Le décret du 25 mars 2007 modifie et complète celui du 20 octobre 2005 (Décret. n° 2007-451 du 25 mars 2007 : JO 28). Certaines entrent dans le détail de l'organisation, du fonctionnement et des procédures de la Cnil afin de lui permettre de tenir compte de l'accroissement considérable de son activité résultant des nouveaux régimes de formalités préalables introduits par la loi du 6 août 2004 (délai prolongé, assouplissement de l'organisation interne du travail de la Commission , etc.). D'autres dispositions visent à tenir compte de la loi du 23 janvier 2006 contre le terrorisme (restriction des informations appelées à figurer dans les demandes d'avis soumises à la Cnil pour les traitements intéressant la sûreté de l'Etat, la défense ou la sécurité publique, suppression du droit d'accès indirect à ces fichiers) ou encore à modifier certaines obligations incombant aux responsables des traitements (adaptation de l'obligation d'information pour les collectes par téléphone, orale et à distance, n'informer du niveau de protection offert par les pays tiers que lorsque la personne concernée le demande, etc .), y compris en ce qui concerne les formalités préalables incombant aux responsables de traitements envisageant un transfert de données à caractère personnel. Enfin, il introduit une disposition spécifique au secteur public permettant à une personne fichée cherchant à exercer son droit d'accès de saisir le juge administratif d'un référé dit de "mesures utiles" en cas de risque de dissimulation ou de disparition de données par l'Etat, une collectivité territoriale ou toute autre personne publique.

Les articles 54 (instruction des plaintes) et 63 (faits susceptibles de constituer des manquements à la loi) du règlement intérieur de la Commission nationale de l'informatique et des libertés sont modifiés de manière à traduire les changements apportés par la loi du 6 août 2004 (Délib. n°2004-098 : JO du 9 décembre 2004).

Constitue un délit d’entrave à l’action de la CNIL, le fait d’envoyer volontairement à la CNIL des informations inexactes dans le but d’éluder le contrôle de la commission (Cass. crim. 28 septembre 2004, n° 03-86.604).

Par délibération du 28 juin 2006, la Cnil a condamné le Crédit Lyonnais au paiement d’une amende de 45 000 euros pour entrave à son action et pour avoir inscrit de façon abusive plusieurs clients dans le fichier des « retraits CB » mis en œuvre par la Banque de France. En outre, la Cnil a ordonné l’insertion de sa décision dans le Figaro et La Tribune. Cette sanction a été prise à la suite de plaintes adressées à la Cnil par des clients du Crédit Lyonnais qui contestaient leur inscription dans les fichiers centraux de la Banque de France. L’un d’entre eux avait été maintenu dans le fichier des incidents de remboursement de crédit au particulier alors qu’il avait payé sa dette. D’autres clients avaient été inscrits dans le fichier de centralisation des retraits de carte bancaire en l’absence d’incident lié à l’utilisation de leur carte bancaire. Après un an de démarches et deux contrôles sur place, la Cnil a estimé qu’il y avait eu entrave à son action et inscription abusive dans des fichiers. Elle a sanctionné ces manquements en prononçant pour la première fois une sanction pécuniaire (Délib. 2006-174 du 28-6-2006).

Une procédure de sanction peut être engagée lorsque le responsable d’un traitement ne se conforme pas à la mise en demeure qui lui est adressée. La Cnil a ainsi condamné, au titre de l’article 45 de la loi, une société à 30 000 euros d’amende pour manque de coopération et de transparence (Délib. 2006-281 du 14 décembre 2006).

La lettre de la CNIL accompagnant le récépissé du dépôt de déclaration, dans laquelle la commission émet de fortes réserves et appelle le responsable du traitement à ses conformer à la loi, constitue une mise en demeure susceptible de faire l’objet d’un recours pour excès de pouvoir (CE 28 juillet 2004, n° 262851).

Norme n° 46 : délibération n° 2005-02 du 13 janvier 2005 portant adoption d’une norme destinée à simplifier l’obligation de déclaration des traitements mis en oeuvre par les organismes publics et privés pour la gestion de leurs personnels (JO du 17 février 2005).

Norme n° 47 : délibération n° 2005-19 de la CNIL du 3 février 2005 portant création d'une norme simplifiée concernant les traitements automatisés de données à caractère personnel mis en oeuvre dans le cadre de l'utilisation de services de téléphonie fixe et mobile sur les lieux de travail et portant abrogation de la norme simplifiée n° 40 (JO du 21 janvier 2005).

Jugé que l’article 95 CE, lu en combinaison avec l’article 25 de la directive, n’est pas susceptible de fonder la compétence de la Communauté pour conclure un accord avec les Etats-Unis d’Amérique sur le traitement et le transfert de données de dossiers passagers (« Passenger Name Records » dit PNR) par des transporteurs aériens au bureau des douanes et de la protection des frontières du ministère américain de la sécurité intérieure.
En conséquence, la décision d’adéquation 2004/496 excédant les compétences conférées à la Commission par l’article 25 de la directive n’a pu être valablement adoptée et doit donc être annulée. L’accord restant applicable pendant le délai de 90 jours à compter de sa dénonciation, il paraît justifié, pour des raisons de sécurité juridique et afin de protéger les personnes concernées, de maintenir les effets de la décision d’adéquation pendant cette même période. Il y a donc lieu de maintenir les effets de la décision d’adéquation jusqu’au 30 septembre 2006, sans toutefois que ces effets soient maintenus au-delà de la date d’extinction de l’accord (CJCE 30 - 5 - 2006, affaires jointes C-317/04 et C-318/04 : Gaz. Pal. nos 291-292 du 18/19 - 10 - 2006 som. p. 26 note Chloé Torres, Virginie Bensoussan-Brulé).

Le 5 octobre 2006, l’Union européenne et les Etats-Unis ont conclu un accord autorisant le transfert aux autorités américaines, des données personnelles des passagers ("Passenger Name Records" dit PNR) par les compagnies aériennes. Il s’agit d’un compromis dans lequel l’UE a concédé que les données collectées par le Département à la sécurité intérieure américain (DHS), puissent être transmises à d’autres agences gouvernementales américaines en charge de la lutte anti-terroriste (FBI, CIA, notamment) en contrepartie d’un engagement de la part de l’administration américaine, à ce que tous les nouveaux destinataires de ces données PNR garantissent les mêmes conditions et niveau de protection des données que l’autorité des douanes américaines. Cet accord doit encore être entériné par les ministres européens de la justice. Il fixera donc le nouveau cadre légal du transferts de telles données.

La Chambre sociale de la Cour de cassation réaffirme le principe interdisant la mise en œuvre d’un dispositif de contrôle de l’activité professionnelle n’ayant pas été porté préalablement à la connaissance des salariés  mais indique qu’il peut être opposé aux salariés des preuves recueillies par un système de surveillance des locaux auxquels ils n’ont pas accès. S’agissant d’un prestataire, l’employeur n’est pas tenu de divulguer l’existence des procédés installés par les clients de l’entreprise. En l’espèce, la mise en place de la caméra avait été décidée par un client et n’avait pas pour but de contrôler le travail des salariés mais uniquement de surveiller la porte d’accès d’un local dans lequel il ne devait y avoir aucune activité, et que les enregistrements vidéos litigieux constituaient un moyen de preuve tout à fait licite (Cass. soc. 19 avril 2005).

Le Tribunal de grande instance de Paris a rendu la première décision relative à la mise en place par une société  d’un système biométrique de reconnaissance par empreintes digitales ayant pour finalité le contrôle du temps de travail de ses salariés. Le tribunal interdit  la mise en place d’un tel système sur le fondement d’une absence de finalité adaptée et proportionnée au but recherché au sens de la Directive 95/46/CE (TGI Paris 1e ch. soc. 19 avril 2005 : n°05/00382).