Article 57 RGPD : missions de la CNIL et réclamations

Demander un conseil, déposer une plainte et répondre à un contrôle correspondent à trois démarches différentes. L’article 57 RGPD décrit les missions de la CNIL et des autres autorités européennes. Les distinguer permet d’adresser la bonne demande sans confondre accompagnement et validation générale d’un traitement.

Article 57 RGPD : les principales missions

L’Art. 57(1), points (a) à (v), énumère vingt-deux missions. Voici comment les utiliser pour orienter un dossier.

Le texte prévoit aussi le conseil aux institutions, la veille technologique, les clauses types, la liste des traitements soumis à AIPD, certaines autorisations de transferts, l’approbation des règles d’entreprise contraignantes et des registres internes. Les pouvoirs de l’article 58 donnent à l’autorité les moyens d’exercer ces missions.

Comment une réclamation doit-elle être traitée ?

L’Art. 57(1)(f) impose d’examiner l’objet de la réclamation dans la mesure nécessaire et d’informer son auteur de l’avancement et de l’issue dans un délai raisonnable. L’Art. 57(2) demande de faciliter son introduction, notamment par un formulaire utilisable électroniquement, sans exclure d’autres moyens de communication. Source : Art. 57(1)(f) et 57(2).

Une personne qui exerce son droit de réclamation gagne à décrire les faits chronologiquement, identifier le responsable et joindre les demandes ou réponses utiles. Cette préparation aide l’examen ; elle ne permet pas de promettre une sanction ou un résultat déterminé.

Le délai de trois mois mentionné à l’Art. 78(2) concerne notamment l’absence d’information sur l’avancement ou l’issue. Ce n’est pas une obligation de clôturer définitivement chaque plainte en trois mois. Le recours contre l’autorité doit être distingué d’une demande de réparation contre l’organisme qui traite les données.

Gratuité et demandes excessives

L’Art. 57(3) prévoit la gratuité de l’accomplissement des missions pour la personne concernée et, le cas échéant, pour le DPO. Cela ne signifie pas que les honoraires d’un conseil externe ou les frais d’une procédure juridictionnelle seraient pris en charge.

L’Art. 57(4) permet des frais raisonnables fondés sur les coûts administratifs, ou un refus de donner suite, lorsque les demandes sont manifestement infondées ou excessives, notamment en raison de leur caractère répétitif. L’autorité doit démontrer ce caractère. Un désaccord avec le plaignant ne suffit donc pas à invoquer automatiquement cette exception. Source : Art. 57(3) et (4).

Ce qu’un DPO peut préparer avant de solliciter la CNIL

Pour une question professionnelle, préciser le traitement, les catégories de personnes, les difficultés juridiques identifiées et les options déjà étudiées. Éviter une demande générale de certification de toute l’entreprise à laquelle une simple réponse de conseil ne pourrait satisfaire.

La consultation préalable de l’article 36 constitue une procédure distincte, notamment lorsqu’un risque résiduel élevé demeure malgré les mesures envisagées à l’issue de l’analyse d’impact. Un échange informel ne doit pas être présenté comme l’autorisation d’ignorer les obligations du responsable.

En France, l’article 8 de la loi Informatique et Libertés complète les missions nationales. Pour suivre leur mise en œuvre, le rapport annuel de l’autorité est utile ; il ne remplace pas les décisions et textes applicables à un cas précis.

Qualifier la demande avant de préparer les pièces

La première question est le résultat recherché. Une personne qui souhaite obtenir une copie de ses données, un DPO qui hésite sur une analyse et une entreprise qui reçoit une demande de contrôle ne préparent pas le même dossier. L’Art. 57 aide à situer l’intervention de l’autorité, mais ne transforme pas ces situations en une procédure unique.

Rédigez en quelques lignes l’objet de la démarche : opération concernée, difficulté rencontrée et réponse attendue. Évitez de présenter un ensemble de questions sans lien comme un seul litige. Si plusieurs traitements sont concernés, indiquez leurs relations et les points qui doivent rester séparés. Une information adressée pour un compte client ne couvre pas nécessairement une utilisation publicitaire distincte.

Une fiche de préparation peut contenir :

Cette fiche est une méthode de travail proposée, pas un formulaire officiel ni une condition supplémentaire d’accès à l’autorité. Lorsqu’une information manque, dites-le. Une identité de prestataire supposée ne doit pas être présentée comme certaine pour donner au dossier une apparence de complétude.

Rendre une réclamation lisible sans multiplier les copies

Pour une réclamation, conservez les échanges utiles avec l’organisme et expliquez ce qu’ils établissent. Le message initial montre ce qui a été demandé ; une réponse montre la position communiquée ; un accusé de réception peut documenter la réception. Ces pièces ne prouvent pas nécessairement que toutes les opérations techniques annoncées ont été exécutées.

Classez les éléments par date et indiquez les passages pertinents. Si un document contient des données de tiers sans rapport avec la difficulté, examinez ce qu’il est nécessaire de transmettre. Un dossier plus volumineux n’est pas automatiquement plus probant. En revanche, ne retirez pas un élément de contexte qui changerait le sens d’un échange cité.

Après l’envoi, conservez la référence du dossier et le contenu transmis. Si un événement nouveau survient, rattachez le complément à la question initiale et précisez ce qu’il modifie. Une réponse finalement reçue peut résoudre une partie du problème tout en laissant une autre question ouverte. Le signaler aide à comprendre la situation actuelle sans effacer l’historique.

Le suivi doit distinguer réception, examen, information sur l’avancement et issue. Un accusé de réception ne signifie pas que l’autorité a adopté votre qualification juridique. L’absence de sanction annoncée ne permet pas non plus de conclure qu’aucun travail d’examen n’a été accompli. Pour analyser une difficulté de suivi, partez des communications effectivement reçues et des obligations prévues par les textes.

Poser une question professionnelle qui permette une réponse utile

Un DPO peut préparer une note courte présentant le projet, son état d’avancement et le point qui reste difficile. Joignez l’analyse déjà réalisée : finalité envisagée, données nécessaires, destinataires, durée et mesures de protection. Une question circonscrite permet de comprendre ce qui distingue ce projet d’un cas général déjà couvert par une recommandation.

Présentez les options étudiées et leurs conséquences. Par exemple, demandez comment apprécier une difficulté identifiée entre deux modalités de traitement, plutôt que d’attendre une validation abstraite de tout le système d’information. Les faits manquants doivent rester visibles : une réponse fondée sur une architecture décrite ne peut être appliquée sans examen à une architecture différente.

Avant le lancement, vérifiez si une procédure spécifique est requise. La consultation préalable de l’Art. 36 répond à ses propres conditions et demande des informations déterminées. Un simple échange d’accompagnement ne dispense pas d’identifier ces conditions. De même, l’approbation de critères de certification ne signifie pas que chaque produit d’un secteur serait certifié.

Réutiliser une réponse en conservant son périmètre

Lorsque l’organisme reçoit une réponse, consignez la question posée, les faits communiqués et les réserves éventuelles. Attribuez ensuite les actions qui en découlent : compléter une analyse, modifier un paramètre, revoir une information ou réunir une pièce manquante. Le dossier doit montrer ce qui reste à faire, pas seulement qu’un échange a eu lieu.

Si le projet change, comparez les nouveaux faits à ceux présentés. L’ajout d’un destinataire ou d’une nouvelle finalité peut rendre insuffisante une analyse antérieure. La conservation de la réponse reste utile, mais son existence ne garantit pas que la nouvelle opération entre dans son périmètre.

Pour une direction, le compte rendu peut tenir en quatre points : demande initiale, réponse obtenue, décisions prises et vérifications restantes. Évitez les formulations comme « validé par la CNIL » lorsqu’aucun acte correspondant n’a été délivré. Indiquez plutôt la nature exacte de l’échange et le sujet qu’il couvre.

Trois mois ne constituent pas une horloge universelle

Le suivi d’une plainte auprès de l’autorité et la réponse d’un responsable de traitement à une demande d’exercice de droits obéissent à des dispositions différentes. L’Art. 12(3) prévoit notamment une réponse dans les meilleurs délais et, en principe, dans un mois, avec une prolongation encadrée. L’Art. 78(2) organise quant à lui un recours contre certaines carences de l’autorité.

Dans votre tableau de suivi, identifiez donc toujours le destinataire de la démarche et le texte qui fonde le délai. N’utilisez pas le seuil de trois mois de l’Art. 78(2) pour reporter une réponse due à une personne. L’intervention de l’autorité ne transfère pas automatiquement à celle-ci les obligations de l’organisme qui traite les données.

Ce qu’il faut retenir

• L’Art. 57 décrit les missions ; l’Art. 58 décrit les pouvoirs.
• Une réclamation doit être examinée et son auteur informé ; une amende n’est pas automatique.
• La gratuité de principe connaît l’exception encadrée de l’Art. 57(4).
• Conseil, consultation préalable et certification sont des démarches différentes.

FAQ

La CNIL agit-elle uniquement après une plainte ?

Non. Les missions de contrôle et d’enquête ne sont pas limitées aux réclamations. L’Art. 57(1)(h) vise notamment les informations reçues d’autres autorités.

Un conseil de la CNIL certifie-t-il mon traitement ?

Non. Une réponse d’information ou d’accompagnement ne doit pas être confondue avec une autorisation ou une certification relevant de sa procédure propre.

La CNIL doit-elle toujours prévenir avant de sanctionner ?

L’Art. 57 n’impose pas une succession obligatoire « conseil, avertissement, sanction ». Les garanties de la procédure et les conditions des mesures applicables doivent être examinées séparément.

Recevez nos analyses de conformité : inscription à la newsletter.

Thiebaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.