Autorité de contrôle
Une autorité de contrôle est l’organisme public indépendant qui surveille et fait appliquer le droit de la protection des données dans un pays, traite les plaintes, enquête et inflige des amendes, comme la CNIL en France ou l’ICO au Royaume-Uni.L’article 51 du RGPD impose à chaque État membre d’établir une ou plusieurs autorités indépendantes ; l’article 58 leur donne les pouvoirs d’enquêter, d’ordonner, d’avertir, de rappeler à l’ordre, d’interdire un traitement et d’infliger les amendes de l’article 83. Ensemble, elles forment le Comité européen de la protection des données (CEPD), qui adopte des lignes directrices (sur le consentement, sur les dark patterns, sur le champ de la règle cookies) et tranche les litiges transfrontaliers. Pour les questions RGPD concernant une entreprise établie dans l’UE, l’autorité de l’établissement principal est chef de file dans le cadre du guichet unique de l’article 56.
Les cookies sont l’exception. La directive ePrivacy est appliquée par l’autorité que chaque État désigne, sans guichet unique, de sorte que la CNIL peut sanctionner Google, Microsoft ou Shein pour des cookies déposés sur des appareils en France quel que soit leur siège européen, comme elle le fait depuis 2020.
Hors de l’UE, les noms changent mais le rôle est le même : l’ICO au Royaume-Uni, le PFPDT en Suisse (Préposé fédéral à la protection des données et à la transparence, qui enquête mais ne peut pas infliger d’amende), l’ANPD au Brésil, la Commission d’accès à l’information au Québec, le Commissariat à la protection de la vie privée du Canada, l’Information Regulator en Afrique du Sud, l’OAIC en Australie, la KVKK en Turquie, et aux États-Unis la California Privacy Protection Agency aux côtés des procureurs généraux des États. Une politique de confidentialité doit nommer l’autorité auprès de laquelle les personnes peuvent se plaindre ; voir les pages RGPD et directive ePrivacy pour la façon dont elles font appliquer les règles sur les cookies.