Liquidation d’une astreinte CNIL pour absence de désignation d’un délégué à la protection des données

L’article 44 du décret n° 2019-536 du 29 mai 2019 prévoit qu’une astreinte peut assortir une injonction de mise en conformité. En cas d’inexécution totale, partielle ou tardive, la formation restreinte procède à sa liquidation en tenant compte des éléments transmis, du comportement du responsable de traitement et des difficultés d’exécution éventuellement rencontrées, notamment lorsqu’une cause étrangère aux capacités de mise en conformité est établie.

La procédure de liquidation impose que les motifs et le montant envisagés soient portés à la connaissance du responsable de traitement, qui dispose de quinze jours pour présenter des observations écrites. En l’absence de réponse et d’élément attestant la désignation d’un délégué à la protection des données, la CNIL a retenu l’inexécution de l’injonction et liquidé l’astreinte à hauteur de 6 900 euros pour la période concernée.

La décision est rendue publique. Elle peut faire l’objet d’un recours devant le Conseil d’État dans le délai prévu par l’article R.421-7 du code de justice administrative.

⬇️Télécharger la décision version officielle

Après une injonction imposant la désignation d’un délégué à la protection des données sous astreinte, la commune n’a transmis aucun élément justifiant son exécution. Pour la période du 19 février au 4 avril 2024, la formation restreinte a liquidé l’astreinte à 6 900 euros et décidé de publier sa délibération pendant un an.

La commune avait fait l’objet d’une décision de la formation restreinte lui imposant une amende administrative de 5 000 euros et la désignation d’un délégué à la protection des données, sous astreinte de 150 euros par jour de retard après l’expiration d’un délai de deux mois.

La CNIL a ensuite informé la commune qu’elle envisageait de liquider l’astreinte pour la période du 19 février au 4 avril 2024. Elle lui a communiqué les motifs et le montant envisagé, en lui accordant quinze jours pour présenter des observations écrites.

La commune n’a transmis aucune observation ni aucun élément attestant la désignation du délégué. La formation restreinte a donc constaté l’inexécution de l’injonction, liquidé l’astreinte à 6 900 euros et décidé de rendre publique sa délibération pendant un an sous cette forme.

• Injonction préalable de désigner un délégué à la protection des données
• Expiration du délai imparti pour se mettre en conformité
• Inexécution totale, partielle ou tardive de l’injonction
• Absence d’éléments attestant la mise en conformité
• Prise en compte du comportement et des difficultés d’exécution
• Notification des motifs et du montant envisagé
• Possibilité de transmettre des observations écrites sous quinze jours

• Décision antérieure imposant la désignation d’un délégué
• Notification de l’injonction et du délai de mise en conformité
• Absence d’élément attestant la désignation du délégué
• Notification des motifs et du montant de liquidation
• Absence d’observations écrites dans le délai de quinze jours

La commune doit acquitter l’astreinte liquidée et reste exposée à la publicité de la décision. La procédure confirme que l’absence de justificatif de mise en conformité suffit à établir l’inexécution lorsque le responsable ne présente aucun élément contraire.

• Paiement de l’astreinte liquidée à 6 900 euros
• Désignation effective d’un délégué à la protection des données
• Conservation des justificatifs de mise en conformité
• Réponse écrite dans le délai contradictoire de quinze jours
• Anticipation d’un recours devant le Conseil d’État

À faire

• Désigner effectivement le délégué à la protection des données
• Conserver la preuve formelle de cette désignation
• Répondre aux notifications de liquidation sous quinze jours
• Documenter les difficultés éventuelles de mise en conformité
• Vérifier le délai de recours devant le Conseil d’État

À éviter

• Laisser expirer le délai fixé par l’injonction
• Ne transmettre aucun justificatif à la CNIL
• Négliger la procédure contradictoire de liquidation
• Invoquer des difficultés sans éléments probants
• Ignorer les conséquences de la publication de la décision

L’article 44 du décret n° 2019-536 et la liquidation d’une astreinte

En cas d’inexécution totale, partielle ou tardive d’une injonction de mise en conformité, la formation restreinte procède à la liquidation de l’astreinte prononcée. Le montant tient compte des éléments transmis, du comportement du responsable de traitement et des difficultés d’exécution, notamment lorsqu’une cause étrangère aux capacités de mise en conformité est établie. La décision a retenu l’absence de désignation du délégué à la protection des données.

La procédure contradictoire de liquidation de l’astreinte

L’article 44, paragraphes 4 et 5, du décret n° 2019-536 impose de notifier les motifs et le montant envisagé. Le responsable de traitement dispose ensuite de quinze jours pour adresser des observations écrites. L’absence d’observations de la commune n’a pas fait obstacle à la liquidation, la formation restreinte ayant constaté l’absence de tout élément justificatif.

La publicité d’une décision de liquidation d’astreinte

La formation restreinte peut rendre publique la décision prononçant la liquidation afin d’informer des suites données à l’injonction et à la sanction précédemment publiées. La délibération est publiée sur les sites de la CNIL et de Légifrance, sans identification nominative après un délai d’un an.

Article 31 du règlement (UE) 2016/679, Article 37 du règlement (UE) 2016/679, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 44 du décret n° 2019-536 du 29 mai 2019, Article R.421-7 du code de justice administrative