Marie-Laure Denis

Role dans la commission : Personne auditionnee

Biographie

Marie-Laure Denis, née le 15 octobre 1967 à Neuilly-sur-Seine, est conseillère d'État et présidente de la Commission nationale de l'informatique et des libertés (CNIL) depuis le 2 février 2019. L'identification est sans ambiguïté : le titre déclaré sous serment devant la commission — « présidente de la Cnil » — correspond exactement à la biographie officielle publiée par l'Autorité.

Formation. Diplômée de l'Institut d'études politiques de Paris (1988, section Service public), puis ancienne élève de l'École nationale d'administration, promotion « Condorcet » (1990-1992).

Parcours. Son profil est celui d'une haute fonctionnaire juriste passée par près de deux décennies de régulation au sein d'autorités administratives indépendantes :

• Conseil d'État — auditrice (1992-1995), maître des requêtes (1995-2007), conseillère d'État (depuis 2007).
• 1995-1998 — directrice de cabinet de Jean Tiberi à la Mairie de Paris.
• 2002-2004 — fonctions ministérielles dans le domaine de la santé sous le gouvernement Raffarin.
• 2004-2011 — membre du Conseil supérieur de l'audiovisuel (CSA, devenu Arcom), où elle préside le groupe de travail « Radio ».
• 2011-2017 — membre du collège de l'Arcep (Autorité de régulation des communications électroniques et des postes), nommée en janvier 2011.
• 2017-2019 — membre de la commission des sanctions de la Commission de régulation de l'énergie (CRE).
• Depuis le 2 février 2019 — présidente de la CNIL ; mandat renouvelé pour cinq ans par décret du président de la République en janvier 2024.

Distinctions. Chevalier de l'ordre national du Mérite (2005), chevalière de la Légion d'honneur (2010), officière de l'ordre national du Mérite (2019).

Réserve de sourçage : les deux sources principales (Wikipédia et le site de la CNIL) divergent légèrement sur la date exacte du renouvellement de son mandat en 2024 (17 janvier selon Wikipédia, décret du 30 janvier selon la CNIL). Le mois — janvier 2024 — et la durée — cinq ans — sont concordants.

Dans la commission

Auditionnée le 2 juin 2025 (cr20a), à huis clos, en tant que présidente de la CNIL, accompagnée de Mathias Moulin, secrétaire général adjoint, et de Chirine Berrichi, conseillère pour les questions parlementaires. Elle prête serment et déclare n'avoir « aucun intérêt susceptible d'influencer ma position sur TikTok ». 11 interventions.

Sa thèse. Elle décrit un mécanisme économique et technique — la donnée personnelle comme carburant d'un algorithme de rétention — tout en posant d'emblée les limites de son mandat : la CNIL n'est ni le régulateur des contenus, ni compétente sur TikTok depuis que la plateforme a établi son siège européen à Dublin. Toute l'audition tient dans cet écart entre ce que la CNIL sait décrire et ce qu'elle a le pouvoir de faire.

Positions et points saillants :

• Le modèle économique repose sur la donnée. Elle décrit une inférence émotionnelle à partir de signaux d'usage : « En combinant les données, qui font l'objet d'une catégorisation par TikTok – temps passé, partage, likes –, le réseau social peut déduire ce à quoi l'utilisateur est sensible, voire son état émotionnel. » (cr20a). Elle en tire une conclusion nette : « Le modèle économique repose donc sur l'exploitation des données personnelles des utilisateurs. » (cr20a)

• La singularité de TikTok : la télévision plus l'algorithme. « TikTok mêle les caractéristiques traditionnelles de la télévision – un flux continu unilatéral qu'on ne contrôle pas – et les caractéristiques des médias les plus contemporains – un algorithme dont l'objectif est de maintenir le plus longtemps possible les utilisateurs sur la plateforme. » (cr20a)

• Les risques, énoncés mais systématiquement attribués à des tiers. Elle relaie les effets décrits par la littérature et les ONG sans les établir elle-même : les algorithmes « favorisent l'enfermement des jeunes dans une bulle de filtre, ayant pour effet de renforcer leurs opinions et limiter l'accès à la diversité des idées, ce qui peut contribuer à leur isolement et à leur radicalisation » (cr20a) ; cela « peut créer une spirale infernale – ce que la littérature scientifique appelle le rabbit hole effect – et pousser des personnes à des tentatives de suicide, des scarifications, des comportements anorexiques » (cr20a). Le chiffre le plus frappant est explicitement adossé à une source extérieure : « Un rapport, publié en 2022 par le Center for Countering Digital Hate , une ONG anglo-saxonne, révélait qu’il fallait moins de dix minutes en moyenne pour que TikTok propose des contenus relatifs au suicide ou à des troubles du comportement alimentaire. » (cr20a). De même pour l'action judiciaire, mentionnée comme accusation portée par des tiers : « le collectif Algos Victima regroupe des familles ayant lancé une action en justice contre TikTok qu'elles accusent d'être responsable de la dégradation de la santé d'adolescents. » (cr20a). Cette prudence est cohérente avec sa position de départ : la CNIL n'a pas d'expertise psychologique.

• Des chiffres d'exposition et de ressenti. « Il semblerait que 45 % des Français de 11 à 12 ans soient inscrits sur TikTok, dans lequel ils voient un outil de socialisation. » (cr20a) ; et, issu d'une enquête de la CNIL : « Deux tiers des utilisateurs que nous avons interrogés se sentent piégés par l'application et préféreraient utiliser d'autres plateformes, mais ils manquent souvent d'un accompagnement pour sauter le pas. » (cr20a)

• Une compétence assumée comme limitée. C'est son point le plus martelé : « La Cnil n'est donc pas compétente pour faire respecter la réglementation relative à la régulation des contenus, qui relève de l'Arcom (Autorité de régulation de la communication audiovisuelle et numérique), ni celle sur les pratiques commerciales, qui relève de la DGCCRF (direction générale de la concurrence, de la consommation et de la répression des fraudes). » (cr20a). Sur les données elles-mêmes, le guichet unique du RGPD déporte la compétence vers Dublin : « Attiré par le climat irlandais, il a implanté celui-ci à Dublin, en conséquence de quoi c'est l'autorité de protection des données irlandaises – la Data Protection Commission (DPC) – qui est compétente, en application du système de guichet unique prévu par le RGPD. » (cr20a). Elle rappelle les sanctions prononcées par cette autorité : « La première procédure a abouti, en septembre 2023, à une amende de 345 millions d'euros. La seconde a très récemment donné lieu à une amende de 530 millions d'euros. » (cr20a)

• Un aveu d'impuissance sur la coopération. « Ce fonctionnement est toutefois informel, et TikTok n'est pas tenu de nous répondre. Nous n'avons aucun moyen de le contraindre, même si nous coopérons avec la DPC. » (cr20a). Elle formule le différentiel de traitement entre plateformes sans le qualifier : « On peut en tout cas constater que les plateformes ont des stratégies relationnelles différentes vis-à-vis du régulateur français. » (cr20a)

• Le volume de plaintes reçues par la CNIL. « Depuis la création du réseau social, la Cnil a reçu environ 150 plaintes, dont la très grande majorité porte sur des demandes d'effacement de comptes, de contenus ou de commentaires. Huit plaintes sont en cours d'instruction et une seule d'entre elles concerne les données d'un mineur. » (cr20a). Sur les transferts hors UE, elle rapporte l'allégation des plaignants : « Les premières, au nombre de vingt-cinq, proviennent de sociétés qui contestent des transferts de données vers la Chine. L'outil TikTok Analytics, en particulier, engendrerait des transferts de données à caractère personnel en dehors de l'Union européenne, notamment vers la Chine, la Malaisie, les États-Unis, Singapour, le Brésil ou encore l'Australie. » (cr20a)

• Vérification de l'âge : le double anonymat contre la pièce d'identité. Elle pose le constat — « En ce qui concerne TikTok, la mention de l'âge est purement déclarative. » (cr20a) — et défend l'architecture du tiers vérificateur indépendant avec double anonymat, issue du référentiel Arcom : « il ne s'agit pas de communiquer les cartes d'identité des jeunes voire de leurs parents à un réseau social. » (cr20a). Elle exprime une réserve publique vis-à-vis de Bruxelles : « Toutefois, à ce stade, nous regrettons que les lignes directrices de la Commission européenne soient moins protectrices que le référentiel de l'Arcom. » (cr20a)

• Le portefeuille européen plutôt que France Identité. Interrogée sur l'alternative nationale, elle avance un obstacle d'acceptabilité : « je ne suis pas sûre que les personnes qui se connectent à des sites pornographiques aient très envie de passer par un site officiel du gouvernement français comme France Identité, estampillé bleu blanc rouge ; un frein psychologique entre en ligne de compte. » (cr20a). Elle privilégie la logique des attributs sélectifs du portefeuille européen (eIDAS) : « je peux prouver mon âge sans avoir à donner mon identité ; pour bénéficier d'une réduction à la piscine de ma commune, je peux prouver que j'y réside sans avoir à dire mon nom ni mon âge. » (cr20a)

• Le règlement IA comme prochain levier. « le RIA interdit la mise sur le marché ou l'utilisation d'une IA reposant sur des techniques subliminales ou manipulatrices, qui altèrent le comportement ou la capacité de décision. Le RIA proscrit également l'utilisation d'une IA exploitant les vulnérabilités liées à l'âge, au handicap ou à la situation sociale. » (cr20a). Elle en déduit une obligation à venir : « TikTok devra évaluer et maîtriser les risques liés à ses systèmes d'intelligence artificielle, en particulier ceux générant des effets addictifs ou portant atteinte à la santé mentale des jeunes. » (cr20a)

• Un précédent politique cité. « Je mentionne l'exemple récent de l'utilisation détournée de TikTok au profit du candidat pro-russe lors de l'élection présidentielle roumaine, qui a conduit la Cour constitutionnelle à annuler le premier tour de scrutin. » (cr20a)

Sources

• https://fr.wikipedia.org/wiki/Marie-Laure_Denis
• https://www.cnil.fr/fr/marie-laure-denis