Sur proposition citoyenne via sa plateforme participative, la Cour a contrôlé le fonctionnement de la CNIL afin d’évaluer si elle est parvenue à assumer l’impact de l’entrée en vigueur du RGPD sur ses missions, tout en gérant de manière efficiente les moyens qui lui ont été alloués. Sur la période 2017-2025, la CNIL a globalement su adapter ses modes d’intervention à ce nouveau cadre juridique européen, en passant d’une logique administrative de déclaration et d’autorisation a priori à une logique d’accompagnement et de responsabilisation des acteurs. Des marges de progrès subsistent toutefois, s’agissant notamment du traitement des plaintes, de la connaissance de l’écosystème de la protection des données, du contrôle de certains acteurs ainsi que de la maîtrise de sa gestion interne, dans un contexte de forte hausse de ses moyens. La Cour formule à ce titre onze recommandations visant à renforcer l’efficacité de l’action de la CNIL et à mieux maîtriser ses coûts de gestion.
Des évolutions significatives de ses missions auxquelles la CNIL doit continuer de s’adapter
Depuis l’entrée en vigueur du règlement général sur la protection des données (RGPD) en mai 2018, la CNIL a vu l’exercice de ses missions se transformer profondément, passant d’une logique de guichet et de contrôle a priori à une logique d’accompagnement et de responsabilisation des acteurs traitant des données personnelles.
La Cour constate qu’elle a globalement su mener cette adaptation, tant dans ses missions de conseil que dans ses activités de contrôle et de sanction, dans un contexte d’intensification des usages numériques et de montée en puissance de la coopération européenne. Si son accompagnement est jugé utile par les acteurs publics et privés, la CNIL ne respecte pas toujours les délais prévus pour rendre ses avis sur les fichiers de l’État et manque encore d’une vision d’ensemble sur le réseau des délégués à la protection des données, les principaux traitements de l’État ou encore les organismes de formation. S’agissant des plaintes, dont le nombre a fortement augmenté depuis 2017, les mesures mises en place n’ont pas empêché la hausse du stock de dossiers non traités et de leur ancienneté moyenne. En matière de contrôle, la CNIL dispose de moyens humains et juridiques adéquats, même si certains secteurs ou territoires restent peu investis ; elle ne peut en revanche pas contrôler les organismes certificateurs, faute de décret d’application. Enfin, si le taux de confirmation de ses sanctions devant le Conseil d’État est satisfaisant, le recouvrement des plus petites amendes demeure fragile. La Cour formule ainsi cinq recommandations, portant notamment sur la mise en place d’une procédure formalisée de saisine pour les délégués à la protection des données, une meilleure connaissance de l’écosystème de la protection des données, le renforcement du pilotage des plaintes, la possibilité de contrôler les organismes certificateurs et l’amélioration du recouvrement des sanctions.
Des règles qui garantissent l’indépendance et l’impartialité de la CNIL
En tant qu’autorité administrative indépendante, la CNIL bénéficie d’un cadre juridique destiné à garantir à la fois son indépendance et son bon fonctionnement. Son collège, composé de commissaires non permanents, fonctionne de manière satisfaisante, avec un faible absentéisme et des indemnités globalement cohérentes avec celles d’autorités comparables, même si l’extension récente de ses missions pourrait conduire, à terme, à reposer la question du format du collège et de l’exercice à temps plein de certaines fonctions. La Cour constate également que la CNIL a renforcé depuis 2020 son dispositif déontologique, en se dotant notamment d’une charte et d’un référent, et que les déclarations d’intérêt et de situation patrimoniale prévues par la loi sont correctement remplies. Elle relève toutefois que les déports préventifs, bien qu’effectifs, ne font pas l’objet d’un suivi centralisé, et que les vérifications de sécurité applicables à la majorité des agents chargés des contrôles demeurent insuffisantes, se limitant à la consultation du casier judiciaire. La Cour recommande en conséquence de mettre en place d’ici fin 2026 un registre centralisé des déports et de prévoir, d’ici fin 2027, une enquête administrative de sécurité approfondie pour l’ensemble des agents de la CNIL amenés à réaliser des contrôles.
Une gestion qui s’est améliorée, une soutenabilité budgétaire en question
La CNIL a absorbé la forte hausse de ses moyens et de ses activités sans dérapage notable de gestion. Son budget a augmenté de 72 % entre 2017 et 2024, pour atteindre près de 30 M€, principalement sous l’effet de la hausse des dépenses de personnel. La mutualisation engagée avec les services du Premier ministre, notamment depuis l’installation sur le site de Ségur-Fontenoy, a permis de réaliser des économies de fonctionnement. Des marges d’amélioration subsistent toutefois, en particulier pour les activités de reprographie et pour les frais de déplacement, dont le pilotage devrait être renforcé.
En matière de ressources humaines, les irrégularités relevées lors du précédent contrôle ont été corrigées, mais le règlement de gestion adopté en 2019 a contribué à une forte progression de la masse salariale, passée de 13,5 M€ en 2017 à 23,8 M€ en 2024. Le recours systématique aux contrats à durée indéterminée pour les contractuels, le détachement sur contrat pour les fonctionnaires et des modalités d’évolution de rémunération plus favorables que dans le reste de l’État mettent en cause la soutenabilité budgétaire du modèle de gestion de la CNIL. La Cour recommande ainsi de mieux maîtriser certaines dépenses de fonctionnement, de mettre fin à la signature systématique de contrats à durée indéterminée, de privilégier la position normale d’activité pour les fonctionnaires et d’adopter des lignes directrices de gestion pour encadrer l’évolution de la rémunération des agents contractuels.
