« Le 24 janvier puis le 8 avril 2022, les procédures répressives de la CNIL ont été modifiées : une procédure simplifiée a notamment été créée pour les dossiers peu complexes » [1].

La procédure de sanction simplifiée mise en place par la Commission nationale de l’informatique et des libertés (CNIL) a été créé dans l’objectif de sanctionner rapidement et efficacement les infractions mineures commises par toutes les structures, sans distinction de taille ou de secteur d’activité (de la TPE à l’ETI, de l’association à l’organisme public).

En pratique, le contrôle CNIL est peu craint de nombreuses structures dont la taille ou le secteur d’activité permet d’espérer une invisibilité ou une non-priorité de contrôle vis-à-vis de la CNIL. La procédure de sanction simplifiée vient rappeler l’obligation légale de la mise en conformité s’imposant à tous et permet à la CNIL de remplir plusieurs objectifs assumés : le traitement du nombre croissant de plaintes reçues et l’apport d’une réponse répressive aux non-conformités jugées mineures.

Dans quel cadre la procédure de sanction simplifiée peut-elle être appliquée ?

Cette procédure s’applique lorsque l’infraction est considérée comme mineure, c’est-à-dire qu’elle ne porte pas atteinte aux droits et libertés des personnes concernées.

Elle concerne également les cas où l’organisme mis en cause reconnaît les faits et accepte la sanction proposée.

En quoi est-elle simplifiée ?

Cette procédure permet à la Présidente de l’autorité de contrôle de saisir le président de la formation restreinte qui rend une décision de sanction sans passer par une instruction longue et complexe. Elle est facile à déployer dans la mesure où le président de la formation restreinte statue seul et aucune séance publique n’est organisée (sauf à la demande de l’organisme qui souhaite être entendu), ce qui a pour conséquence d’accélérer considérablement le processus de sanction.

A quelles sanctions expose la procédure simplifiée ?

Les sanctions encourues sont : le rappel à l’ordre, une amende d’un montant maximum de 20 000 euros ou encore une injonction avec astreinte plafonnée à 100 euros par jour de retard. Depuis la réforme des procédures correctrices de la CNIL (avril 2022), ces sanctions ne peuvent pas être rendues publiques. La CNIL précise que les sanctions trouvent majoritairement pour origine l’émission de plaintes auprès de l’autorité de contrôle.

Selon le Bilan 2022 rendu par la CNIL [2] sur l’application de la procédure de sanction simplifiée :

« Les amendes prononcées à ce jour s’échelonnent entre 5 000 euros et 15 000 euros avec, pour la moitié d’entre elles, des injonctions sous astreinte (c’est-à-dire des pénalités financières en cas de retard de mise en conformité). Elles visent des acteurs divers (par exemple, une université et des médecins). Elles portent également sur des thématiques variées, et concernent tant l’utilisation de fichiers administratifs à des fins de communication politique, que la vidéosurveillance des salariés, le non-respect des droits des personnes ou le défaut de coopération avec la CNIL ».

Myriam Guerbaa Doctorante en Droit privé Juriste spécialisée en Droit de la propriété intellectuelle et des TIC