Posted by 
Décret no 2022-517 du 8 avril 2022 modifiant le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés
Le décret modifie le décret no 2019-536 du 29 mai 2019 pris pour l’application de la loi no 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, telle que modifiée par l’article 33 de la loi no 2022-52 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure.
Eléonore Scaramozzino, Avocat Partenaire, Constellation Avocats
Le décret du 8 avril 2022 adapte les règles de procédures de mise en demeure et de sanctions devant la CNIL. Il assouplit la procédure ordinaire de sanction devant la formation restreinte en n’encadrant plus le nombre d’échanges contradictoires et en allongeant les délais pour produire. Il définit les modalités de la procédure simplifiée de sanction et de la procédure d’injonction à produire en cas d’absence de réponse à une mise en demeure devant le président de la formation restreinte, introduites par la loi no 2022-52 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure.
La procédure d’injonction de produire
Lorsqu’une injonction de produire est susceptible d’être prononcée en application du IV de l’article 20 de la loi du 6 janvier 1978, la présidente de la Cnil désigne le rapporteur parmi les agents des services de la commission. Le président de la formation restreinte statue sur la base d’un rapport établi par cet agent. Le rapport est notifié au mis en cause et au président de la formation restreinte, par tout moyen permettant d’apporter la preuve de la date de cette notification. Le rapporteur peut proposer au président de la formation restreinte d’enjoindre au mis en cause de produire les éléments demandés et, s’il y a lieu, d’assortir son injonction d’une astreinte journalière. Le mis en cause dispose d’un délai de quinze jours pour présenter ses observations. Aucune séance n’est organisée. Le président de la formation restreinte fixe le délai d’exécution de l’injonction et, le cas échéant, le montant de l’astreinte journalière. Le mis en cause transmet au président de la formation restreinte, au plus tard à la date fixée dans la décision de ce dernier, les éléments attestant qu’il s’est conformé à l’injonction prononcée à son encontre.
En cas d’inexécution totale ou partielle ou d’exécution tardive, le président de la formation restreinte peut procéder à la liquidation de l’astreinte qu’il avait prononcée. Le montant de l’astreinte est liquidé en tenant compte des éléments transmis, le cas échéant, par le mis en cause et de toute autre information pertinente.
La procédure simplifiée (art 22-1 de la loi du 6 janvier 1978)
La présidente de la Cnil peut orienter les dossiers peu complexe ou de faible gravité vers une procédure de sanction dite simplifiée. La président de la Cnil désigne le rapporteur parmi les agents des services de la commission et en informe le président de la formation restreinte. Ce dernier statue seul sur l’affaire ou la confie à un membre de la formation restreinte qu’il désigne. La procédure simplifiée suit les mêmes étapes que la procédure ordinaire.
La procédure simplifiée est une procédure écrite. Le mis en cause est avisé qu’il peut demander à être entendu lors d’une séance à laquelle il pourra présenter des observations orales. Les décisions ne sont pas rendues publiques.
Limitation des sanctions
Les sanctions susceptibles d’être prononcées dans ce cadre sont limitées au rappel à l’ordre, à une amende d’un montant maximum de 20 000 € et à une injonction avec astreinte plafonnée à 100 € par jour de retard. Ces sanctions ne peuvent pas être rendues publiques
Interruption de la procédure simplifiée
Lorsque le président de la formation restreinte ou le membre qu’il a désigné refuse de recourir à la procédure simplifiée ou interrompt cette procédure, il en informe le président de la commission et le mis en cause. La présidente de la Cnil désigne alors un rapporteur parmi les membres de celle-ci et l’instruction se poursuit selon la procédure prévue à la sous-section 2, l’ensemble des pièces antérieures demeurant au dossier.
Coopération UE sur le projet de décision
Dans l’hypothèse selon laquelle, l’organisme est établi dans au moins autre Etat membre ou le traitement affecte des résidents des Autres Etats membres, les autorités de contrôle concernées sont informées de la date de la séance de la formation restreinte prévue à l’article 40 et, le cas échéant, de la séance prévue à l’article 45-2, en même temps que le mis en cause. Elles reçoivent toute information utile, notamment les observations en défense du mis en cause. Elles sont mises en mesure d’assister à la séance par le biais d’outils de visioconférence ou communication électronique permettant leur identification, ou de prendre connaissance du procès-verbal dressé à l’issue de la séance. » ;
Objection des autorités de contrôle concernées sur la mesure correctrice proposée
La formation restreinte, son président ou le membre qu’il a désigné à cet effet rouvre l’instruction et communique sans tarder ces objections au rapporteur désigné en application des articles 22 et 22-1 de la loi du 6 janvier 1978 susvisée, afin qu’il fasse part de ses observations et, le cas échéant, modifie son rapport. Le mis en cause dispose d’un délai de quinze jours, renouvelable une fois sur décision du président de la formation restreinte ou du membre qu’il a désigné à cet effet, pour faire part de ses observations. La formation restreinte, son président ou le membre qu’il a désigné à cet effet délibère ensuite sur la prise en compte des objections »
Mesures correctrices dépassant le plafond de la procédure simplifiée : retour à la procédure ordinaire
S’il estime que les objections des autorités de contrôle concernées justifient l’adoption de mesures correctrices dépassant les plafonds prévus à l’alinéa 2 de l’article 22-1 de la loi du 6 janvier 1978, le président de la formation restreinte ou le membre qu’il a désigné à cet effet interrompt la procédure simplifiée et en informe le président de la commission pour que ce dernier engage la procédure ordinaire.
Procédures de sanction de la CNIL
