Expertises des Systèmes d'information - Mai 2022 - N°479 - Le mensuel du droit de l'informatique et du multimédia - 199

DOCTR INE
DONNÉES PERSONNELLES
Nouvelle procédure de
sanction simplifiée de la Cnil
Moins de garde-fous pour les organismes contrôlés
Face à l'explosion des actions répressives de la Cnil, une
nouvelle procédure de sanctions dite « simplifiée » cohabitera
avec la procédure de sanction « ordinaire ».
D
epuis l'entrée en application
du règlement UE
n°2016/679 dit « RGPD »,
les actions répressives de
la Cnil ont explosé, avec une année
qu'elle qualifie de « record » en 2021 :
18 sanctions, 135 mises en demeure et
un montant cumulé d'amendes atteignant
plus de 214 millions d'euros.
Face à cette augmentation, la procédure
de sanction « ordinaire » de la
Cnil, prévue par les articles 20 et
suivants de la loi du 6 janvier 1978
n°78-17 dite « Informatique et libertés
», ne semblait plus adaptée. La loi
n° 2022-52 du 24 janvier 2022 et son
décret d'application n° 2022-517 du
8 avril 2022 introduisent désormais
une nouvelle procédure de sanctions
dite « simplifiée » qui cohabitera avec
la procédure de sanction « ordinaire ».
La nouvelle procédure de sanction
« simplifiée » répond à l'augmentation
constante des plaintes
et contrôles Cnil et permettra ainsi
de traiter plus rapidement les affaires
les moins complexes... et donc de
sanctionner plus souvent.
Rappel de la procédure de
sanction « ordinaire » de la Cnil
Suite à un contrôle de la Cnil ou à
une plainte, et lorsqu'une violation
du RGPD ou de la loi Informatique et
libertés est constatée par les agents
de la Cnil, une procédure de sanction
est ouverte par la désignation
d'un rapporteur par la présidente de
la Cnil. Ce rapporteur a pour mission
de rédiger un rapport qui fait état des
différents manquements constatés
lors du contrôle Cnil et qui propose
une sanction adaptée. Ce rapport
est ensuite transmis à l'organisme
contrôlé dans un délai d'un mois.
En parallèle, la Présidente de la Cnil
désigne six commissaires qui formeront
la « Formation restreinte » et qui
seront chargés de prononcer la ou
les sanctions. Une séance publique
est ensuite fixée au cours de
laquelle le rapporteur présente son
rapport ;
l'organisme contrôlé
présente ses observations à l'écrit et
peut par la même occasion formuler
des observations à l'oral devant les
membres de la Formation restreinte,
accompagné s'il le souhaite d'un
Conseil.
La Formation restreinte délibère par
la suite à huis clos avant de prononcer
une sanction notifiée à l'organisme
concerné dans les semaines qui
suivent. Les sanctions prononcées
par la Cnil vont du simple rappel
à l'ordre jusqu'à l'amende administrative
pouvant s'élever jusqu'à
20 millions d'euros ou 4% du chiffre
d'affaire annuel mondial de l'organisme
sanctionné. Ces sanctions
peuvent
également
être
rendues
publiques si la Cnil le décide. Il est
par ailleurs possible pour l'organisme
sanctionné de former un recours
devant le Conseil d'Etat.
La procédure de sanction
« simplifiée » : plus rapide,
avec moins de garanties pour
l'organisme sanctionné
La nouvelle procédure de sanction
dite « simplifiée » suit les mêmes
étapes que la procédure ordinaire
: un rapporteur est désigné et
sera chargé de rédiger un rapport
EXPERTISES MAI 2022
qui sera transmis au président de
la Formation restreinte ainsi qu'à
l'organisme contrôlé.
Les différences entre les deux
procédures
sont perçues
par la Cnil comme des
mesures « d'allègement » : le
président de la Formation restreinte
statue seul et aucune séance publique
n'est organisée avec l'organisme
contrôlé pour lui permettre de
formuler ses observations orales et
d'échanger avec les membres de la
Formation restreinte. L'organisme
pourra néanmoins demander à être
entendu. La nature des sanctions est
également plus limitée que pour la
procédure dite « ordinaire », avec des
sanctions ne pouvant s'élever à plus
de 20 000 euros, et qui ne seront pas
rendues publiques.
A ce jour, aucun organisme n'a
encore été sanctionné au titre de
cette nouvelle procédure.
Cependant, nous pouvons légitimement
nous inquiéter de
l'amoindrissement des garanties
qui encadrent cette nouvelle procédure
: sanction prononcée par un
agent unique, des possibilités réduites
voire quasi-inexistantes de plaider
son dossier à l'oral...
Dans un contexte où la Cnil est
à la fois gendarme et juge, il est
important de conserver des gardefous
et de garantir aux organismes
un « procès équitable ».
Alexandra ITEANU
Avocat à la Cour
Cabinet Iteanu
199
Expertises des Systèmes d'information - Mai 2022 - N°479 - Le mensuel du droit de l'informatique et du multimédia

Table des matières de la publication Expertises des Systèmes d'information - Mai 2022 - N°479 - Le mensuel du droit de l'informatique et du multimédia
