Une loi est venue simplifier les procédures de mise en demeure et de sanction de la Cnil afin de fluidifier le traitement des plaintes.
Face à la réception par la Cnil de plaintes toujours plus nombreuses, la loi du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure est venue renforcer et simplifier les pouvoirs de la Cnil à l’encontre des responsables de traitement et sous-traitants.
L’article 33 de la loi prévoit l’insertion d’un nouvel article 22-1 dans la loi du 6 janvier 1978 « Informatique et libertés » relatif à l’introduction d’une procédure simplifiée de sanction devant la formation restreinte de la Cnil. La loi de 2022 a également transformé l’article 20 de la loi « Informatique et libertés » en y ajoutant de nouvelles prérogatives au profit du Président de la formation restreinte ainsi qu’au profit de la Présidente de la Cnil.
Des pouvoirs de la Cnil simplifiés : la nouvelle procédure de sanction
L’article 22-1 de la loi « Informatique et libertés » est venue simplifier les pouvoirs de la Cnil en introduisant une nouvelle procédure de sanction devant elle. La Présidente de la Cnil met en œuvre la procédure simplifiée de sanction lorsqu’elle estime réunies les conditions suivantes :
- Les mesures correctrices (rappel à l’ordre, injonction et amende administrative) constituent la réponse appropriée à la gravité des manquements constatés.
- L’affaire ne présente pas de difficulté particulière car :
- Il existe une jurisprudence établie en la matière et des décisions précédemment rendues par la formation restreinte ou encore ;
- Les questions de fait et de droit que l’affaire présente à trancher sont simples.
La procédure simplifiée se déroule comme suivi dans les hypothèses suivantes :
- Le Président de la formation restreinte peut, pour tout motif, refuser de recourir à la procédure simplifiée ou l’interrompre.
- Dans ce cas, la Présidente de la Cnil reprend la procédure.
- Il statue seul sur la base d’un rapport établi par un agent des services de la Cnil.
Le responsable de traitement et/ou le sous-traitant mis en cause reçoivent reçoivent notification du rapport. L’un et l’autre reçoivent l’information qu’il peuvent :
- se faire représenter ou assister ;
- présenter des observations écrites ;
- demander à être entendu.
La formation restreinte reçoit notification des décisions prises par le Président de la formation restreinte. Elles ne pourront pas être rendues publiques.
Concernant les sanctions, le Président de la formation restreinte peut prendre trois types de mesures :
- Un rappel à l’ordre ;
- Une injonction de mise en conformité éventuellement sous astreinte dont le montant ne peut dépasser 100 euros ;
- Une amende administrative d’un montant ne pouvant excéder 20 000 euros.
Des pouvoirs renforcés : les prérogatives du Président de la formation restreinte
Alors que le Président de la formation restreinte peut statuer seul sur la nouvelle procédure simplifiée, ce ne sont là pas ses seules prérogatives instaurées par la loi du 24 janvier 2022.
Pour rappel, la formation restreinte de la Cnil est composée de 5 membres et d’un Président. Elle est chargée de prononcer diverses sanctions à l’égard des responsables de traitement ou sous-traitants qui ne respecteraient pas la loi et notamment le Règlement Général sur la Protection des Données (RGPD) [1].
En effet, le point IV de l’article 20 de la loi du 6 janvier 1978 « Informatique et libertés » prévoit qu’en cas d’absence de réponse à une précédente mise en demeure et lorsque la formation restreinte a été saisie, le Président de celle-ci peut enjoindre au mis en cause de produire tout élément demandé par la Cnil. Le Président peut assortir cette injonction d’une astreinte dont le montant ne peut excéder 100 euros par jour de retard.
Enfin, le Président de la formation restreinte peut également constater qu’il n’y a plus lieu de statuer.
Le législateur renforce ainsi les pouvoirs de la Cnil et plus précisément ceux du Président de la formation restreinte. Objectif : répondre plus rapidement et plus efficacement aux demandes ne nécessitant pas l’intervention de l’ensemble de la formation restreinte.
Les nouvelles attributions de la Présidente de la Cnil
Au-delà de la possibilité de saisine de la formation restreinte de la Cnil, la Présidente de la Commission détient deux nouvelles attributions instituées dans le point II de l’article 20 de la loi du 6 janvier 1978, renforçant ainsi les pouvoirs de la Cnil.
- Lorsque le responsable de traitement ou sous-traitant ne respecte pas les textes, elle peut le rappeler à ses obligations légales.
Dans le rapport de la Commission des lois de l’Assemblée nationale du 16 septembre 2021, « cette mesure non répressive a vocation, pour les manquements les moins graves, à constituer une alternative à l’ouverture d’une procédure de sanction devant la formation restreinte. »
La Cnil affirme par ailleurs que cette mesure « permettra, pour des manquements mineurs […] de favoriser la mise en conformité des responsables de traitements et sous-traitants ayant méconnu les obligations légales qui s’imposent à eux ».
- La faculté de demander la justification de la mise en conformité.
La Présidente peut demander au responsable de traitement ou sous-traitant de justifier de la mise en conformité dans un délai. Elle « prononce, le cas échéant, la clôture de la procédure de mise en demeure ». Jusqu’alors, cette justification était nécessaire à la clôture de chaque mise en demeure [2].
Virginie Bensoussan-Brulé
Tess Muckensturm
Marion Tête-Simler, étudiante en droit Université Paris 1 Panthéon Sorbonne
Lexing Contentieux numérique
[1] Cnil « Formation restreinte », Cnil.
[2] Jean-François ELIAOU, Jean-Michel MIS et Naïma MOUTCHOU « Rapport fait au nom de la Commission des lois constitutionnelles, de la législation et de l’administration générale de la République, après engagement de la procédure accélérée, sur le Projet de loi relatif à la responsabilité pénale et à la sécurité intérieure » Assemblée Nationale, 16 septembre 2021.