Retrouvez mon intervention dans l’article de presse publié par l’Usine Digitale consacré au rapport de la Cour des comptes sur la CNIL.
Etant indirectement à l'origine de ce rapport de la Cour des comptes qui fait suite à une initiative citoyenne, j'interviens pour commenter ce rapport attendu en ce qui concerne l’adéquation entre les moyens alloués à l’autorité de contrôle, l’extension continue de ses missions et l’effectivité concrète de son action en matière de protection des données personnelles.
Le rapport de la Cour des comptes dresse un constat assez nuancé. Il retient, d’une part, l’adaptation globalement réussie de la CNIL au changement de paradigme introduit par le RGPD, ainsi que le renforcement de son action de contrôle, de sanction et d’influence.
Il met toutefois en évidence, d’autre part, plusieurs limites bien connues par les praticiens, en particulier dans le traitement des plaintes : augmentation des stocks, allongement des délais, insuffisances dans les outils de pilotage, absence de doctrine formalisée de priorisation et difficultés relatives à certaines modalités de clôture des dossiers.
Cet angle d'analyse, qui est celui habituellement retenu par le cabinet, est ici retenu dans le cadre du présent commentaire.
L’impression que les plaintes étaient gérées une par une sans cohérence globale est désormais confirmée, les rappels aux obligations légales adressés aux organismes mis en cause n'étant jamais comptabilisés.
Cela est déroutant pour le plaignant mais a surtout un impact sur la cohérence des décisions prises par l’administration, notamment lorsqu'on revient déposer plainte pour la dixième fois contre un même responsable de traitement déjà rappelé en vain à ses obligations légales pour des faits similaires.
Est aussi révélée l'existence d'un process de 18 scénarios pré-établis débouchant sur l'envoi de rappels aux obligations légales par un prestataire externe dans plus de 35% des clôtures de plaintes pour une valeur unitaire de 49 euros par courrier papier ou électronique, aux frais du contribuable.
En pratique, ces rappels aux obligations légales ne sont par ailleurs pas désignés comme tels eux-mêmes, et ne pas émis par la présidence de la CNIL ou avec délégation comme le prévoit pourtant le III de l'article 20 de la loi Informatique et Libertés de 1978.
La CNIL affirmait en 2023 ne pas avoir les moyens suffisants pour mener à bien sa mission, cette situation perdurant depuis de nombreuses années. Cette violation de l'article 52(4) du RGPD, qui impose pourtant que les autorités de protection des données disposent des ressources nécessaires à l'exercice effectif de leurs missions, avait en grande partie justifié cette initiative citoyenne de 2024.
Ces constats appellent à une réflexion de fond sur les conditions de mise en oeuvre effective du droit à la protection des données. Les missions de la CNIL ayant vocation à s’élargir encore sous l’effet des nouveaux textes européens, cet enjeu revêt une importance particulière.
Source :
Crédits image : Unsplash - Claudio Schwarz