La dernière édition des tables Informatique et libertés de la Cnil offre aux professionnels un accès à de nombreux documents non publiés. La présentation par entrées thématiques en fait par ailleurs un guide pratique pour les professionnels.
La Cnil a publié l’édition 2026 de ses tables Informatique et libertés. A l’instar de ses lignes directrices, recommandations ou référentiels, les tables de la Cnil s’analysent comme un instrument de droit souple non contraignant, éclairant l’interprétation du RGPD (Règl. 2016-679 du 27-4-2026), de la loi Informatique et libertés (Loi 78-17 du 6-1-1978) et de la jurisprudence en matière de protection des données. Elles constituent ainsi un outil de référence pour comprendre et anticiper la manière dont la Cnil applique les textes dans sa pratique quotidienne de contrôle, de mise en demeure ou encore de sanction.
Un accès à de nombreux documents non publiés. Les tables présentent, sous forme de résumés structurés, les décisions rendues par les juridictions nationales et européenne, par le CEPD, ainsi que l’essentiel de la pratique décisionnelle de la Cnil. A ce titre, y figurent notamment de nombreux documents non publiés (mises en demeure non publiques, décisions de rejet ou clôture d’une plainte, avis sur des projets de décret, etc.) se prononçant sur des points de droit nouveaux : c’est l’intérêt principal de ces tables.
Est publié par exemple le résumé d’une mise en demeure délivrée en matière d’encadrement des listes d’opposition à la prospection commerciale, dans un cas où une entreprise conservait, dans sa « liste repoussoir », la civilité, le nom, le prénom, la date de naissance, le numéro de téléphone, l’adresse électronique, la ville ou le code postal, le niveau d’imposition et la situation familiale de la personne concernée. La Cnil rappelle que la mise en place par les professionnels d’une « liste repoussoir » est admise à condition que le responsable ne conserve, pour une durée minimale de trois ans, que des données nécessaires à la prise en compte de l’opposition dans le temps ; selon l’autorité, dans l’affaire en question, les données récoltées excédaient ce qui est nécessaire pour une liste d’opposition, à savoir (dans ce cas) le numéro de téléphone et l'adresse électronique conservés sous forme hachée, de manière à permettre la prise en compte durable de l’opposition sans conserver de données directement identifiantes (Cnil 26-6-2023, Mise en demeure, Sté X, n° MED-2023-040, non publié, Tables Cnil 2026 p. 252)
Une clôture d’injonction fournit de même des précisions en matière de mesures d’anonymisation : la Cnil admet ainsi qu’une procédure d’anonymisation automatique des données clients, à l’issue d’une période d’archivage intermédiaire, puisse être regardée comme ne permettant plus la réidentification dès lors que les données d’identification (nom, prénom, coordonnées de contact et bancaires) sont remplacées par une série de « X », certaines données étant supprimées et seules demeurant des données agrégées (civilité, code postal, ville) ne permettant pas de réidentifier la personne, même combinées à d’autres données accessibles (Cnil FR 23-6-2022, Clôture d’injonction, Sté X, n° SAN-2022-012, non publié, Tables Cnil 2026 p. 54).
Un accès thématique aux solutions de la Cnil. La publication de ces décisions dans les Tables obéit à un double objectif : assurer une appropriation homogène de la doctrine en interne, afin de garantir une égalité de traitement dans l’analyse des dossiers, et rendre accessibles en externe des positions issues de la pratique décisionnelle, y compris lorsqu’elles n’avaient pas fait l’objet d’une publication détaillée.
En rassemblant des décisions et en les rattachant à des entrées thématiques telles que « minimisation », « conservation » et « anonymisation », les tables transforment des solutions ponctuelles en guide pratique pour les professionnels.
Document et lien associés :
