme, ressources humaines, vidéoprotection, capteurs et services en ligne. La CNIL conseille ces acteurs, publie des recommandations sectorielles, comme celles sur les caméras augmentées ou la captation sonore, et accompagne des projets innovants dans son bac à sable, consacré notamment à l'intelligence artificielle dans les services publics.
Elle contrôle aussi : à la suite d'une plainte ou d'un contrôle programmé, elle peut mettre une collectivité en demeure et prononcer des mesures correctrices. Depuis 2018, la logique est celle de la responsabilité : la collectivité tient son registre, désigne un délégué à la protection des données et documente ses choix. Les retours d'expérience de Numérique360 décrivent un Département qui encadre l'IA générative de ses 3 200 agents avec son délégué à la protection des données, en interdisant de transmettre des données personnelles aux outils d'IA.
Définition technique : missions et outils de la CNIL
La CNIL (Commission nationale de l'informatique et des libertés) exerce cinq missions. Informer les personnes de leurs droits et les responsables de traitement de leurs obligations. Accompagner la conformité : recommandations, référentiels, guides sectoriels, fiches pratiques, logiciel libre d'analyse d'impact (PIA), bac à sable thématique. Anticiper les évolutions technologiques, par son laboratoire d'innovation numérique. Contrôler les traitements, sur place, sur pièces, en ligne ou sur audition. Sanctionner les manquements, par sa formation restreinte.
Pour une collectivité, les points de contact sont précis. Le délégué à la protection des données (DPO) est désigné auprès de la CNIL. Toute violation de données présentant un risque est notifiée dans les 72 heures par son téléservice. Une consultation préalable s'impose si une analyse d'impact relative à la protection des données (AIPD) révèle un risque élevé non réduit. Les plaintes des habitants et des agents arrivent par son site.
Les indicateurs de conformité qu'une collectivité suit sont le nombre de traitements inscrits au registre, la part des traitements à risque couverts par une AIPD (en %), le délai de notification des violations (en heures), le délai de réponse aux demandes d'exercice des droits (en jours, un mois au plus) et le nombre d'agents sensibilisés.
Définition juridique et réglementaire de la CNIL
Le statut
La loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés institue la CNIL comme autorité administrative indépendante. Elle ne reçoit d'instruction d'aucune autorité. Son collège réunit des parlementaires, des membres des hautes juridictions et des personnalités qualifiées ; une formation restreinte distincte prononce les sanctions, ce qui sépare l'instruction du jugement.
Les pouvoirs issus du RGPD
Le règlement (UE) 2016/679, dit RGPD, applicable depuis le 25 mai 2018, fait de la CNIL l'autorité de contrôle française. Ses articles 57 et 58 lui confèrent des missions et des pouvoirs d'enquête, d'autorisation, de conseil et de mesures correctrices : avertissement, rappel à l'ordre, injonction, limitation ou interdiction d'un traitement. L'article 33 impose de lui notifier les violations de données dans les 72 heures, et l'article 36 de la consulter lorsqu'une analyse d'impact révèle un risque élevé non atténué.
Les obligations des collectivités
L'article 37 du RGPD impose aux autorités et organismes publics, dont toutes les collectivités, de désigner un délégué à la protection des données (DPO), qui peut être mutualisé. Elles tiennent un registre des activités de traitement (article 30 du RGPD) et conduisent une analyse d'impact pour les traitements à risque élevé (article 35). La CNIL publie, avec Cybermalveillance.gouv.fr, un guide sur les obligations et responsabilités des collectivités locales en matière de cybersécurité.
Cas d'usage de la CNIL pour les collectivités
| Cas d’usage | Description | Bénéfices pour les collectivités |
|---|---|---|
| Encadrer l'IA générative avec son délégué à la protection des données | Un Département rédige avec son délégué à la protection des données, sa direction du numérique et les représentants du personnel une charte d'usage de l'IA générative pour 3 200 agents, qui interdit notamment de transmettre des données personnelles aux outils d'IA. Retour d'expérience. |
Des usages de l'IA conformes aux recommandations de la CNIL. |
| Participer au bac à sable de la CNIL | Une collectivité fait accompagner par la CNIL un projet d'intelligence artificielle au service des usagers avant son déploiement, afin d'identifier les enjeux liés à la protection des données personnelles dès la phase de conception. Retour d'expérience à venir sur ce cas d'usage. | Un projet innovant sécurisé juridiquement dès sa conception. |
| Notifier une violation de données après une cyberattaque | Une commune victime d'un rançongiciel notifie la violation de données à la CNIL dans les 72 heures après en avoir pris connaissance et informe les personnes concernées lorsque le risque pour leurs droits et libertés est élevé. Retour d'expérience à venir sur ce cas d'usage. | Une crise gérée dans le respect des obligations réglementaires et de la confiance des habitants. |
