Les documents annexés au projet de loi de finances (PLF) 2024 révèlent que les demandes CADA ont augmenté de 46 %, les réclamations à la CNCTR de 50 %, et que le nombre de demandes de droit d'accès indirect à la CNIL a explosé de 300 % en prévision des Jeux olympiques 2024.
Le « bleu budgétaire » du programme n°308 du projet de loi de finances (PLF) 2024 consacré à la « Protection des droits et libertés » regroupe les crédits de sept autorités administratives indépendantes (ou AAI, dont la CADA, la CNIL et la CNCTR).
On y apprend qu'en 2022, la Commission d’accès aux documents administratifs (CADA) a « atteint un niveau record », avec 10 478 dossiers entrants, soit « +24,5 % par rapport à 2021, mais +46,03 % par rapport à la moyenne des quatre années précédentes ».
2 311 ont été déclarés irrecevables, et 8 167 ont donné lieu à un avis, un conseil ou une sanction, soit « +32,85 % par rapport à la moyenne des quatre années précédentes, et +8,72 % par rapport à 2021 ».
On y apprend également qu'un nouveau rédacteur sera recruté en 2024, afin de limiter le nombre de dossiers traités par agent, et que le délai moyen annuel de traitement des dossiers a, de son côté, « très nettement été réduit en 2022 », passant de 182 jours en moyenne en 2019 à 51 en 2022.
Cette baisse des délais, « malgré une augmentation exponentielle du nombre de dossiers entrants depuis plusieurs années », résulterait des mesures d’organisation mises en place dès 2019 et renforcées en 2022, et d’un « effort conséquent » fourni pour fluidifier le traitement des dossiers.
La CNCTR a reçu 50 % de réclamations de plus en 2023
La Commission nationale de contrôle des techniques de renseignement (CNCTR) signale de son côté une augmentation de plus de 50 % du nombre de réclamations dont elle a été saisie au 31 juillet 2023 par rapport à l’année 2022.
Face à la progression continue du nombre de techniques mises en œuvre, « à leur degré de complexité croissant » ainsi qu’à l’extension des missions de contrôle dévolues à la CNCTR au terme des modifications législatives successives, il est apparu nécessaire que les contrôles sur pièces et sur place soient « doublés d’un renforcement des possibilités de contrôle à distance de la commission ».
Cette démarche, qui « nécessite des développements techniques » en lien avec le groupement interministériel de contrôle (GIC) et les services de renseignement, devrait permettre, à compter de l’exercice 2023, de comptabiliser des contrôles réalisés à distance.
La CNCTR précise qu'il s’agirait de contrôles thématiques regroupant plusieurs dossiers, chaque dossier portant sur l’ensemble des techniques de renseignement mises en œuvre à l’égard d’une personne.
- Comment s'organise le contrôle des techniques de renseignement
- Les irrégularités constatées par la CNCTR, le gendarme du renseignement
- « Boites noires » : les services de renseignement n'ont pas encore demandé à surveiller les URL
La CNIL a instruit près de 8 000 plaintes en 2022
Plus de cinq ans après l’entrée en application du RGPD, le nombre de demandes reçues par an par la CNIL « semble se stabiliser ». Le rapport précise cela dit que « toutefois, celles-ci sont de plus en plus complexes ».
Son service des relations avec les publics (SRP), le « front office multicanal » de la CNIL (gestion des demandes de particuliers ou de professionnels reçues par téléphone, par voie électronique ou par voie postale), a ainsi reçu 12 193 plaintes en 2022, soit une baisse par rapport à l’année 2021 (14 143). Elles proviennent principalement de particuliers, pour non-respect du RGPD et de la loi « informatique et libertés », dont 7 959 ont été transmises au service de l’exercice des droits et des plaintes.
Pour la première fois depuis la signature du RGPD, la CNIL a traité en 2022 plus de plaintes qu’elle n’en a reçues (12 000 entrées, 13 000 sorties). Début 2023, le stock s’élève ainsi à 7 500 plaintes.
La CNIL évoque « notamment » le recours au prestataire externe LUMINESS au moyen d’un marché public, qui a permis, depuis octobre 2022, d’assurer le traitement de plus de 2 000 plaintes simples. La situation « demeure cependant fragile » : à titre d’exemple, la CNIL a reçu 2 500 plaintes pour le seul mois de janvier 2023, à comparer aux 700 reçues en janvier 2022.
Si les principaux motifs de saisine sont l’opposition à figurer dans un fichier (notamment sur Internet), tous secteurs d’activité confondus, et la prospection commerciale, « un nombre croissant » de plaintes concerne des acteurs établis en dehors de l’Union européenne, des dispositifs technologiques innovants et des plaintes collectives émanant d’associations de défense des consommateurs ou des libertés.
Plus de 12 % des plaintes reçues en 2020 concernaient ainsi des traitements transfrontaliers de données personnelles au sein de l’Union européenne « nécessitant une coopération avec les homologues de la CNIL ». Les efforts organisationnels et d’amélioration des outils numériques de la CNIL) confirment la cible définie pour 2023, « à savoir 1 900 sollicitations électroniques traitées/an/ETP ».
Un délai de traitement passé de 212 à 180 jours
La CNIL est par ailleurs tenue d’informer les plaignants de l’état d’avancement de leur dossier dans un délai de 3 mois « correspondant à la cible fixée à 90 jours » (contre 151 jours en moyenne en 2021).
La CNIL précise qu'une réduction progressive de ce délai en 2025 (85 jours) et 2026 (80 jours) « demeure un objectif », mais que compte tenu du nombre « à nouveau à la hausse et de la complexité croissante des plaintes », et « malgré les efforts organisationnels mis en œuvre », le délai moyen de premier traitement n’a pas vocation à être réduit en 2024.
S’agissant du délai moyen de traitement des plaintes, la cible 2023 est « stabilisée » à 180 jours pour 2024 (contre 212 en 2022) afin de tenir compte de l’apurement progressif des dossiers plus anciens (dont la clôture impacte le délai moyen de traitement) et de la forte croissance anticipée du nombre de plaintes en 2023 par rapport à 2022.
Les axes de travail mis en place par la CNIL permettent en outre de « confirmer l’ambition de réduction des délais de gestion des plaintes reçues par la CNIL », avec une cible fixée à 170 jours calendaires en 2025 puis à 160 jours calendaires en 2026.
Parmi ces axes de travail sont notamment mis en place :
- le renforcement des effectifs affectés à cette mission compte tenu du volume très important des
saisines et de leur complexification ; - la répartition et adaptation des méthodes de travail (procédures, circuits de validations, documents type…) en fonction de la nature des saisines et du degré d’investigation plus ou moins important à effectuer ;
- la décision de faire appel à un prestataire extérieur pour la réalisation des tâches administratives liées à l’instruction des saisines les plus récurrentes et standardisées.
JO 2024 : +300 % de demandes de droit d'accès indirect
La CNIL a, par ailleurs, reçu 7 417 demandes d’exercice de droits indirect, soit 27 % de plus qu’en 2021. Elle a dès lors multiplié les échanges avec les gestionnaires des fichiers et dénombré, en 2022, 45 % de vérifications de plus qu’en 2021.
Elle rappelle, « néanmoins », ne pas avoir la maîtrise des demandes qu’elle reçoit. Les demandes portant sur des fichiers relevant de l’exercice des droits indirect « sont en effet régulièrement motivées par des éléments de contexte indépendants des actions de la CNIL ». À ce titre, elles sont « difficilement prévisibles », rendant par conséquent délicat la détermination de perspectives concernant le nombre de vérifications conduites par la CNIL au titre de l’exercice des droits indirect.
Pour autant, elle anticipe d'ores et déjà pour 2023 et 2024 une augmentation du nombre de demandes d’exercice des droits indirect, pour deux raisons principales, à commencer par l’ouverture d’un téléservice dédié au recueil des demandes depuis le 1ᵉʳ décembre 2022 : « ce téléservice est plébiscité et la CNIL constate depuis son ouverture, une augmentation de près de 300 % du nombre de demandes reçues ».
L'autre raison tient aux recrutements massifs d’agents de sécurité pour les Jeux olympiques 2024, qui nécessitent la délivrance d’une habilitation ou d’un agrément impliquant une enquête administrative pour vérifier que le comportement du candidat n’est pas incompatible avec l’exercice des fonctions envisagées.
En anticipation de cette enquête ou suite à un refus d’habilitation ou d’agrément, les personnes concernées ont la possibilité de saisir la CNIL d’une demande d’exercice de droits indirect à l’égard de certains fichiers consultés par les autorités délivrant cette habilitation (ex : le traitement d’antécédents judiciaires, ou TAJ).
La CNIL devrait en outre se voir attribuer 10 ETP (équivalent temps plein) supplémentaires, la CADA 3, afin de « répondre à l’accroissement du nombre de saisines », et la CNCTR 2, « en raison de la hausse de son activité liée aux récentes évolutions législatives en matière de renseignement ». Cela portera ainsi leurs plafonds d'emploi à respectivement 292, 20 et 28 équivalents temps pleins.
Commentaires (8)
#1
Un seul homme est derrière cette augmentation massive : Marc Rees ?
#1.1
J’ai pensé à la même chose quand j’ai vu le titre
Sinon pour avoir déposé une plainte auprès de la CNIL dans le passé, c’est vrai que l’opération avait pris du temps mais on reçoit néanmoins une réponse (postale d’ailleurs, j’aurai pensé recevoir ça par mail).
#1.2
j’ai plutôt pensé à un travail partagé entre Marc et la rédaction de NI, 12000 demandes, ça fait beaucoup pour un seul homme
#2
A coeur vaillant, rien n’est impossible
#3
Ca s’appelle avoir de l’inpact ^^
#4
Pour la CNIL, je suis partagé. J’ai fait plusieurs plaintes en 2022 (et 2023). Certaines sont toujours en cours d’instruction depuis plus d’un an, alors qu’il n’y a pas de grandes difficultés, il suffit de “rappeler à l’organismes ses obligations”. D’autres ont été traités par dessus la jambe, “prenez contact avec l’organisme” alors que justement la CNIL est le recours quand le contact ne donne rien (une fois les délais expirés). Et j’ai quelques plaintes (une minorité) qui ont été traités rapidement, dont l’une a été clôturée moins d’une semaine après son ouverture. Mais dans l’ensemble, je ne trouve pas que le retours à un prestataire externe a amélioré la qualité générale du service.
#5
Intéressant.
Me concernant, j’ai déposé ma première plainte à la CNIL cette année.
Première plainte le 03.05, car pas de réponse de l’organisme en question concernant mes données personnelles.
Réponse de la CNIL le 11.05, qui indique avoir fait un rappel de ses obligations à l’organisme en question, et clôture ma plainte. Si pas de réponse dans les 6 semaines, il m’invite à redéposer une plainte.
Ca n’a pas loupé, pas de retour de l’organisme.
Nouvelle plainte déposé le 07.08.
Et hier, l’organisme en question m’a répondu et m’a envoyé le dossier
#6
Ouais donc comme partout, ça triche un peu avec les indicateurs qui ne veulent donc rien dire dans le monde réel.