Texte original du RGPD

1. Les États membres déterminent le régime des autres sanctions applicables en cas de violations du présent règlement, en particulier pour les violations qui ne font pas l’objet des amendes administratives prévues à l’article 83, et prennent toutes les mesures nécessaires pour garantir leur mise en oeuvre. Ces sanctions sont effectives, proportionnées et dissuasives.

2. Chaque État membre notifie à la Commission les dispositions légales qu’il adopte en vertu du paragraphe 1, au plus tard le … [deux ans à compter de la date d’entrée en vigueur du présent règlement], et, sans tarder, toute modification ultérieure les concernant.

Équivalent directive 95/46 CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données. 

Article 24

Les États membres prennent les mesures appropriées pour assurer la pleine application des dispositions de la présente directive et déterminent notamment les sanctions à appliquer en cas de violation des dispositions prises en application de la présente directive.

Équivalent de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (loi Informatique et Liberté).

Article  20

Modifié par l’ordonnance n° 2018-1125 du 12 décembre 2018

I- Le président de la Commission nationale de l’informatique et des libertés peut avertir un responsable de traitement ou son sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi.

II- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe :

1° De satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits ;

2° De mettre les opérations de traitement en conformité avec les dispositions applicables ;

3° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense, de communiquer à la personne concernée une violation de données à caractère personnel ;

4° De rectifier ou d’effacer des données à caractère personnel, ou de limiter le traitement de ces données.

Dans le cas prévu au 4° du présent II, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou son sous-traitant de notifier aux destinataires des données les mesures qu’il a prises.

Le délai de mise en conformité peut être fixé à vingt-quatre heures en cas d’extrême urgence.

Le président prononce, le cas échéant, la clôture de la procédure de mise en demeure.

Le président peut demander au bureau de rendre publique la mise en demeure. Dans ce cas, la décision de clôture de la procédure de mise en demeure fait l’objet de la même publicité.

III- Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi, le président de la Commission nationale de l’informatique et des libertés peut également, le cas échéant après lui avoir adressé l’avertissement prévu au I du présent article ou, le cas échéant en complément d’une mise en demeure prévue au II, saisir la formation restreinte de la commission en vue du prononcé, après procédure contradictoire, de l’une ou de plusieurs des mesures suivantes :

1° Un rappel à l’ordre ;

2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ;

3° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense ou de ceux relevant du titre III de la présente loi lorsqu’ils sont mis en œuvre pour le compte de l’Etat, la limitation temporaire ou définitive du traitement, son interdiction ou le retrait d’une autorisation accordée en application du même règlement ou de la présente loi ;

4° Le retrait d’une certification ou l’injonction, à l’organisme certificateur concerné, de refuser une certification ou de retirer la certification accordée ;

5° A l’exception des traitements qui intéressent la sûreté de l’Etat ou la défense ou de ceux relevant du titre III de la présente loi lorsqu’ils sont mis en œuvre pour le compte de l’Etat, la suspension des flux de données adressées à un destinataire situé dans un pays tiers ou à une organisation internationale ;

6° La suspension partielle ou totale de la décision d’approbation des règles d’entreprise contraignantes ;

7° A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83.

Le projet de mesure est, le cas échéant, soumis aux autres autorités de contrôle concernées selon les modalités définies à l’article 60 du même règlement.

Article  21

I- Lorsque le non-respect des dispositions du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi entraîne une violation des droits et libertés mentionnés à l’article 1er de la présente loi et que le président de la commission considère qu’il est urgent d’intervenir, il saisit la formation restreinte, qui peut, dans le cadre d’une procédure d’urgence contradictoire définie par décret en Conseil d’Etat, adopter l’une des mesures suivantes :

1° L’interruption provisoire de la mise en œuvre du traitement, y compris d’un transfert de données hors de l’Union européenne, pour une durée maximale de trois mois, si le traitement n’est pas au nombre de ceux qui intéressent la sûreté de l’Etat ou la défense ou de ceux relevant du titre III lorsqu’ils sont mis en œuvre pour le compte de l’Etat ;

2° La limitation du traitement de certaines des données à caractère personnel traitées, pour une durée maximale de trois mois, si le traitement n’est pas au nombre de ceux qui intéressent la sûreté de l’Etat ou la défense ou de ceux relevant du titre III lorsqu’ils sont mis en œuvre pour le compte de l’Etat ;

3° La suspension provisoire de la certification délivrée au responsable de traitement ou à son sous-traitant ;

4° La suspension provisoire de l’agrément délivré à un organisme de certification ou un organisme chargé du respect d’un code de conduite ;

5° La suspension provisoire de l’autorisation délivrée sur le fondement du III de l’article 66 de la présente loi ;

6° L’injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans le cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ;

7° Un rappel à l’ordre ;

8° L’information du Premier ministre pour qu’il prenne, le cas échéant, les mesures permettant de faire cesser la violation constatée, si le traitement en cause est au nombre de ceux qui intéressent la sûreté de l’Etat ou la défense ou de ceux relevant du titre III de la présente loi lorsqu’ils sont mis en œuvre pour le compte de l’Etat. Le Premier ministre fait alors connaître à la formation restreinte les suites qu’il a données à cette information au plus tard quinze jours après l’avoir reçue.

II- En cas de circonstances exceptionnelles prévues au 1 de l’article 66 du règlement (UE) 2016/679 du 27 avril 2016, lorsque la formation restreinte adopte les mesures provisoires prévues aux 1° à 4° du I du présent article, elle informe sans délai de la teneur des mesures prises et de leurs motifs les autres autorités de contrôle concernées, le comité européen de la protection des données mentionné à l’article 68 du même règlement et la Commission européenne.

Lorsque la formation restreinte a pris de telles mesures et qu’elle estime que des mesures définitives doivent être prises, elle met en œuvre les dispositions du 2 de l’article 66 du règlement (UE) 2016/679 du 27 avril 2016.

III- Pour les traitements relevant du règlement (UE) 2016/679 du 27 avril 2016, lorsqu’une autorité de contrôle compétente en application du même règlement n’a pas pris de mesure appropriée dans une situation où il est urgent d’intervenir afin de protéger les droits et libertés des personnes concernées, la formation restreinte, saisie par le président de la commission, peut demander au comité européen de la protection des données un avis d’urgence ou une décision contraignante d’urgence dans les conditions et selon les modalités prévues aux 3 et 4 de l’article 66 dudit règlement.

IV- En cas d’atteinte grave et immédiate aux droits et libertés mentionnés à l’article 1er de la présente loi, le président de la commission peut en outre demander, par la voie du référé, à la juridiction compétente d’ordonner, le cas échéant sous astreinte, toute mesure nécessaire à la sauvegarde de ces droits et libertés.

Article 22

Les mesures prévues au III de l’article 20 et aux 1° à 7° du I de l’article 21 de la présente loi sont prononcées sur la base d’un rapport établi par l’un des membres de la Commission nationale de l’informatique et des libertés, désigné par le président de celle-ci parmi les membres n’appartenant pas à la formation restreinte. Ce rapport est notifié au responsable de traitement ou à son sous-traitant, qui peut déposer des observations et se faire représenter ou assister. Le rapporteur peut présenter des observations orales à la formation restreinte mais ne prend pas part à ses délibérations. La formation restreinte peut entendre toute personne dont l’audition lui paraît susceptible de contribuer utilement à son information, y compris les agents des services de la commission.

La formation restreinte peut rendre publiques les mesures qu’elle prend. Elle peut également ordonner leur insertion dans des publications, journaux et supports qu’elle désigne, aux frais des personnes sanctionnées.

Sans préjudice des obligations d’information qui incombent au responsable de traitement ou à son sous-traitant en application de l’article 34 du règlement (UE) 2016/679 du 27 avril 2016, la formation restreinte peut ordonner que ce responsable ou ce sous-traitant informe individuellement, à ses frais, chacune des personnes concernées de la violation relevée des dispositions de la présente loi ou du règlement précité ainsi que, le cas échéant, de la mesure prononcée.

Lorsque la formation restreinte a prononcé une sanction pécuniaire devenue définitive avant que le juge pénal ait statué définitivement sur les mêmes faits ou des faits connexes, celui-ci peut ordonner que l’amende administrative s’impute sur l’amende pénale qu’il prononce.

L’astreinte est liquidée par la formation restreinte, qui en fixe le montant définitif.

Les sanctions pécuniaires et les astreintes sont recouvrées comme les créances de l’Etat étrangères à l’impôt et au domaine.

Analyse des 3 textes qui précèdent

Texte original du RGPD (article 84)

• Les États membres déterminent le régime des autres sanctions applicables en cas de violations du RGPD, en particulier pour celles qui ne font pas l’objet d’amendes administratives.
• Ils doivent prendre toutes les mesures nécessaires pour garantir la mise en œuvre effective de ces sanctions.
• Ces sanctions doivent être effectives, proportionnées et dissuasives.
• Les États membres notifient à la Commission leurs dispositions légales relatives à ces sanctions et leurs modifications.

Directive 95/46/CE (article 24)

• Elle appelle à ce que les États membres prennent des mesures pour assurer l’application des dispositions de la directive, incluant les sanctions en cas de violation, sans cependant détailler la nature de celles-ci.

Loi Informatique et Libertés (articles 20 à 22)

• Elle prévoit une large palette de mesures correctrices, allant des avertissements, mises en demeure, injonctions, suspensions provisoires ou définitives de traitement, retraits de certifications, suspension des transferts de données, à des amendes administratives avec plafonds précis.
• Elle encadre les procédures d’adoption de ces mesures par la CNIL, avec garanties procédurales, possibilité de recours, publicité des mesures, et même la possibilité de procédures d’urgence.
• Ces mesures visent à sanctionner efficacement les non-conformités, qu’elles relèvent du secteur public ou privé.

Jurisprudences 

Françaises 

CE Fr., n°412589 (6 juin 2018)

Point: cookies et responsabilité du traitement; responsabilités des éditeurs et des tiers déposant des cookies.

Implication: démontre comment l’application du RGPD et les sanctions (article 83/84) s’appliquent dans des contextes techniques (cookies), et comment les acteurs peuvent être tenus responsables à différents niveaux.

CE Fr., n°416505 (21 juin 2018)

Point: plaignant peut contester les suites d’une plainte et les informations communiquées par la CNIL; droit à l’information et recours.

Implication: renforce les garanties de procédure et l’accès à la justice dans le cadre des sanctions et des suites de contrôle.

CE Fr., n°422575 (17 avril 2019)

Point: sanctions en l’absence de mise en demeure préalable (formation restreinte peut sanctionner sans mise en demeure lorsque les manquements ne sont pas susceptibles d’être régularisés).

Implication: précise les conditions dans lesquelles la sanction peut être prononcée rapidement, ce qui cadre avec les dispositions de l’article 83 RGPD et l’article 20/45 de la loi française.

CE Fr., n°434376 (6 novembre 2019)

Point: obligation d’analyse d’impact (article 35 du RGPD) et sa relation avec les sanctions en CNIL; l’absence d’analyse peut conduire à des sanctions, mais le cadre est nuancé.

Implication: montre l’importance de l’anticipation des risques et des obligations préalables; les sanctions doivent tenir compte de la conformité préexistante et des mesures prises.

CE Fr., n°433311 (4 novembre 2020)

Point: rappel que l’imposition d’une sanction par la CNIL n’est pas subordonnée à une mise en demeure préalable.

Implication: aligne la pratique française sur les flexibilités prévues par le RGPD, tout en restant dans le cadre procédural et des garanties.

Recommandations 

G29 

Lignes directrices sur l’application et la fixation des amendes administratives – wp253 (3 octobre 2017)