La Cnil veut simplifier ses actions répressives

Traiter plus rapidement les dossiers peu complexes ou de faible gravité ? C’est désormais possible pour la Commission nationale de l’informatique et des libertés. En 2021, la Cnil a reçu 14 000 plaintes – malgré un nombre croissant de mesures correctrices – 18 sanctions et 135 mises en demeure. Tous les dossiers ne sont toutefois pas équivalents pour ce qui est de la gravité, des questions juridiques et technologiques soulevées et des conséquences pour les personnes. Ils appellent donc des politiques répressives souples et différenciées : c’est tout l’objet des modifications de la loi Informatique et libertés et de son décret d’application, datés du 24 janvier et du 8 avril 2022.

Des modifications pour les procédures correctrices

La Cnil est intervenue sur deux axes : la création d’une procédure simplifiée et la modification de la procédure ordinaire. La création d’une procédure simplifiée concerne les dossiers peu complexes ou de faible gravité. Délais, procédure contradictoire… Les étapes restent les mêmes que celles de la procédure ordinaire, mais ses modalités de mise en œuvre seront allégées. La présidente de la Cnil pourra saisir le président de la formation restreinte et désigner un rapporteur parmi les agents de l’autorité, chargé d’instruire le dossier. Ce dernier statuera seul et aucune séance publique ne sera organisée, sauf si l’organisme demande à être entendu. Dans le cadre de cette procédure, les sanctions susceptibles d’être prononcées sont limitées au rappel à l’ordre, à une amende d’un montant maximum de 20 000 euros et à une injonction avec astreinte plafonnée à 100 euros par jour de retard, des sanctions qui ne peuvent être rendues publiques.

Procédure ordinaire clarifiée

La procédure ordinaire a, quant à elle, fait l’objet d’une réforme pour être ajustée sur certains points, tels que le rallongement des délais pour formuler des observations, la possibilité pour un nouveau rapporteur de se fonder sur le travail d’instruction mené par un précédent rapporteur devenu, et la possibilité pour le président de la formation restreinte de décider seul qu’il n’y a plus lieu de statuer.

Un ajustement de la procédure de mise en demeure

Toujours dans l’objectif de simplifier les procédures correctrices, les mises en demeure, parties intégrantes des missions de contrôle et de sanction de la Cnil, pourront désormais être adressées sans exiger de réponse écrite de la part des organismes. Ces derniers seront tenus de se mettre en conformité dans le délai fixé par la Cnil, mais n’auront plus à lui fournir des éléments de preuve de cette mise en conformité. Elle pourra être vérifiée par d’autres moyens, notamment lors d’un contrôle ultérieur. À noter, également : la disparition du plafond de six mois encadrant le délai de conformité déterminé dans les mises en demeure.

Anaëlle Demolin