Est parue, au Journal officiel du 23 janvier 2026, la délibération n°2025-132 modifiant le règlement intérieur (« RI ») de la Commission nationale de l’informatique et des libertés (« CNIL »). Ces modifications visent à « renforcer la cohérence globale et clarifier les pratiques internes ».
Le cœur de la réforme concerne la refonte du Chapitre III « Formalités préalables » avec un objectif affiché d’alléger les procédures et d’assouplir la relation avec les usagers. Les deux autres volets ont trait au fonctionnement interne : la comptabilisation des doubles séances pour l’indemnisation des membres et la mise à jour de la protection des lanceurs d’alertes dans la charte de déontologie annexée au règlement.
La première modification simplifie et actualise la partie du RI dédiée aux formalités préalables. Elle clarifie les procédures de traitement des dossiers et la responsabilisation des responsables de traitement.
Les services de la CNIL vérifient que chaque dossier transmis est complet.
En cas de dossier incomplet, une demande de complément d’information est adressée au responsable de traitement, par voie postale ou électronique, avec possibilité de fixer un délai pour la production des pièces manquantes.
Si le délai expire sans réponse, le dossier peut être clôturé. Le simple dépôt du dossier ne suffit donc plus : le responsable de traitement doit répondre rapidement et de manière adéquate.
Les délais de traitement ne courent qu’à partir du moment où le dossier est complet.
Pour les traitements couverts par l’acte règlementaire unique, le responsable adresse un engagement de conformité par traitement. Celui-ci peut être accompagné de pièces complémentaires. Un récépissé lui sera adressé si le dossier est complet.
Pour les déclarations de conformité aux référentiels, un récépissé de dépôt est également adressé au demandeur.
Ces dispositions permettent de sécuriser le calendrier et la phase de complétude des dossiers.
Lors de l’instruction du dossier, le Président, le rapporteur ou les services peuvent demander des compléments d’information et communiquer avec toute personne susceptible de fournir des éléments utiles. En l’absence de réponse ou si les réponses sont insuffisantes, la CNIL peut refuser la mise en œuvre du traitement, obligeant ainsi le responsable à fournir des informations complètes et probantes.
Désormais, toute suppression de traitement ayant fait l’objet de formalités préalables, exception faite des consultations préalables, doit être notifiée à la CNIL par écrit ou par voie électronique, avec numéro d’enregistrement et récépissé de suppression adressé au responsable. Pour mémoire, les modifications de traitement suivent les mêmes modalités.
En revanche, la modification substantielle d’un traitement relevant d’un avis ou d’une autorisation nécessite une nouvelle soumission aux formalités applicables.
L’article 79 du chapitre XIII a été complété :
L’article 23 de la charte de déontologie est modifié pour se conformer à la loi n° 2022-401 du 21 mars 2022 visant à améliorer la protection des lanceurs d’alerte.
Les agents, signalant ou divulguant de bonne foi des informations, sans contrepartie financière directe, bénéficient d’une protection.
Aucun agent ne peut subir de mesures de représailles même si les faits sont inexacts ou sans suite.
La protection couvre également les signalements ou témoignages faits de bonne foi aux autorités judiciaires ou administratives.
Une procédure interne accessible à tous les agents encadre le recueil et le traitement des signalements, précise le rôle du référent déontologue et garantit la confidentialité de l’auteur du signalement, des faits signalés et des personnes concernées.
Ainsi, la publication de la délibération au Journal Officiel marque une étape importante d’ajustement dans la mise à jour du cadre procédural de la CNIL. La réforme simplifie et clarifie les règles internes, renforce la prévisibilité des procédures et la sécurité juridique des démarches auprès de la Commission.
Les délais commencent à courir uniquement à partir du moment où le dossier est complet.
Il s’agit des démarches déclaratives à accomplir auprès de la CNIL avant la mise en œuvre d’un traitement de données personnelles. Selon le cas, il peut s’agir d’une déclaration ou d’une demande d’autorisation.
C’est un texte règlementaire qui autorise une catégorie de traitements sous réserve du respect de conditions définies. Le responsable de traitement adresse à la CNIL un engagement de conformité pour chaque traitement couvert par cet acte.
Un référentiel définit un cadre de conformité pour un type de traitement particulier. Il n’a pas de caractère contraignant. Exemple : le référentiel des durées de conservation dans le domaine de la recherche en santé.
Il s’agit de la réunion officielle de l’ensemble des membres de la Commission pour prendre des décisions collectives.
Un agent qui signale de bonne foi un risque ou une infraction dont il a connaissance dans le cadre de ses fonctions, sans attendre de contrepartie financière.
C’est l’ensemble des procédures et outils mis en place pour permettre aux agents de signaler des alertes de manière sécurisée et confidentielle.
Pour aller plus loin, inscrivez-vous à notre prochaine formation DPO, prévue à partir du 26 mars 2026 !