RGPD

La Cnil a la possibilité, sans engager de procédure de mise en demeure ou de procédure de sanction, d'agir à titre préventif en notifiant un avertissement, lorsque ses investigations permettent d'identifier que les opérations de traitement de données qu'un employeur envisage de mettre en place sont susceptibles de violer les règles issues du RGPD L. nº 78-17, 6 janv. 1978, art. 20. Il ne s'agit pas d'une sanction.

La procédure de mise en demeure de la Cnil a pour but d'obtenir une mise en conformité de l'entreprise L. nº 78-17, 6 janv. 1978, art. 20D. nº 2019-536, 29 mai 2019, art. 38. La Cnil fixe un délai dans lequel la mise en conformité doit intervenir. Il peut s'agir :

• à la suite d'un contrôle, de mettre les opérations de traitement en conformité avec les dispositions applicables
• ou, à la demande des personnes concernées par un traitement, de satisfaire à une demande d'exercice des droits applicables en matière de protection des données
• ou de rectifier, d'effacer des données à caractère personnel, ou de limiter le traitement de ces données
• ou encore de communiquer à la personne concernée une violation de données à caractère personnel.

Le délai pour se mettre en conformité :

• est, en principe, fixé entre dix jours et six mois
• est, en cas d'extrême urgence, de 24 heures
• court à compter de la réception de la mise en demeure par l'employeur.

Dès lors que la mise en conformité intervient dans le délai fixé, la Cnil prononce la clôture de la procédure de mise en demeure. En l'absence de mise en conformité, la Cnil peut décider d'initier une procédure de sanction (voir question dédiée), sans qu'il soit nécessaire de procéder à un nouveau contrôle CE, 6 juin 2018, nº 412589.

La Cnil peut mettre en œuvre une procédure d'urgence en cas d'atteinte à l'identité humaine, aux droits de l'homme, à la vie privée et aux libertés individuelles ou publiques L. nº 78-17, 6 janv. 1978, art. 21D. nº 2019-536, 29 mai 2019.

La procédure est la même que celle préalable à une sanction (voir question dédiée), sauf que l'employeur ne dispose pas d'un mois mais de huit jours pour transmettre ses observations à la suite du rapport de la Cnil. Il est convoqué au plus tard huit jours avant la séance devant la Cnil.

À l'issue de cette procédure, la Cnil peut prononcer :

• une interruption provisoire de la mise en œuvre du traitement, pour une durée maximale de trois mois
• une limitation du traitement de certaines données personnelles traitées, pour une durée maximale de trois mois
• une suspension provisoire de la certification délivrée au responsable de traitement
• une suspension provisoire de l'agrément délivré à un organisme de certification, ou à un organisme chargé du respect d'un code de conduite
• une suspension d'une autorisation de mise en œuvre d'un traitement
• une injonction de mise en conformité du traitement, pouvant être assortie d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard
• un rappel à l'ordre.

La Cnil peut prononcer les sanctions suivantes :

• un rappel à l'ordre
• une injonction de mettre en conformité le traitement avec les obligations résultant du RGPD, ou de satisfaire aux demandes individuelles d'exercice des droits issus du RGPD. Cette injonction peut être assortie d'une astreinte dont le montant ne peut pas dépasser 100 000 € par jour de retard. Le responsable du traitement doit alors justifier des éléments attestant qu'il s'est conformé à l'injonction. Sinon, l'astreinte est liquidée et son montant définitif est fixé
• la limitation temporaire ou définitive du traitement, son interdiction, ou le retrait d'une autorisation de traitement accordée
• un retrait de certification ou une injonction faite à un organisme certificateur de refuser ou de retirer une certification
• une suspension des flux de données adressée à un destinataire situé dans un pays tiers ou à une organisation internationale
• une suspension partielle ou totale de la décision d'approbation des règles d'entreprise contraignantes
• une amende administrative dont le montant maximum est de 10 millions d'euros ou, pour les entreprises, 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le plafond le plus élevé étant retenu. Ces plafonds peuvent être portés à 20 millions d'euros et 4 % du chiffre d'affaires notamment en cas de violation des principes de base d'un traitement, des droits dont bénéficient les personnes dont les données sont collectées, ou de non-respect d'une injonction.

Le montant de l'amende administrative est fixé en fonction de la nature, de la gravité et de la durée des manquements, ainsi que du comportement du responsable du traitement. Ainsi, la célérité d'un responsable de traitement pour apporter des mesures correctrices aux manquements constatés peut permettre d'obtenir une réduction du montant de l'amende CE, 17 avr. 2019, nº 422575.

Ces sanctions peuvent s'accompagner de la décision de la Cnil :

• de rendre publique les mesures de sanction qu'elle prend. Elle doit dans ce cas préciser la durée du maintien en ligne de cette publication non anonymisée, de deux ans maximum CE, 28 sept. 2016, nº 389448CE, 19 juin 2017, nº 396050
• d'ordonner une insertion de ces mesures dans des publications, journaux et autres supports, aux frais des personnes sanctionnées
• d'ordonner à l'employeur d'informer individuellement et à ses frais toutes les personnes concernées par la violation des règles de protection des données personnelles et de la mesure de sanction prononcée L. nº 78-17, 6 janv. 1978, art. 22.

Si la Cnil envisage une sanction, une procédure contradictoire L'employeur peut connaître les griefs qui lui sont faits et y répondre est engagée L. nº 78-17, 6 janv. 1978, art. 20 et 22D. nº 2019-536, 29 mai 2019 :

1. La Cnil établit un rapport : pour ce faire, elle peut auditionner toute personne. Si l'employeur est auditionné, il peut se faire assister d'un avocat. L'audition donnera lieu à la rédaction d'un procès-verbal.

• L'employeur peut y répondre dans un délai d'un mois. Une fois fini, le rapport est notifié à l'employeur, qui a la possibilité d'y répondre en déposant ses observations dans un délai d'un mois. Dans ce cadre, il peut se faire représenter ou assister par un avocat. Il a la possibilité de prendre connaissance et d'avoir une copie des pièces du dossier
• Le rapporteur de la Cnil dispose de 15 jours pour répondre aux observations de l'employeur
• L'employeur dispose alors à son tour de 15 jours pour répondre au rapporteur
• Les délais d'un mois et de 15 jours peuvent être prolongés à la demande du rapporteur ou de l'employeur, lorsque les circonstances ou la complexité du dossier le justifient
• Lorsque les observations transmises par l'employeur amènent l'employeur à modifier son rapport, les délais d'un mois et deux fois 15 jours courent à nouveau, pour que chacun puisse contradictoirement présenter de nouvelles observations.

2. Une séance de la Cnil se tient : après clôture de l'instruction, le dossier est appelé à une séance de la Cnil Il s'agit de la formation restreinte de la Cnil .

• L'employeur reçoit une convocation au moins un mois avant la date fixée
• Le rapporteur a la possibilité de présenter des observations orales devant la formation restreinte. L'employeur peut également demander à être entendu, assisté de son avocat. La Cnil peut, en outre, demander à entendre toute personne dont elle estime l'audition utile
• Après que le commissaire du Gouvernement a donné son avis sur l'affaire, l'employeur ou son conseil reprend la parole en dernier.

3. La décision est notifiée : la décision de sanction prise par la Cnil doit être motivée et énoncer les considérations de droit et de fait sur lesquelles elle est fondée. Elle est notifiée à l'employeur, en précisant les voies et délais de recours.

La décision rendue par la Cnil peut faire l'objet d'un recours devant le Conseil d'État dans un délai de deux mois à compter de la notification ou de la publication de la décision CJA, art. R. 311-1CJA, art. R. 421-1.

La Cnil peut, lorsqu'elle prononce une injonction, assortir celle-ci d'une astreinte L. nº 78-17, 6 janv. 1978, art. 20D. nº 2019-536, 29 mai 2019, art. 44.

Lorsque tel est le cas, un délai est fixé à l'employeur pour transmettre à la formation restreinte les éléments attestant qu'il s'est conformé à l'injonction qui a été prononcée.

S'il ne justifie pas de ces éléments ou le fait tardivement, la formation restreinte peut procéder à la liquidation de l'astreinte :

• pour fixer le montant de l'astreinte, elle tient compte des éléments qui lui ont été ou non transmis, du comportement de l'employeur et des difficultés qu'il a éventuellement rencontrées, ce qui permet de prendre en considération toute cause étrangère aux capacités de mise en conformité qui pourrait expliquer une inexécution ou un retard d'exécution
• avant de liquider l'astreinte, la Cnil transmet à l'employeur les motifs de la liquidation envisagée et son montant. Celui-ci dispose de 15 jours pour transmettre ses observations écrites.