La CNIL, Commission nationale de l'informatique et des libertés, est l'autorité française chargée de protéger les données personnelles. Elle est souvent confondue avec l'ANSSI, l'agence qui s'occupe de la sécurité informatique de l'État et des opérateurs critiques. Les deux se rencontrent régulièrement après une cyberattaque, mais leurs missions, leurs pouvoirs et leurs publics ne sont pas les mêmes. Cet article présente la CNIL : ce qu'elle est, ce qu'elle fait, ce qu'elle exige des organisations, et comment la distinguer de l'ANSSI, dont nous détaillons le rôle dans notre article sur l'ANSSI.
La CNIL en bref
La CNIL a été créée par la loi Informatique et Libertés de 1978. C'est une autorité administrative indépendante : elle n'est pas subordonnée au gouvernement dans l'exercice de ses missions. Elle est dirigée par un collège de 18 membres, appuyé par des agents de l'État (voir la page statut et organisation de la CNIL).
Depuis l'application du RGPD (règlement général sur la protection des données, 2018) et l'ordonnance du 12 décembre 2018 qui adapte la loi française, la CNIL est passée d'une logique de contrôle préalable à une logique de contrôle a posteriori, fondée sur la responsabilité de chaque organisation (« accountability ») : c'est à l'organisation de démontrer sa conformité.
À retenir : la CNIL protège les personnes concernées par des traitements de données personnelles. Son sujet, c'est la vie privée, pas la sécurité informatique en général.
Ses missions principales
| Mission | Ce que cela recouvre |
|---|---|
| Informer et conseiller | Guides, fiches pratiques, modèles, réponses aux professionnels et aux particuliers |
| Accompagner | Outils de mise en conformité, analyses d'impact (AIPD), référentiels sectoriels |
| Protéger | Traitement des plaintes, exercice des droits (accès, rectification, effacement, opposition) |
| Contrôler | Contrôles sur place, en ligne, sur pièces ou sur audition |
| Sanctionner | Mises en demeure, injonctions, amendes administratives |
| Anticiper | Veille sur les technologies, recommandations, dialogue avec la recherche et l'innovation |
Ce que la CNIL exige des organisations
Toute organisation qui traite des données personnelles (clients, salariés, usagers, prospects) est concernée, quelle que soit sa taille. Les principes clés du RGPD sont :
- Licéité et transparence : une base légale claire et une information des personnes ;
- Finalité et minimisation : ne collecter que les données nécessaires à un objectif précis ;
- Durée de conservation limitée ;
- Sécurité : des mesures techniques et organisationnelles adaptées au risque ;
- Respect des droits des personnes ;
- Responsabilité : registre des traitements, documentation, et, selon les cas, désignation d'un délégué à la protection des données (DPO).
La violation de données
En cas de violation de données personnelles (perte, vol, divulgation ou altération non autorisée), le RGPD impose en principe de la notifier à l'autorité de contrôle dans les 72 heures après en avoir pris connaissance, lorsqu'elle présente un risque pour les personnes. Si le risque est élevé, les personnes concernées doivent aussi être informées. En France, cette notification se fait auprès de la CNIL. Pour comprendre comment une attaque commence souvent, voir notre guide pour analyser un e-mail de phishing.
Contrôles et sanctions
Le RGPD prévoit des amendes administratives pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu pour les manquements les plus graves. La CNIL dispose d'une palette de mesures avant l'amende : rappel à l'ordre, mise en demeure, limitation ou interdiction d'un traitement. Selon les sources spécialisées, elle a prononcé plusieurs dizaines de sanctions pour plus de 55 millions d'euros cumulés en 2024. Les décisions sont généralement publiques.
Les manquements les plus souvent relevés concernent la sécurité insuffisante des données, l'absence de base légale, les durées de conservation excessives, les cookies et traceurs sans consentement valide, et le non-respect des droits des personnes.
CNIL et ANSSI : quelle différence ?
Les deux institutions sont complémentaires, mais elles n'ont ni le même objet ni les mêmes leviers.
| CNIL | ANSSI | |
|---|---|---|
| Objet | Protection des données personnelles et de la vie privée | Sécurité des systèmes d'information |
| Statut | Autorité administrative indépendante | Service de l'État rattaché au SGDSN (Premier ministre) |
| Public principal | Toute organisation traitant des données personnelles, et les personnes concernées | État, opérateurs d'importance vitale, entités régulées, industriels, grand public |
| Cadre de référence | RGPD, loi Informatique et Libertés | Code de la défense (LPM), directive NIS 2, référentiels de sécurité |
| Rôle vis-à-vis d'un incident | Reçoit la notification d'une violation de données personnelles et peut sanctionner | Appuie techniquement, alerte, coordonne la réponse (CERT-FR) |
| Outil emblématique | Amende, mise en demeure, AIPD | Qualification de prestataires, alertes, guides techniques |
Un exemple concret : une entreprise victime d'un rançongiciel qui exfiltre les données de ses clients. Elle a une obligation vis-à-vis de la CNIL (notification de la violation, information des personnes, examen des mesures de sécurité mises en place) et peut solliciter l'ANSSI ou son CERT pour la réponse technique. Si l'entreprise est un opérateur d'importance vitale, elle a en plus des obligations spécifiques, expliquées dans notre glossaire OIV, LPM, SIIV, PASSI, PDIS.
À retenir : la CNIL demande « avez-vous protégé les données des personnes, et pouvez-vous le prouver ? ». L'ANSSI demande « votre système d'information résiste-t-il aux attaques, et comment réagir ? ».
Que faire concrètement ?
- Cartographier les traitements de données personnelles et tenir un registre à jour.
- Sécuriser : authentification renforcée, chiffrement, journalisation, gestion des accès. Un générateur de mots de passe aide à produire des secrets robustes.
- Préparer la gestion des violations : qui décide, qui notifie, qui informe, dans quels délais.
- Documenter ses choix pour pouvoir prouver sa conformité.
- Sensibiliser les équipes : une grande partie des violations vient d'erreurs humaines ou d'hameçonnage.
- Consulter les ressources officielles sur cnil.fr, qui publie guides et outils gratuits.
En résumé
La CNIL est l'autorité de la donnée personnelle : elle informe, contrôle et sanctionne au titre du RGPD. Elle ne remplace pas l'ANSSI, qui est l'autorité de la sécurité des systèmes d'information. Après une attaque, les deux peuvent être concernées, chacune pour un objet différent. Comprendre cette répartition évite les erreurs de démarche et permet de réagir dans les délais.