La loi Informatique et libertés et la CNIL

Au début des années 1970, l'État envisage de relier ses fichiers grâce au numéro d'inscription au répertoire de l'Insee, le numéro de sécurité sociale. Le projet, baptisé SAFARI, est révélé par Le Monde en mars 1974 sous le titre « SAFARI ou la chasse aux Français ». La crainte d'un fichage généralisé conduit à une commission puis à la loi du 6 janvier 1978, l'une des premières au monde. Elle pose des principes toujours valables : finalité déterminée des fichiers, proportionnalité des données collectées, durée de conservation limitée, sécurité, droits d'accès et de rectification des personnes, encadrement strict des données sensibles et de l'usage du numéro de sécurité sociale. Elle crée surtout une autorité chargée de veiller à son application, la CNIL.

La CNIL est la première autorité administrative indépendante créée en France : elle agit au nom de l'État sans recevoir d'instruction du Gouvernement. Son collège de dix-huit membres comprend des députés et sénateurs, des membres du Conseil d'État, de la Cour de cassation et de la Cour des comptes, cinq personnalités qualifiées, deux membres du Conseil économique, social et environnemental et le président de la Commission d'accès aux documents administratifs ; son président est nommé par décret du Président de la République parmi les membres, et le collège élit deux vice-présidents. Ses missions vont de la pédagogie à la répression : elle informe le public, reçoit les plaintes, plusieurs milliers chaque année, conseille le Parlement et le Gouvernement par des avis obligatoires sur les textes touchant aux données, publie des référentiels et des recommandations, contrôle sur place, sur pièces et en ligne, et sanctionne par sa formation restreinte. Elle coopère avec ses homologues européens au sein du Comité européen de la protection des données, qui tranche par une décision contraignante les désaccords entre autorités sur les dossiers transfrontaliers, notamment ceux des grandes plateformes.

Le RGPD, règlement européen, s'applique directement en France depuis le 25 mai 2018 ; la loi de 1978 réécrite le complète là où il laisse une marge aux États : données de santé, numéro de sécurité sociale, traitements des services de renseignement, âge du consentement autonome fixé à quinze ans pour l'offre directe de services en ligne reposant sur le consentement. L'administration fiscale est un grand utilisateur de données personnelles : déclarations de revenus, FICOBA qui recense les comptes bancaires, FICOVIE (fichier des contrats d'assurance-vie) pour l'assurance-vie, données cadastrales, échanges automatiques avec les autres États. Ces traitements doivent reposer sur une base juridique appropriée ; les formalités d'avis ou d'autorisation de la CNIL dépendent du régime applicable. Ils ne nécessitent pas tous une loi ou un décret pris après avis de la CNIL. Depuis la loi de finances pour 2020, la DGFiP peut, à titre expérimental, collecter des contenus publics des réseaux sociaux et des plateformes en ligne pour détecter certaines fraudes, dans les limites fixées par le Conseil constitutionnel ; la loi de finances pour 2024 a prolongé l'expérimentation de deux ans à compter du décret du 31 décembre 2024 qui en fixe les modalités. Un délégué à la protection des données, obligatoire dans une administration fiscale, veille à la conformité ; les agents qui accèdent à des données sans motif de service commettent une faute.

Pour le QCM, retenir la chaîne : SAFARI 1974, loi 1978, CNIL autorité administrative indépendante, RGPD 2018, amende maximale 20 millions d'euros ou 4 % du chiffre d'affaires. La confusion la plus fréquente porte sur la nature de la CNIL : ni ministère, ni tribunal, une autorité indépendante.