Le décret du 8 avril 2022 met en application l’optimisation des procédures de sanction de la Cnil prévue par la loi du 24 janvier 2022 venue modifier la loi du 6 janvier 1978. Se faisant, il modifie le décret du 29 mai 2019 qui a été pris pour appliquer la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
Cette loi a principalement instauré une procédure de sanction simplifiée pour mieux gérer les nombreuses plaintes reçues par la CNIL depuis l’entrée en vigueur du RGPD (1).
Le décret d’application du 8 avril 2022 est venu ajuster la procédure de sanction simplifiée. Il a par ailleurs, réformé la procédure de sanction ordinaire de la CNIL.
L’ajustement de la procédure de sanction simplifiée
D’une part, le décret du 8 avril 2022 vient définir la mise en œuvre de la procédure de sanction simplifiée. D’après la loi du 24 janvier 2022 :
- cette procédure se déroule sans audience et
- la mesure est prononcée seule par le président de la formation restreinte ou le membre désigné par lui.
La procédure de sanction simplifiée s’applique aux dossiers les moins complexes.
Ces dossiers sont ensuite susceptibles :
- d’un rappel à l’ordre,
- d’une injonction sous astreinte dans la limite de 100 euros par jour de retard ou
- d’une amende administrative qui ne peut pas excéder 20 000 euros.
En outre, à tout moment, un non-lieu pourra être prononcé par le président de la formation restreinte sans que l’organisation d’une séance de cette formation ait lieu.
S’ajoute à cela, que des personnes extérieures, des experts externes à la CNIL, pourront désormais devenir rapporteurs en ce qui concerne la procédure simplifiée.
La réforme des procédures de sanction ordinaire
De l’autre part, ce décret a modifié plusieurs points de la procédure de sanction ordinaire.
Premièrement, les délais pour produire des observations se trouve rallongés. Le rapporteur et le mis en cause auront désormais un délai identique d’un mois qui pourra être prolongé par eux. Avant la réforme ce délai était fixé à 15 jours.
Deuxièmement, le nombre d’échanges contradictoires entre le mis en cause et les agents ne sera désormais plus encadré.
Par ailleurs, des personnes extérieures à la CNIL pourront désormais assister le rapporteur lors de la procédure ordinaire.
Les autres modifications de procédures par le décret du 8 avril 2022
En outre, le décret du 8 avril 2022 traite dans la mise en place de la procédure d’injonction, instaurée par la loi du 24 janvier 2022, qui s’appliquera quand un responsable de traitement ou un sous-traitant n’auront pas réagi à une mise en demeure. Cela tombera dans le champ de compétence du président de la formation restreinte dont les pouvoirs sont élargis par ce décret.
Finalement, le rapporteur pourra classer une procédure sans suite en cas d’absence de manquements ou si le mis en cause cesse d’exister juridiquement.
L’objectif principal de ce décret est ainsi d’assouplir le recours aux mises en demeure ou aux sanctions devant la CNIL.
Virginie Bensoussan-Brulé,
Marion Catier,
Amélie Reilhac, étudiante en droit, double licence en droit à l’Université Panthéon-Assas et en informatique à Sorbonne Université.
Lexing Contentieux numérique
(1) Voir notre article, « Renforcement et simplification des pouvoirs de sanction de la CNIL », Post du 25 février 2022.