Avec la loi du 6 août 2004, les organismes qui ont désigné un CIL sont exonérés de toute formalité déclarative, sauf lorsqu’un transfert de données personnelles à destination d’un État non membre de l’Union européenne est envisagé et/ou lorsque le traitement concerné est soumis au régime d’autorisation par la Cnil. Le décret no 2005-1309 du 20 octobre 2005 complète utilement ce dispositif.
Si la désignation du CIL est facultative, elle doit d’abord être portée à la connaissance de l’instance représentative du personnel compétente, par le responsable des traitements, par lettre RAR (D. 20 oct. 2005, art. 45). Elle doit ensuite être notifiée à la Cnil (D. 20 oct. 2005, art. 42).
Une fois désigné, le CIL devient l’interlocuteur privilégié de la Cnil et des personnes concernées par les traitements soumis à la loi, d’où l’exigence d’une certaine indépendance (L. 6 janv. 1978, art. 22-III). Il doit disposer d’une certaine autorité pour que ses alertes soient prises en considération. Aussi, s’il exerce sa mission directement auprès du responsable des traitements, il ne doit recevoir aucune instruction pour l’exercice de sa mission. Le législateur a d’ailleurs prévu que le CIL « ne peut faire l’objet de sanction de la part de l’employeur du fait de l’accomplissement de ses missions ». Pour la même raison et pour éviter tout conflit d’intérêt dans l’exercice de sa mission, le responsable des traitements ou son représentant légal ne peut être désigné comme correspondant (D. 20 oct. 2005, art. 46). Lorsque le CIL rencontre des difficultés dans la tenue du répertoire des fichiers mis en œuvre, il peut saisir directement la Cnil.
Si la Cnil constate que le CIL ne remplit pas correctement sa mission, elle peut demander au responsable des traitements de le décharger de ses fonctions (D. 20 oct. 2005, art. 52). Si le responsable des traitements souhaite mettre fin aux fonctions du CIL pour manquement aux devoirs de sa mission, il doit saisir la Cnil par lettre RAR et notifier cette saisine au CIL dans les mêmes formes. La Cnil dispose d’un délai d’un mois, renouvelable une seule fois sur décision motivée de son président, pour prendre position. Aucune décision ne peut intervenir avant la fin de ce délai (D. 20 oct. 2005, art. 53).
Dans tous les cas, une décision mettant fin à la mission du CIL (démission ou décharge des fonctions) doit être notifiée à la Cnil (D. 20 oct. 2005, art. 42). Elle doit préciser les motifs et joindre la notification de la décision au CIL. Elle prend effet dans les huit jours de sa date de réception par la Cnil (D. 20 oct. 2005, art. 54).