La Cnil sera plus sévère en 2019 sur le respect du RGPD

« L’année 2019 sera décisive pour crédibiliser le nouveau cadre juridique et transformer cet ambitieux pari européen en succès opérationnel », indique la Cnil. Elle veut articuler son action autour de deux axes : la pédagogie et la dissuasion. « Nous avons toujours une volonté d’accompagnement mais, à partir de maintenant, c’est la fin d’une certaine forme de tolérance, un an après l’entrée en vigueur du RGPD. L’accompagnement ne serait pas crédible sans contrôle assorti, le cas échéant, de sanctions », a déclaré Marie-Laure Denis, la présidente de la Cnil, dans une interview au Monde du 16 avril.Sur le premier axe, il s’agira d’amplifier ses actions d’accompagnement : sensibilisation à destination des collectivités, préparation des élections européennes et municipales en matière de communication politique, publication d’un guide et de fiches pratiques sur l’ouverture des données publiques (open data) avec la CADA, etc.

Dans les actions de sensibilisation à destination des collectivités, la Cnil souhaite particulièrement toucher les petites communes. A cette fin, elle leur proposera avant l’été un guide pratique ou une rubrique dédiée sur son site avec des fiches thématiques permettant d’aller plus loin dans la conformité. De plus, elle poursuivra ses échanges avec les têtes de réseau et les associations telles que l’ADF, l’AMRF, l’AMF, l’Andam (Association nationale des directeurs d’associations de maires), etc. La Cnil enrichira également son MOOC d’un module dédié aux collectivités et sera présente au salon des maires en novembre. La Cnil indique également qu’elle va « accentuer » ses préconisations sur les assistants sociaux.

Cette amplification des actions d’accompagnement s’opérera en parallèle d’un « contrôle exigeant », indique la Cnil, avec dans certains cas « une sanction ferme car la crédibilité du RGPD repose aussi sur une politique de contrôles et de sanctions efficace ». En matière de contrôles, la Cnil souhaite concentrer son action sur les plaintes et trois grandes thématiques, directement issues de l’entrée en application du RGPD : une stratégie de contrôles centrée sur les plaintes reçues (collectives ou individuelles) pour rester en prise directe avec les attentes des citoyens ; des contrôles sur des grandes thématiques qui concernent tous les secteurs plutôt que sur des traitements (répartition des responsabilités entre les sous-traitants et les donneurs d’ordre, données des mineurs).

Philippe Pottiée-Sperry