Ce qu’il faut retenir :
Une loi en date du 24 janvier 2022 a renforcé les prérogatives répressives de la CNIL par l’élargissement des pouvoirs de son président et par la création d’une procédure simplifiée de sanction en cas de non-conformité à la Réglementation relative à la protection des données.
Pour approfondir :
Dans un communiqué récent, la CNIL a mis en lumière les actions menées en 2021 dans le cadre de ses pouvoirs répressifs. La CNIL a énoncé que cette année record en termes de sanctions était « une année sans précédent, tant par le nombre de mesures adoptées (18 sanctions et 135 mises en demeure) que par le montant cumulé des amendes, qui atteint plus de 214 millions d’euros ». Dans ce contexte, la loi n°2022-52 du 24 janvier 2022 a élargi les pouvoirs répressifs conférés au président de l’autorité de contrôle et a mis en place une procédure simplifiée de sanction.
D’une part, il doit être souligné que le président de la CNIL peut désormais rappeler à ses obligations légales le responsable de traitement ou le sous-traitant défaillant, ou si le manquement est susceptible de faire l’objet d’une mise en conformité, le mettre en demeure.
Aux termes de la loi commentée, un nouvel article 22-1 est insérée dans la loi Informatique et libertés prévoyant les conditions de la mise en œuvre de cette nouvelle procédure.
Dédiée aux affaires qui ne présentent pas de difficultés particulières, cette nouvelle prérogative vise à simplifier la gestion des nombreuses affaires confiées à la CNIL. La complexité de l’affaire s’analyse compte tenu des décisions précédemment rendues par la formation restreinte, de la jurisprudence établie ou encore de la simplicité des questions tant en fait qu’en droit. Après avoir été saisi, le président de la formation restreinte de la CNIL ou l’un de ses membres désignés peut alors statuer sur la base d’un rapport établi par un agent habilité et sous l’autorité du président de la Commission.
Le responsable de traitement ou le sous-traitant visé par la procédure simplifiée est notifié dudit rapport et est informé qu’il peut se faire représenter ou assister, présenter des observations écritures et demander à être entendu.
Si le président de la formation restreinte ou l’un de ses membres désignés peut solliciter les observations de toute personne dans le cadre de la procédure simplifiée, les décisions prises ne sont pas rendues publiques.
Par ailleurs, la formation restreinte est informée des décisions prises selon la procédure simplifiée.
Il doit être précisé que le juge unique désigné peut pour tout motif refuser de recourir à une procédure simplifiée ou l’interrompre. Dans une telle hypothèse, le président de l’autorité de contrôle reprend la procédure de droit commun.
Au terme de la procédure simplifiée, trois types de sanctions peuvent être prononcées : un rappel à l’ordre, une injonction de mise en conformité sous astreinte ne dépassant pas 100 euros par jour de retard, ou une amende administrative ne dépassant pas 20.000 euros.
Enfin, il doit être noté que les modalités de la mise en œuvre de la procédure simplifiée et les garanties applicables en matière de conflits d’intérêts des agents désignés seront fixées en décret en Conseil d’état.
