Mathias Moulin

Role dans la commission : Personne auditionnee

Biographie

Mathias Moulin est secrétaire général adjoint de la Commission nationale de l'informatique et des libertés (CNIL) depuis le 18 octobre 2021. L'identification est sans ambiguïté : le titre déclaré sous serment devant la commission d'enquête — secrétaire général adjoint de la Cnil — correspond exactement au communiqué officiel de nomination publié par la CNIL.

Formation. Il est titulaire d'un master en droit des nouvelles technologies de l'information et de la communication de l'université Lille II et d'un master en droit de l'urbanisme et des marchés publics de l'université de Versailles Saint-Quentin-en-Yvelines (source : CNIL).

Parcours, intégralement effectué au sein de la CNIL (chronologie établie par le communiqué officiel de la CNIL du 18 octobre 2021) :

• 2002 — il intègre la CNIL au service des affaires juridiques.
• 2008 — chef du service des correspondants Informatique et Libertés (fonction devenue celle de délégué à la protection des données).
• 2012 — directeur adjoint de la direction de la protection des droits et des sanctions.
• 2018 — directeur de la protection des droits et des sanctions, où il met en œuvre et coordonne l'activité répressive et de contrôle de la CNIL à l'échelle nationale et européenne.
• 18 octobre 2021 — secrétaire général adjoint de la CNIL, en succession de Gwendal Le Grand, parti au Comité européen à la protection des données (CEPD). À ce poste, il coordonne les cinq directions de la CNIL (conformité ; protection des droits et des sanctions ; technologies et innovation ; relations avec les publics et recherche ; administrative et financière), conduit les chantiers transversaux et les politiques de modernisation, assiste la présidente et le secrétaire général, et supervise avec ce dernier l'activité du secrétariat général.

Son profil est donc celui d'un juriste de carrière du régulateur français des données personnelles, passé par le contrôle et la sanction avant d'accéder à la direction administrative de l'autorité.

Réserve de sourçage : aucune page Wikipédia ne lui est consacrée, et aucune source publique fiable n'a pu être trouvée sur sa date de naissance ou son parcours antérieur à 2002. Ces éléments ne sont donc pas renseignés ici. Homonymes écartés : les autres « Mathias Moulin » trouvés en ligne ne relèvent ni du numérique ni de la régulation.

Dans la commission

Auditionné à huis clos le 2 juin 2025 (cr20a), non pas seul mais au sein de la délégation de la CNIL conduite par Marie-Laure Denis, présidente, aux côtés de Chirine Berrichi, conseillère pour les questions parlementaires et institutionnelles. Il prête serment avec elles. Il n'intervient que six fois, en appui technique et juridique du propos de la présidente. Fiche courte en conséquence : le dossier corpus est mince et ne contient ni prise de position autonome longue ni question.

Son angle. Ses interventions portent sur deux fils : (1) ce que la CNIL peut concrètement obtenir de TikTok compte tenu du mécanisme européen du guichet unique, et (2) la base juridique de l'inscription d'un mineur sur un réseau social et les conditions d'un contrôle de l'âge compatible avec la protection des données.

Points saillants :

• Le circuit court avec les plateformes, et sa limite — il décrit la procédure informelle de « preliminary vetting » convenue avec l'autorité irlandaise pour traiter vite les cas simples : « Nous sommes convenus avec l'autorité irlandaise de la procédure qui vient d'être décrite, appelée preliminary vetting , pour travailler en circuit court. Avec Google cette procédure fonctionne très bien. » (cr20a)

• TikTok traité différemment de Google et Microsoft — il oppose, dans les termes qui sont les siens, le fonctionnement de cet accord informel selon les acteurs : « Il se trouve que ce gentlemen's agreement fonctionne plutôt bien avec Google, avec lequel nous avons des relations historiques, ainsi qu'avec Microsoft. TikTok nous fait entrer dans un cadre formel, avec des procédures plus longues. » (cr20a)

• La base légale de l'inscription est le contrat, et cela ouvre une question de droit civil — il déplace le débat du terrain de la protection des données vers celui du droit des contrats et de la capacité du mineur : « Le droit français prévoit qu'un mineur n'a pas besoin de l'accord de ses parents pour accomplir les actes de la vie courante – acheter une baguette de pain par exemple – mais qu'il doit l'obtenir pour les autres actes. Il reste à savoir si la souscription contractuelle à un réseau social relève de la vie courante, et quels outils de contrôle parental peuvent être appliqués. » (cr20a)

• Un contrôle de l'âge sous double anonymat serait légitime du point de vue de la CNIL — il énonce la position de l'autorité sur l'articulation contrôle parental / vérification de l'âge, sous condition de minimisation des données : « Une solution conjuguant le contrôle parental et le contrôle de l'âge, dans le respect du double anonymat, serait parfaitement légitime, puisqu'elle minimiserait les données. » (cr20a)

Sources

• https://www.cnil.fr/fr/mathias-moulin-est-nomme-secretaire-general-adjoint-de-la-cnil
• https://www.cnil.fr/fr/vincent-villette-nomme-secretaire-general-de-la-cnil
• https://www.assemblee-nationale.fr/dyn/opendata/CRCANR5L17S2025PO867384N020.html