Les contrôles prioritaires de la Cnil pour 2022

La Cnil a divulgué le 17 février 2022 son plan stratégique pour les trois années à venir. Il s’articule autour de trois axes : favoriser le respect des droits, promouvoir le RGPD et cibler la régulation sur des sujets à fort enjeux.

Deux jours plus tôt, la Commission nationale de l’informatique et des libertés précisait les trois thématiques prioritaires de contrôles pour l’année 2022 : la prospection commerciale, la surveillance des travailleurs en télétravail et l’utilisation du cloud.

Parce que la Cnil reçoit de nombreux appels de Français se plaignant des prospections commerciales non sollicitées, elle a décidé « d’y concentrer des moyens importants » en 2022.

Rappelons que dans une démarche commerciale en BtoC, le RGPD impose le consentement de la personne prospectée. Sauf si celle-ci a déjà donné son adresse email lors d’une vente précédente.

La Cnil vérifiera également la conformité au RGPD des professionnels qui procèdent à la revente de fichiers.

Pour effectuer ses contrôles, elle va s’appuyer sur le référentiel « gestion commerciale » qu’elle vient de publier début février. Il est disponible sur son site internet.

Avec la crise sanitaire, de nombreuses entreprises ont été contraintes d’avoir recours au télétravail massif. Beaucoup d’entre elles ont à présent adopté ce mode de fonctionnement. Et elles ont mis en place des outils spécifiques, dont certains permettent de suivre les activités des salariés.

La Cnil a d’ailleurs émis de nombreuses recommandations sur le sujet de la mise en place du télétravail.

« Pour assurer un juste équilibre entre vie privée au travail et contrôle légitime de l’activité des travailleurs », la Cnil va vérifier la conformité des pratiques des employeurs.

Le recours au cloud comporte des risques pour la protection des données personnelles. En particulier lors de transferts de données en dehors de l’Union européenne. D’ailleurs, le RGPD interdit le transfert des données dans des États non européens qui ne peuvent assurer un niveau de protection des données suffisant. À ce titre et tout récemment, la Cnil a mis en demeure, le 10 février 2022, un gestionnaire de site web français pour transfert des données personnelles vers les États-Unis.

Aussi, la Cnil inscrit-elle dans ses priorités de l’année l’approfondissement des « questions relatives aux transferts de données et à l’encadrement des relations contractuelles entre responsables de traitement et sous-traitants fournisseurs de solution cloud. »