Les missions de la CNIL

La Commission nationale de l’informatique et des libertés (Cnil) a été créée par la loi du 6 janvier 1978. Cette même loi est à l’origine de la mise en place d’un dispositif de protection des données personnelles collectées par des organismes publics ou privés. Elle a été modifiée par la loi du 6 août 2004.

La loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés opérait une distinction entre les fichiers publics soumis à un régime d'autorisation préalable et les fichiers privés soumis à un simple régime de déclaration auprès de la Commission national de l’informatique et des libertés (Cnil).

Cette distinction n'est plus conforme à la réalité des traitements de données personnelles effectués par le secteur privé grâce au développement de l'informatique et plus particulièrement d'Internet. Désormais, le syndrome Big Brother existe tant au niveau étatique que privé.

En ce sens, la directive européenne du 24 octobre 1995 relative à la protection des personnes physiques à l'égard du traitement des données à caractère personnel prévoit que " les traitements susceptibles de présenter des risques particuliers au regard des droits et libertés des personnes concernées " doivent faire l'objet d'un contrôle préalable de la part des autorités compétentes des Etats membres.

Cette directive devait être transposée en droit français avant le 24 octobre 1998 !
Or, le premier projet de loi relatif à la protection des personnes à l'égard des traitements de données à caractère personnel, modifiant la loi du 6 janvier 1978, a été déposé à l’Assemblée nationale en 2001 seulement.

La loi a finalement été promulguée le 6 août 2004.

Depuis, le régime applicable à la collecte des données personnelles dépend de la finalité des fichiers ainsi que de la nature des données collectées, conformément à la directive précédemment citée. Par conséquent, le régime de droit commun est celui de la déclaration, tandis que les traitements de données présentant des risques pour les droits et libertés des individus sont soumis à autorisation ou avis de la Cnil.

La loi informatique et libertés de 1978 prévoyait des formalités déclaratives simplifiées pour les catégories les plus courantes de traitements des données personnelles dont la mise en œuvre n’était pas susceptible de porter atteinte à la vie privée ou aux libertés. Les traitements devaient pour ce cas respecter des normes établies par la Cnil.
La loi de 2004 a conféré à cette institution un pouvoir de dispense de déclaration des traitements visés ci-dessus dans certains cas et créé des cas d’exonération légales de formalités préalables (en cas de désignation d’un Correspondant informatique et libertés, par exemple).
Les demandes d’autorisation, quant à elles, concernent huit catégories de traitements de données et ce en raison soit de la nature des données collectées soit de la finalité du traitement. Sont visées (article 25 de la loi informatique et libertés modifiée) :

• les traitements, automatisés ou non, de données dites sensibles (article 8 : données portant sur les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, l’appartenance syndicale, les mœurs, l’orientation sexuelle et la santé des personnes) : elles peuvent être collectées sur autorisation pour des besoins statistiques, en cas d’anonymisation à bref délai ou si c’est justifié par l’intérêt public ;
• les traitements automatisés portant sur des données génétiques, à l’exception de ceux qui sont mis en œuvre par des médecins ou des biologistes et qui sont nécessaires aux fins de la médecine préventive, des diagnostics médicaux ou de l'administration de soins ou de traitements ;
• les traitements, automatisés ou non, portant sur des données relatives aux infractions, aux condamnations ou mesures de sûreté, sauf ceux mis en œuvre par des auxiliaires de justice pour les besoins de leurs missions de défense des personnes concernées ;
• les traitements automatisés susceptibles, du fait de leur nature, de leur portée ou de leurs finalités, d'exclure des personnes du bénéfice d'un droit, d'une prestation ou d'un contrat, en l'absence de toute disposition législative ou réglementaire ;
• les traitements automatisés ayant pour objet l’interconnexion entre des fichiers de nature différente ;
• les traitements portant sur des données parmi lesquelles figure le numéro d'inscription des personnes au répertoire national d'identification des personnes physiques et ceux qui requièrent une consultation de ce répertoire sans inclure le numéro d'inscription des personnes à celui-ci;
• les traitements automatisés de données comportant des appréciations sur les difficultés sociales des personnes ;
• les traitements automatisés comportant des données biométriques nécessaires au contrôle de l'identité des personnes.

Seuls les fichiers dits de souveraineté (sûreté de l'Etat, défense, sécurité publique, fichiers avec pour objet la prévention, la recherche, la constatation, la poursuite des infractions pénales ou l'exécution des condamnations pénales ou des mesures de sûreté et les fichiers utilisant le numéro d'inscription au répertoire national d'identification des personnes physiques ou portant sur la quasi totalité de la population) mis en œuvre pour le compte de l’Etat, d’une personne morale de droit public ou de droit privé mais gérant un service public, sont autorisés par un acte réglementaire (arrêté ou décret en Conseil d’Etat) après avis motivé et publié de la Cnil.

Enfin, avec la loi du 6 août 2004, la Cnil a reçu de véritables pouvoirs de contrôle et de sanction. Elle est dotée de pouvoirs d'investigation, d'injonction et de sanctions administratives. Au-delà de l’avertissement et de la mise en demeure, les sanctions peuvent également être d’ordre pécuniaire pouvant atteindre 150.000 euros (le double en cas de récidive).

Nicolas Samarcq - BRM Avocats

A lire aussi : Le correspondant Cnil : à vos marques, prêts, embauchez ou externalisez !

En application du code de la propriété intellectuelle, toute reproduction totale ou partielle est strictement interdite sans autorisation écrite de NetPME.

Question d'internaute En quoi consiste un contrôle de la Cnil ?

Lire l'article Contrôles Cnil : quels sont vos droits ?