Données personnelles : la CNIL se prépare à une année de transition

Alors que la commission mixte paritaire a échoué vendredi 6 avril à trouver un compromis sur le projet de loi transposant en droit français le règlement général sur la protection des données personnelles (RGPD), la commission nationale informatique et liberté (CNIL) a exposé hier sa feuille de route pour accompagner sa mise en œuvre. Quelle que soit la suite réservée au projet de loi, le RGPD entrera en vigueur à partir du 25 mai prochain.
Députés et sénateurs n’ont, en effet, pas réussi à trouver de compromis sur la rédaction définitive du projet de loi relatif à la protection des données personnelles. Parmi les points de désaccord, les dispositions introduites par le Sénat, et soutenues par l'AMF, visant à exclure les collectivités locales du champ des sanctions financières, à l'instar de ce qui est prévu pour l'Etat, et la mise en œuvre d’un accompagnement spécifique pour les collectivités. Un échec déploré par le président de la commission des lois du Sénat, Philippe Bas, qui a regretté dans un communiqué « le rejet en bloc des apports du Sénat en faveur des libertés publiques et des collectivités territoriales ». Le texte doit désormais être réexaminé demain par l’Assemblée nationale et le 19 avril par le Sénat.
Isabelle Falque-Pierrotin, présidente de la CNIL, qui présentait le rapport annuel de la commission, s’est efforcée d’être rassurante sur l’échéance du 25 mai. Dénonçant un « marketing de la peur »  autour des sanctions qui vont, il est vrai, pouvoir atteindre 20 millions d’euros, elle a souligné que le RGPD était « une chance pour l’Europe car il va contribuer à créer le cadre de confiance que les citoyens attendent pour le développement de la société numérique ». Des craintes qui s’expriment du reste dans les saisines de la CNIL. La commission a dû faire face à une augmentation de 44 % des plaintes en 3 ans, pour atteindre le chiffre de 8360.
L’année 2018 sera décisive pour la présidente de l’autorité de régulation car « il nous faut faire la démonstration que ces principes éthiques sont bons et que le nouveau dispositif est efficient ». Dans la continuité des actions initiées en 2017, la CNIL va poursuivre son effort de pédagogie pour la mise en œuvre du RGPD. Elle va ainsi compléter le guide méthodologique déjà disponible par des modèles de documents pour l’expression du consentement, le registre que doit tenir tout responsable de traitement ou encore l’information du droit des personnes.
Dans les prochains mois, elle va aussi mettre à jour ses normes simplifiées - comme il en existe sur le cadastre en ligne ou les téléservices - afin de faciliter la mise en conformité des acteurs. Concernant les études d’impact sur la vie privée prévues par le RGPD, une liste des traitements nécessitant, ou non, une étude d’impact devrait être publiée. Elle a enfin engagé des actions sectorielles pour répondre à la diversité des situations. Deux référentiels, pour les startups et les TPE/PME, sont d’ores et déjà disponibles. Interrogée par Maire info sur le cas des communes, Isabelle Falque-Pierrotin a évoqué la possibilité « d’un pack de conformité pour les collectivités à concevoir en partenariat avec les associations concernées ».
Que se passera-t-il si les responsables de traitements ne sont pas « conformes »  en mai prochain ? La présidente de la CNIL a affirmé que la commission serait « conciliante à partir du moment où une démarche de mise en conformité est enclenchée »  et que dans tous les cas les sanctions seront « proportionnelles au préjudice ». Consulter le rapport annuel de la CNIL.

Suivez Maire info sur Twitter : @Maireinfo2