274délibérations de la Commission nationale de l'informatique et des libertés.
274
Total délibérations
274
En vigueur
283
Avec résumé IA
L'Université de Montpellier Paul-Valéry a sollicité un avis de la CNIL sur un projet de recherche en psychiatrie impliquant le traitement de données sensibles. La Commission a émis un avis favorable, assorti de recommandations pour atténuer les risques de réidentification, notamment par la pseudonymisation et la suppression des données non pertinentes après analyse. Elle rappelle également l'obligation d'informer les personnes concernées et de vérifier l'application de la dérogation prévue pour la recherche scientifique.
2026-026
La CNIL, en tant qu'organisme concerné, a adopté une délibération interne portant habilitation. Cette décision vise à habiliter vingt-cinq agents spécifiques de sa direction des contrôles et des sanctions à établir des rapports dans le cadre de ses pouvoirs de contrôle. Les habilitations sont accordées pour une durée de cinq ans et remplacent une précédente délibération. Aucune sanction n'est mentionnée, cette délibération étant un acte d'organisation interne de l'autorité.
HABS-2026-00
La CNIL émet un avis sur un projet de loi du ministère de l'Intérieur visant à renforcer la sécurité du quotidien. Elle relève plusieurs manquements ou risques concernant l'élargissement de l'usage des caméras individuelles à des acteurs privés, l'expérimentation prolongée de traitements algorithmiques sur vidéosurveillance et drones, et la généralisation des dispositifs LAPI avec des durées de conservation allongées. La Commission souligne la nécessité de strictes limites, d'un meilleur encadrement et du respect du principe de proportionnalité pour ces dispositifs intrusifs, afin de protéger les libertés individuelles.
2026-023
L'Université Lumière Lyon 2 a sollicité un avis de la CNIL pour un projet de recherche scientifique sur la filiation procréative des personnes transgenres, impliquant le traitement de données sensibles. La CNIL émet un avis favorable mais formule des recommandations, notamment sur la nécessité de clarifier la répartition des responsabilités entre les universités co-responsables du traitement. Elle souligne également les risques de collecte incidente de données lors des entretiens et de réidentification des personnes, en raison du faible nombre de participants et de la collecte d'informations telles que la commune de naissance dans les décisions de justice.
2016-019
La CNIL émet un avis sur un projet de loi saisi par le Ministère de la Justice concernant l'utilisation des données génétiques en matière pénale. La Commission relève plusieurs manquements ou risques, notamment l'élargissement des possibilités d'examen des caractéristiques génétiques constitutionnelles, l'autorisation de comparaisons avec des bases de données étrangères interdites en France, et une extension significative du champ d'enregistrement au Fichier National Automatisé des Empreintes Génétiques (FNAEG). Elle estime que ces évolutions banalisent l'usage de ces données sensibles et appelle à renforcer les garanties, notamment sur le consentement, et à réévaluer la proportionnalité des infractions concernées.
2026-021
La société KASPR a été mise en demeure par la CNIL en décembre 2024 pour plusieurs manquements au RGPD, notamment concernant la licéité de la collecte de données sur LinkedIn, la durée de conservation et l'information des personnes. Suite à cette injonction, KASPR a apporté des correctifs, incluant la suppression complète de sa base de données et l'arrêt de la collecte litigieuse. La formation restreinte de la CNIL, dans sa délibération de mars 2026, constate la mise en conformité de la société et clôt donc la procédure, l'astreinte initialement prévue n'étant pas prononcée.
SAN-2026-004
La CNIL autorise le Centre Hospitalier Universitaire d'Angers à mettre en œuvre un traitement de données pour l'étude "PAI", visant à développer des modèles d'aide à la détection de deux maladies rares. L'autorisation est accordée malgré certains écarts à la méthodologie de référence MR-004, notamment concernant le traitement du NIR pour l'appariement des données et les modalités d'information des personnes. La décision impose le respect strict du cadre défini, incluant des mesures de minimisation des données et une documentation sur la réduction progressive du nombre de patients dans l'échantillon.
DR-2026-032
La CNIL autorise LIFEN Research SAS à constituer un entrepôt de données de santé nommé "LIFEN RESEARCH". L'autorisation est accordée sous réserve que la société mette en place une gouvernance stricte pour garantir le caractère d'intérêt public des futurs projets de recherche. Aucune sanction n'est prononcée, mais le traitement doit respecter le référentiel applicable et les mesures de gouvernance doivent être opérationnelles avant son démarrage.
2026-011
La CNIL approuve le code de conduite national porté par l'Alliance du Commerce, destiné aux magasins et enseignes du secteur du commerce de détail de l'équipement de la personne. Ce code, juridiquement contraignant pour ses adhérents, précise les modalités d'application du RGPD pour ce secteur spécifique. Il prévoit un mécanisme de contrôle de sa bonne application par un organisme qui devra obtenir un agrément de la CNIL.
2026-013
La CNIL émet un avis sur un projet de loi du ministère des armées concernant la programmation militaire. Elle s'interroge sur l'extension de la technique algorithmique de surveillance à la lutte contre le narcotrafic, suggérant une mise en œuvre expérimentale, et soulève des inquiétudes majeures quant à l'accès potentiel aux données chiffrées (URL). Elle demande également que les modalités de collecte de données lors du recensement et de la journée de mobilisation soient précisées par décret.
2026-010
La CNIL accorde un agrément au Comité de surveillance (COSUP) de la fédération EUCROF en tant qu'organisme de contrôle de son code de conduite européen relatif à la protection des données. Cet agrément, valable pour une durée de cinq ans, fait suite à une demande jugée conforme au référentiel de la CNIL. Il peut être révoqué si le COSUP ne respecte plus les exigences requises pour exercer sa mission de surveillance du respect du code de conduite par les adhérents.
2026-006
La CNIL adopte une recommandation à destination des organismes déployant un serveur mandataire web filtrant. Ce texte vise à les accompagner dans la mise en conformité de ces outils de cybersécurité avec le RGPD, car ils impliquent eux-mêmes des traitements de données personnelles. La recommandation, élaborée après une consultation publique, précise les bonnes pratiques pour concilier sécurité des systèmes et protection des données. Aucune sanction n'est prononcée, il s'agit d'un acte d'orientation.
2026-022
La CNIL émet un avis sur un projet de décret du ministère du Travail, de la Santé et des Solidarités créant le système d'information « SIRENA » pour centraliser les signalements de maltraitance. Elle considère que les catégories de données sensibles traitées sont nécessaires et proportionnées aux finalités. La Commission recommande d'informer les personnes mises en cause lorsqu'une mesure grave (comme une sanction) est prise à leur encontre, et souligne la nécessité d'une authentification multifacteur robuste, notamment pour les comptes administrateurs.
2026-008
La CNIL a adopté un référentiel concernant les durées de conservation des données pour les traitements de gestion des ressources humaines. Cette délibération vise à fournir un cadre normatif aux organismes pour définir des durées de conservation proportionnées et conformes au RGPD et à la loi Informatique et Libertés. Le référentiel, publié au Journal officiel, a pour objectif de guider les responsables de traitement dans l'établissement de leurs politiques de conservation.
2026-031
La CNIL a prononcé une sanction pécuniaire à l'encontre de l'opérateur public FRANCE TRAVAIL. Les manquements constatés concernent des défaillances dans la sécurité et la gouvernance d'un traitement de données de santé relatif à l'accompagnement des demandeurs d'emploi en situation de handicap. Une amende de 800 000 euros a été infligée, assortie d'une injonction de mettre en conformité le traitement dans un délai de six mois.
SAN–2026-003
La CNIL a prononcé une sanction pécuniaire à l'encontre de la société FREE MOBILE, opérateur de téléphonie mobile. Cette sanction fait suite à une violation de données personnelles de ses abonnés, survenue entre septembre et octobre 2024, et à des manquements constatés en matière de sécurité. La délibération impose une amende dont le montant n'est pas précisé dans l'extrait fourni.
SAN-2026-001
La formation restreinte de la CNIL a prononcé une sanction pécuniaire à l'encontre de l'opérateur téléphonique FREE MOBILE. Cette sanction fait suite à une violation de données personnelles de ses abonnés, survenue entre fin septembre et octobre 2024, et à des manquements constatés en matière de sécurité. Le montant de l'amende n'est pas précisé dans l'extrait fourni.
SAN-026-001
La délibération concerne la société FREE, opérateur de téléphonie fixe. La CNIL a prononcé une sanction pécuniaire à son encontre suite à une violation de données personnelles survenue entre septembre et octobre 2024, affectant des abonnés. Les manquements relevés portent sur des insuffisances en matière de sécurité des données. La sanction pécuniaire spécifique n'est pas détaillée dans l'extrait fourni.
SAN-2026-002
La société HEVA, un bureau d'études en santé, a obtenu une autorisation de la CNIL pour modifier substantiellement son entrepôt de données de santé FREiA, concernant principalement ses modalités d'hébergement. La décision constate que les mesures de sécurité mises en œuvre, incluant chiffrement et gestion des clés, sont conformes aux exigences du RGPD. L'autorisation de mise en œuvre du traitement est accordée pour une durée de deux ans à compter de la disponibilité des données.
2026-002
La CNIL a émis un avis sur un projet de décret du ministère des armées visant à créer le traitement automatisé « ACCReD MINDEF » pour faciliter les enquêtes administratives de la DRSD. La Commission estime que les finalités sont légitimes et les données pertinentes, mais recommande de préciser davantage ces finalités et certaines catégories de destinataires dans le texte. Elle souligne également la nécessité de mettre en place des garanties fortes pour assurer la minimisation et l'exactitude des données, compte tenu de leur sensibilité et de l'impact sur les personnes concernées.
2026-003