Plus de 55 millions d’euros d’amendes et une accélération des mesures de conformité

L'année 2024 a été marquée par un renforcement des actions d'exécution menées par la Commission nationale de l'informatique et des libertés (CNIL), qui a intensifié ses efforts pour faire appliquer la réglementation, inciter à la mise en conformité dans divers secteurs et consolider les droits des individus en matière de protection des données.

Au cours de l’année dernière, la CNIL a émis un total de 331 décisions, dont 55 212 400 euros d’amendes cumulées, 180 mises en demeure (soit une augmentation de 267 % par rapport à 2020) et 64 rappels aux obligations légales. 

• les sanctions ont porté sur différents domaines, tels que :
• la prospection directe : non-respect de l'obligation d’obtention du consentement explicite ;
• les services de messagerie électronique : non-respect par un fournisseur de messagerie électronique de l'obligation de consentement préalable dans le contexte de publicités insérées dans les boîtes de réception électroniques des utilisateurs, entre les courriels ; ou
• les entrepôts de données de santé : non-respect de l'obligation de demander une autorisation à la CNIL, dans la mesure où il s’avère que les données détenues dans l'entrepôt n’étaient pas anonymisées, mais étaient des pseudonymes.

Par ailleurs, la procédure de sanction simplifiée de la CNIL, introduite en 2022, a donné lieu à 69 sanctions, principalement pour manque de coopération, non-respect des droits des personnes concernées, non-respect du principe de minimisation des données et insuffisance des mesures de sécurité des données. 

Priorités de la CNIL pour les trois prochaines années

La CNIL a défini ses priorités pour la période 2025-2028 comme suit :

1. Promouvoir une intelligence artificielle éthique et respectueuse des droits 

• Partager les connaissances et l'expertise au sein de l'écosystème de l'IA.
• Clarifier le cadre juridique, en assurant l'alignement entre le AI Act et le RGPD, et soutenir des projets innovants avec des technologies émergentes de protection de la vie privée.
• Sensibiliser le public.
• Élaborer des méthodes d'audit des systèmes d'IA.

2. Protéger les mineurs 

• Accroître la présence de la CNIL sur le terrain pour sensibiliser les enfants, les parents et les éducateurs à la protection des données.
• Permettre aux mineurs d'exercer leurs droits en matière de données.
• Promouvoir un usage responsable des outils numérique.
• Renforcer la surveillance des plateformes en ligne ciblant les mineurs.

3. Faire de chacun un acteur de la cybersécurité pour renforcer la confiance dans l’espace numérique

• Collaborer avec l'écosystème de la cybersécurité pour harmoniser l'application des réglementations européennes (par exemple, NIS2, DORA) et intégrer la protection des données dans les normes de sécurité.
• Renforcer les formations pour prévenir les violations de données et y répondre, en encourageant une culture de la sécurité.
• Soutenir le développement de technologies émergentes de protection de la vie privée.
• Augmenter les mesures d'exécution. 

4. Mettre en œuvre des actions ciblées sur des usages numériques du quotidien :

• Promouvoir la conformité parmi les développeurs d'applications mobiles.
• Promouvoir le développement de systèmes d'identité numérique conformes, en collaborant avec les autorités de contrôles européennes sur le règlement eIDAS et le portefeuille européen d'identité numérique.

La CNIL a pu intensifier ses mesures d’exécution en renforçant ses effectifs et, surtout, en exploitant sa procédure de sanction simplifiée. Sans surprise, l’intelligence artificielle figure en tête de ses priorités pour les trois prochaines années, avec la volonté affirmée de jouer un rôle déterminant tant dans l’écosystème que dans l’évolution de la règlementation.