CNIL rapport annuel 2023

La publication de son rapport d’activité permet à la CNIL de rendre compte de ses actions au regard de ses quatre grandes missions : informer et protéger le grand public, accompagner et conseiller les professionnels et les pouvoirs publics, anticiper et innover pour construire le numérique de demain, et enfin contrôler et sanctionner les manquements au règlement général sur la protection des données et à la loi.

Informer et protéger

Au printemps 2023, la CNIL a décidé de créer une mission de sensibilisation du grand public, en complément de ses actions déjà menées. Dans ce cadre, la CNIL a rencontré plus de 2 500 personnes lors de conférences ou ateliers dans 6 régions. En matière d’éducation au numérique, la CNIL a également poursuivi ses actions, en proposant 81 interventions dans 9 régions et en rencontrant 4 300 personnes, dont 1 500 jeunes.

L’année 2023 a surtout été marquée par une nette augmentation des sollicitations du grand public. La CNIL a ainsi traité 16 433 plaintes (+ 35 % par rapport à 2022) et, pour la deuxième année consécutive, elle en a instruit autant qu’elle en a reçu. Elle a également été destinataire de 20 810 demandes d’exercice des droits indirect (pour l’accès à certains fichiers bancaires ou de police) via l’ouverture d’un téléservice dédié, ce qui représente une hausse de 217 % en un an.

Le site web cnil.fr a, encore cette année, enregistré un record d’audience, avec 11,8 millions de visites, témoignant d’un intérêt toujours croissant des publics, professionnels et particuliers, pour la protection des données, en particulier concernant l’hameçonnage (phishing), les cookies ou l’intelligence artificielle. En outre, la CNIL a constaté une augmentation de 35 % des visites de sa base de questions-réponses « Besoin d’aide », notamment sur des sujets relatifs au fichier national des incidents de paiement (FICP) ou au casier judiciaire.

Accompagner et conseiller

L’accompagnement des professionnels dans leur démarche de conformité est l’une des missions essentielles de la CNIL.

En 2023, elle a enrichi sa stratégie d’accompagnement, en se focalisant, sur l’intelligence artificielle : d’une part, via un accompagnement renforcé pour des entreprises présentant un fort potentiel économique ou d’innovation ; d’autre part, via la troisième édition de son « bac à sable », dédié cette année aux projets de services publics.

Au-delà d’un accompagnement sectoriel et, dans certains cas, individuel (1 651 demandes de conseil reçues en 2023), la CNIL a produit 13 nouveaux documents de référence : 5 nouveaux guides, 4 référentiels, 2 recommandations et 2 méthodologies de référence pour le secteur de la santé.

Enfin, elle a poursuivi ses déplacements en région dans le cadre des « Journées RGPD », en rencontrant des professionnels et étudiants à Reims, Rennes, Marseille et Toulouse.

Anticiper et innover

Dans la continuité des années passées, la CNIL a poursuivi la consolidation de liens étroits avec le monde de la recherche, en organisant notamment la seconde édition du Privacy Research Day (Journée de recherche sur la vie privée), une conférence internationale faisant dialoguer régulateurs et chercheurs.

De plus, au titre de ses missions d’anticipation et d’accompagnement, la CNIL a publié une feuille de route sur l’intelligence artificielle, suivant 3 principes fondamentaux : guider le développement d’une IA respectueuse de la vie privée, fédérer et accompagner les acteurs innovants et auditer les systèmes existants et protéger les personnes.

Enfin, dans le contexte environnemental actuel, il est apparu nécessaire d’explorer les intersections entre protection des données et de l’environnement : cette articulation est l’objet du neuvième cahier IP du Laboratoire d’innovation numérique de la CNIL (LINC), Données, empreinte et libertés.

La CNIL a également organisé son évènement éthique air2023, réunissant 1 700 personnes sur place et à distance. Elle a publié un cahier en 2024, reprenant les grands axes et débats de l’évènement, sous la forme de témoignages et d’entretiens.

Contrôler et sanctionner

La CNIL a poursuivi une activité répressive soutenue : elle a mené 340 contrôles, majoritairement sur place et en ligne, que ce soit sur la base de plaintes, ou de sa propre initiative (thématiques prioritaires, informations parues dans la presse…).

42 sanctions ont été prononcées (soit deux fois plus qu’en 2022), dont 36 amendes pour un total de 89 179 500 euros. En complément, la présidente de la CNIL a prononcé 168 mises en demeure, ainsi que 33 rappels aux obligations légales, contre des organismes ayant commis des manquements à la réglementation sur la protection des données.

Il s’agit aussi de l’année au cours de laquelle la procédure simplifiée a pris un réel essor.

Créée en 2021 pour adapter les procédures aux dossiers ne présentant pas de difficulté juridique particulière, elle permet à la CNIL d’agir plus efficacement encore face aux plaintes toujours plus nombreuses. Ainsi, 24 sanctions – soit plus de la moitié du total – ont été prononcées dans ce cadre.