Cnil, le nombre de sanctions a doublé en 2023

89, 2 millions euros, c’est le montant total des amendes récoltées par la Cnil en 2023. Cela représente 42 sanctions (contre 21 en 2022) dont un tiers concerne des manquements à la sécurité des données personnelles. Multinationales, petites entreprises, secteur privé, secteur public, le radar de la Cnil n’a épargné personne. L’autorité a été confrontée aux thématiques habituelles : publicité et commerce en ligne, sécurité, géolocalisation de véhicules ou traitements de données de santé.

Année record

Il était encore question en 2023 de la protection des données des salariés. En septembre 2023, alertée par un salarié, la Cnil punit la société de fret aérien Saf Logistics (dont la maison-mère se situe en Chine), laquelle collectait des données relatives à la vie privée de ses employés en toute illégalité. Sept mois plus tard, en mai, elle prononce une sanction de 380 000 euros à l’encontre de la société Doctissimo, qui avait, entre autres, conservé trop longtemps les données personnelles des internautes. Critéo, la société spécialisée dans la publicité en ligne écope en juin d’une amende de 40 millions d’euros, faute d’avoir prouvé qu’elle avait recueilli le consentement des personnes dont elle récoltait les données. À l’automne, c’est le groupe Canal+ qui doit verser quelque 600 000 euros, soit 0,03% de son chiffre d’affaires en 2022, pour des manquements au RGPD. Parmi les griefs, celui de lancer des campagnes de prospection commerciale par mail, sans avoir obtenu le consentement valable des prospects que lui fournissaient ses partenaires.

L’année 2023 a aussi été celle du record de mises en demeure. Au total : 168. Un chiffre qui dépasse celui atteint en 2022 (147) et qui a plus que triplé depuis 2018. Parmi les destinataires, 39 communes qui avaient mis en place des dispositifs de lecteurs automatisés de plaques d’immatriculation –, un domaine réservé à la police municipale et à la gendarmerie, et 39 organismes publics pour manquement au protocole de communication sécurisé HTTPS sur leur site web.

"2023 est l'année de la montée en puissance de la procédure de sanction simplifiée"

Pour six sanctions, la Cnil a été épaulée par ses homologues européens, dans le cadre de la procédure dite du "guichet unique" du RGPD. L’autorité française a aussi participé à deux procédures de règlement des litiges au sein du Comité européen de la protection des données : l’une concernant le réseau social Tik Tok – condamnée à hauteur de 345 millions d’euros en 2023 par la Data Protection Commission (DPC) – et l’autre, le groupe META. En mai 2023, le géant du Web écopait d’une amende record de 1,2 milliard d'euros infligée par l’homologue irlandais de la Cnil.

Selon la Cnil, "2023 est l’année de la montée en puissance de la procédure de sanction simplifiée". Sur les 42 sanctions prononcées par la Cnil en 2023, 24 ont été décidées via la procédure de sanction simplifiée. Créée pour faire face à l’augmentation de plaintes depuis l'entrée en application du RGPD (plus de 16 000 en 2023), cette procédure tient ses promesses : 17 décisions ont conduit à une réponse répressive, et quinze organismes ont été sanctionnés pour leur manque de coopération avec la Cnil.

Education au numérique

Dans un communiqué du 8 février dernier, la Cnil a annoncé les nouveaux défis pour l’année 2024. Au programme : les fichiers liés aux Jeux olympiques et paralympiques, les tickets de caisse dématérialisés et les programmes de fidélité, ainsi que le droit d’accès des personnes. La présidente de la Cnil, Marie-Laure Denis, ajoute à la liste la protection de l’enfance dans les usages en ligne et l’éducation au numérique, la régulation de l’intelligence artificielle et la prévention des risques cyber. Avec en toile de fond, le souci de maintenir un équilibre entre libertés et sécurité.

Nora Benhamla