La CNIL conduit plusieurs centaines de contrôles par an consécutifs à des plaintes, de précédentes mesures correctrices, des signalements ou en lien avec l’actualité. Une partie des contrôles qu’elle réalise (environ 20 %) s’inscrivent dans le cadre de thématiques prioritaires annuelles, en raison de leur importance pour la protection des droits et libertés des personnes.

Les thématiques choisies cette année reflètent la diversité des acteurs que contrôle la CNIL (publics, privés, dans divers domaines) ainsi que l’étendue des obligations découlant du règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés (habilitations d’accès, sécurité, proportionnalité de la collecte, etc.).

Pour rappel, la CNIL peut contrôler tout organisme public ou privé, qui peuvent s’y préparer.

La mise en œuvre du guide recrutement de la CNIL

En janvier 2023, la CNIL a publié un guide visant à accompagner les recruteurs amenés à collecter et utiliser les données personnelles des candidats, ce qui complète ses ressources dédiées. Trois ans après cette publication, cette thématique aura pour objet de vérifier le respect du RGPD par ces acteurs. Les contrôles se concentreront sur les grands thèmes développés dans le guide, tels que les systèmes de prise de décision automatisée, l’information des candidats ainsi que les durées de conservation.

Ces contrôles viseront prioritairement les grandes entreprises et les cabinets de recrutement, compte tenu de la multiplicité des candidatures qu'ils reçoivent et des sélections qu'ils opèrent.

Cette thématique préfigurera l’exercice par la CNIL de ses futures attributions en tant qu’autorité de surveillance de marché dans le champ « travail » au titre du règlement sur l’intelligence artificielle.

Le répertoire électoral unique (REU)

Le répertoire électoral unique est un détenu par l’INSEE permettant le contrôle et la gestion des listes électorales, la gestion des procurations, l’extraction des adresses nécessaires à l'envoi de propagande électorale, la vérification des déclarations de soutien signées par les ressortissants français et la vérification de l'inscription sur les listes électorales des électeurs apportant leur soutien à une proposition de loi.

Les contrôles auront pour objet de vérifier les utilisations faites de ce fichier, qui regroupe l'ensemble des données des électeurs en France, ainsi que d’en identifier les éventuels détournements d’usage.

Les fédérations sportives

Le succès populaire des Jeux olympiques et paralympiques de Paris de 2024 s’est traduit par une augmentation des inscriptions dans des clubs de sport, qui traitent un très grand volume de données, dont des données de santé ou liées à la commission d’infractions, concernant un nombre important de mineurs. La CNIL a publié de nombreux outils pédagogiques à destination de ces structures dont elle vérifiera la bonne application.

La CNIL vérifiera en particulier la pertinence des données collectées, leur durée de conservation ainsi que la sécurité mise en place, le secteur ayant été particulièrement visé par les attaques informatiques récentes.

Information et transparence

Dans le cadre de la cinquième action du cadre d’application coordonné (coordinated enforcement framework - CEF), la CNIL et ses homologues européens vont procéder à des vérifications sur la transparence et l’exhaustivité de l’information apportée aux personnes concernées. Cette action vise à harmoniser l’application effective du RGPD et la coordination entre les autorités de contrôle.

Cette année, la CNIL coordonnera ces travaux en lien avec le Comité européen de la protection des données (CEPD). Ils aboutiront à un rapport européen présentant le résultat des travaux des autorités, avec une synthèse des difficultés, des bonnes pratiques constatées ainsi que des pistes d’amélioration.