Un bilan RGPD jugé réussi, mais sous tension La Cour des comptes a publié son bilan de l’activité de la CNIL depuis l’entrée en vigueur du RGPD, à la demande d’une initiative citoyenne lancée en 2024. Verdict : une « montée en puissance inachevée ». L’autorité tourne aujourd’hui avec près de 300 agents et un budget de 28 millions d’euros, en hausse de 72 % depuis 2017. Globalement, elle a tenu le choc. Elle est passée d’un régime d’autorisation a priori à une logique d’accompagnement et de responsabilisation des organismes. Une mue que la Cour juge réussie, et que les responsables de traitement, secteur public ou privé, semblent globalement apprécier. Le satisfecit a quand même ses limites. Les plaintes ont plus que doublé depuis 2017. Près de 18 000 en 2024. Le nombre de contrôles n’a pas suivi : toujours entre 300 et 350 par an. La répartition géographique pose question aussi : 65 % des contrôles sur place se concentrent en Île-de-France. Aucun département d’outre-mer dans la liste récente. Contraintes budgétaires, dit la CNIL pour justifier les deux. Un réseau de DPO que personne ne cartographie Il y a un point que les organisations devraient regarder de près. La Cour note que la CNIL n’a « aucune vision d’ensemble » sur son réseau de DPO, 36 777 délégués au total, publics et privés, qui portent le RGPD au quotidien dans leurs structures respectives. Aujourd’hui, aucune procédure ne permet à un DPO d’obtenir une position écrite de l’autorité sur une question de principe. Ça n’existe simplement pas. La Cour recommande d’avoir cartographié ce réseau d’ici fin 2027. Concrètement, la fonction DPO tourne sans référentiel national validé par le régulateur. Pour les directions juridiques et conformité, ça change la donne sur la valeur de leur propre documentation interne. Faute de doctrine CNIL accessible et consolidée, ce sont les positions tracées par le DPO lui-même qui font foi le jour d’un contrôle. L’IA Act arrive, les moyens non Le vrai sujet, c’est l’avenir. La CNIL devient autorité de surveillance du marché pour certains systèmes d’IA à haut risque, au titre du règlement européen sur l’IA. Le filtre anti-arnaque de la loi SREN s’ajoute à la liste, avec jusqu’à 300 000 sites à surveiller. Et une présomption de compétence au titre du Data Act, dès qu’une donnée personnelle entre en jeu. La Cour des comptes ne mâche pas ses mots : ces missions demandent des compétences pointues, plus de coordination avec l’Arcom, la DGCCRF, l’Arcep. Sans renfort, la CNIL aura du mal à tenir. La Cour va même jusqu’à suggérer, à court terme, de limiter les embauches en CDI pour garder une marge de manœuvre budgétaire. Ça en dit long sur l’état des moyens disponibles. Ce que ça change concrètement pour les organisations Une autorité de contrôle sous tension, des contrôles qui stagnent malgré l’explosion des plaintes : voilà une donnée à intégrer dans toute évaluation de risque réglementaire. Le risque de sanction immédiate reste statistiquement limité, pour l’instant. Mais la montée en charge sur l’IA Act va forcément réorienter l’attention de la CNIL vers les systèmes à haut risque et les nouveaux acteurs concernés. Autant documenter sa conformité dès maintenant plutôt que d’attendre une doctrine encore en construction.
