Désignation obligatoire d’un DPD par les collectivités publiques et sanctions CNIL

L’article 37, paragraphe 1, a), du RGPD impose aux autorités et organismes publics de désigner un délégué à la protection des données, à l’exception des juridictions agissant dans leur fonction juridictionnelle. Cette obligation s’appliquait à la commune depuis le 25 mai 2018. La formation restreinte rappelle que le DPD exerce notamment les missions prévues à l’article 39 du RGPD et constitue un point de contact pour l’autorité de contrôle et les personnes concernées, conformément à l’article 38-4 du RGPD.

L’absence persistante de désignation caractérise un manquement à l’article 37, paragraphe 1, a). Le défaut de réponse aux sollicitations, à la mise en demeure et à l’injonction antérieure constitue également un manquement à l’obligation de coopération prévue par l’article 31 du RGPD.

Sur le fondement de l’article 20, III, de la loi du 6 janvier 1978, la formation restreinte peut prononcer une injonction assortie d’une astreinte et une amende administrative. Le montant de l’amende est apprécié au regard des critères de l’article 83 du RGPD, notamment la nature, la gravité et la durée de la violation, la coopération avec l’autorité et la situation de l’organisme. La persistance des manquements et l’absence de coopération justifient une amende de 5 000 euros, une injonction de désigner un DPD sous deux mois, assortie d’une astreinte de 150 euros par jour, ainsi que la publicité de la décision.

⬇️Télécharger la décision version officielle

Une commune n’avait pas désigné de délégué à la protection des données malgré une mise en demeure et une première décision de la CNIL lui imposant cette désignation. Restée silencieuse et absente lors de la nouvelle procédure, elle a été sanctionnée pour l’absence persistante de DPD et son défaut de coopération. La CNIL a prononcé une amende de 5 000 euros, une injonction sous astreinte et des mesures de publicité.

Une commune employant des agents publics et exerçant des missions de service public n’avait pas désigné de délégué à la protection des données depuis l’entrée en application du RGPD.

Après une alerte restée sans réponse, la CNIL lui a adressé une mise en demeure, puis une première décision lui imposant une amende et une injonction de désigner un DPD. La commune n’a répondu à aucune de ces démarches et n’a pas procédé à la désignation.

Une nouvelle procédure a été engagée. La commune, régulièrement convoquée, n’a pas comparu devant la formation restreinte. Celle-ci a retenu l’absence persistante de DPD et le défaut de coopération avec la CNIL. Elle a prononcé une amende de 5 000 euros, une injonction sous astreinte, ainsi que différentes mesures de publicité.

• Être une autorité ou un organisme public soumis à l’article 37 du RGPD
• Constater l’absence de désignation d’un délégué à la protection des données
• Établir la persistance du manquement depuis le 25 mai 2018
• Constater l’absence de réponse aux demandes de la CNIL
• Prendre en compte la nature, la gravité et la durée des violations
• Apprécier la coopération et la situation financière du responsable

• Courrier d’alerte de la CNIL resté sans réponse
• Mise en demeure notifiée par lettre recommandée avec accusé de réception
• Décision antérieure imposant une amende et une désignation
• Absence de réponse aux correspondances et injonctions
• Pièces financières relatives aux déficits budgétaires de la commune

La commune doit désigner un délégué à la protection des données dans le délai fixé et répondre aux demandes de la CNIL. À défaut, elle s’expose à l’astreinte journalière, aux mesures de publicité et au maintien de la sanction administrative.n

• Désignation effective d’un DPD dans un délai de deux mois
• Paiement de l’amende administrative de 5 000 euros
• Exposition à une astreinte de 150 euros par jour de retard
• Publication temporaire d’un communiqué sur le site communal
• Coopération documentée avec la CNIL lors des contrôles

À faire

• Désigner formellement un délégué à la protection des données
• Notifier la désignation à la CNIL
• Répondre à toutes les demandes de l’autorité de contrôle
• Documenter les mesures de mise en conformité
• Publier le communiqué selon les modalités imposées

À éviter

• Laisser sans réponse une alerte de la CNIL
• Ignorer une mise en demeure notifiée
• Maintenir l’absence de DPD après une injonction
• Négliger les délais de mise en conformité
• Retirer ou modifier prématurément le communiqué obligatoire

Le délégué à la protection des données des organismes publics

nL’article 37, paragraphe 1, a), du RGPD impose aux autorités et organismes publics de désigner un délégué à la protection des données, sauf juridictions agissant dans leur fonction juridictionnelle. L’absence persistante de désignation par la commune constitue un manquement à cette obligation.n

L’obligation de coopération avec l’autorité de contrôle

nL’article 31 du RGPD impose au responsable du traitement de coopérer avec l’autorité de contrôle à sa demande. La formation restreinte retient le manquement en raison de l’absence de réponse aux sollicitations, à la mise en demeure et à l’injonction antérieure de la CNIL.n

Les mesures correctrices et sanctions administratives

nL’article 20, III, de la loi du 6 janvier 1978 permet de prononcer une injonction assortie d’une astreinte et une amende. Selon l’article 83 du RGPD, la nature, la gravité, la durée des violations, l’absence de coopération et la situation financière de l’organisme justifient une amende de 5 000 euros et une astreinte de 150 euros par jour.

Article 8 de la loi n° 78-17 du 6 janvier 1978, Article 20 de la loi n° 78-17 du 6 janvier 1978, Article 31 du RGPD, Article 37, paragraphe 1, a), du RGPD, Article 38, paragraphe 4, du RGPD, Article 39 du RGPD, Article 83 du RGPD, Article 226-22-2 du Code pénal