L’enjeu de son mandat se résume en quatre lettres : RGPD, sigle du règlement général sur la protection des données personnelles, entré en vigueur en 2018.

Par un décret, Emmanuel Macron a définitivement entériné, jeudi 31 janvier, l’arrivée de Marie-Laure Denis à la tête de la Commission nationale de l’informatique et des libertés (CNIL). Mercredi, les commissions des lois de l’Assemblée nationale et du Sénat avaient donné, par 48 voix contre 7, un avis favorable à la nomination de cette conseillère d’Etat de 51 ans pour succéder à Isabelle Falque-Pierrotin.

Cette dernière a pris les rênes de l’autorité indépendante au moment où les missions de la CNIL ont été bouleversées : initialement créée pour limiter les abus de l’Etat en matière de fichiers, elle doit désormais surtout s’assurer du respect des données personnelles, nouveau carburant d’un monde numérisé. (...)
C’est la CNIL qui doit s’assurer du respect du RGPD en France, et ce pour tous les acteurs quelle que soit leur taille, des entreprises aux administrations. La CNIL sera-t-elle sévère avec les gros et compréhensive avec les plus petits ? Usera-t-elle de ses pouvoirs de sanctions sans précédent, notamment jusqu’à 4 % du chiffre d’affaires des entreprises qui ne respecteraient pas les règles ? De sa politique dépendra la crédibilité de ce texte européen complexe et ambitieux. (...)

Elle hérite d’ailleurs d’un cadeau laissé par Mme Falque-Pierrotin dans son sillage : la sanction à 50 millions d’euros visant Google pour manquement au respect des données. L’entreprise a décidé de contester cette sanction ; la première prise par la CNIL sous l’empire du RGPD devant le Conseil d’Etat.

La Commission devra aussi lever certaines ambiguïtés sur la manière dont elle compte faire respecter le RGPD. C’est le cas du secteur, très sensible, de la publicité en ligne. (...)

La CNIL devra aussi continuer à gérer le net afflux de réclamations et de plaintes qui lui parviennent depuis l’entrée en application du RGPD : 11 000 en 2018, soit un tiers de plus que l’année précédente. Et elle devra le faire avec peu, l’ampleur de ses missions ayant relancé la question, lancinante, de ses moyens. (...)

Au-delà de la scène nationale, c’est au niveau européen que Marie-Laure Denis devra batailler pour la crédibilité du RGPD. Pour Olivia Tambou, maîtresse de conférences à l’université de Paris-Dauphine, il s’agit même là de son « premier chantier ». « Le RGPD est un texte compliqué, peu clair, appliqué par des autorités de protection qui ont des cultures et des manières de travailler différentes : l’enjeu est d’arriver à les faire travailler dans le même sens », explique-t-elle. (...)

Sous le mandat de Mme Denis, la CNIL devra, avec ses homologues, lever certaines questions liées aux transferts de données vers les Etats-Unis. Le Privacy Shield, l’accord qui permet le transfert des données des citoyens européens à travers l’Atlantique, est-il compatible avec le RGPD ? Il s’agit de faire preuve, a expliqué Mme Denis devant les députés, d’« une grande vigilance ». Autre point tendu, l’entrée en vigueur aux Etats-Unis du Cloud Act, qui permet aux autorités judiciaires de récupérer des données personnelles de citoyens européens, procédure en contradiction avec le principe du RGPD.

La question régalienne
La nouvelle présidente de la CNIL devra aussi s’atteler à ce que les experts appellent l’« interrégulation », c’est-à-dire le fait que sur un nombre croissant de sujets numériques, la CNIL n’est pas la seule autorité ayant vocation à intervenir. La France réfléchit actuellement à l’éventualité d’un rapprochement des différents régulateurs dont le numérique apparaît dans leur portefeuille (CNIL mais aussi Autorité de régulation des communications électroniques et des postes, Conseil supérieur de l’audiovisuel, etc.). (...)

La relation de la CNIL avec l’Etat sera aussi un enjeu du mandat de Mme Denis. Ces dernières années, la CNIL s’est posée en « poil à gratter » du gouvernement sur certains projets, comme le fichier biométrique TES ou le projet de loi sur le renseignement. Mais la tendance lourde est le contournement de la CNIL sur nombre de sujets régaliens. Des sujets brûlants se profilent pourtant, comme les nombreux projets de « villes intelligentes », où le recours à la vidéo et aux données est omniprésent, ou encore l’utilisation de la vidéosurveillance intelligente, qui commence à apparaître dans certains discours politiques.(...)