Liquidation d’une astreinte CNIL pour inexécution d’une injonction de mise en conformité

L’article 44 du décret n° 2019-536 du 29 mai 2019 organise l’astreinte attachée à une injonction de mise en conformité. Le responsable de traitement doit transmettre, à la date fixée, les éléments attestant de l’exécution de l’injonction. En cas d’inexécution totale, partielle ou tardive, la formation restreinte procède à la liquidation de l’astreinte, en tenant compte des éléments transmis, du comportement du responsable et des difficultés d’exécution éventuellement établies.

La procédure de liquidation est écrite et contradictoire : les motifs et le montant envisagé sont notifiés, puis le responsable dispose de quinze jours pour présenter des observations. En l’absence de tout justificatif et de toute observation, la CNIL retient l’inexécution de l’injonction et le comportement défaillant du responsable pour liquider l’astreinte à hauteur de 5,2 millions d’euros.

La décision de liquidation peut être rendue publique lorsque cette publicité est jugée opportune pour informer les personnes concernées par le traitement. La décision est susceptible d’un recours devant le Conseil d’État dans le délai indiqué par l’article R.421-7 du code de justice administrative.

⬇️Télécharger la décision version officielle

Une société américaine exploitait un logiciel de reconnaissance faciale alimenté par des images accessibles sur Internet. Après une première décision imposant la cessation de certains traitements, la suppression des données et la transmission de justificatifs, elle n’a fourni aucun élément de mise en conformité. La CNIL a liquidé l’astreinte à hauteur de 5,2 millions d’euros et rendu sa délibération publique.

Une société établie aux États-Unis commercialise un logiciel de reconnaissance faciale alimenté par l’aspiration d’images accessibles sur Internet. Plusieurs personnes ont saisi la CNIL en raison de difficultés à exercer leurs droits d’accès et d’effacement.

Par une précédente décision, la CNIL a prononcé une amende, une injonction de cesser certains traitements sans base légale et de supprimer les données concernées, ainsi qu’une astreinte de 100 000 euros par jour de retard. La société devait transmettre des justificatifs de mise en conformité dans le délai fixé.

Aucun justificatif ni aucune observation écrite n’ayant été transmis, la CNIL a liquidé l’astreinte à hauteur de 5,2 millions d’euros pour la période considérée et a rendu sa délibération publique.

• Injonction de mise en conformité assortie d’une astreinte
• Échéance fixée pour transmettre les justificatifs d’exécution
• Inexécution totale, partielle ou tardive de l’injonction
• Absence d’éléments attestant la mise en conformité
• Prise en compte du comportement du responsable de traitement
• Respect de la procédure écrite et du délai d’observations

• Absence de justificatifs de mise en conformité
• Absence de tout élément transmis à la formation restreinte
• Absence d’observations écrites dans le délai de quinze jours
• Injonction antérieure assortie d’une astreinte journalière

Le responsable de traitement supporte la liquidation de l’astreinte faute d’avoir documenté l’exécution de l’injonction. La décision est rendue publique et peut faire l’objet d’un recours devant le Conseil d’État dans le délai applicable.n

• Exigibilité d’une astreinte liquidée à 5,2 millions d’euros
• Constat d’inexécution de l’injonction de mise en conformité
• Prise en compte défavorable de l’absence de réponse
• Publication de la délibération sur le site de la CNIL
• Publication sur Légifrance avec anonymisation ultérieure
• Possibilité d’un recours devant le Conseil d’État

À faire

• Exécuter intégralement l’injonction dans le délai fixé
• Réunir les justificatifs précis de mise en conformité
• Transmettre les éléments à la formation restreinte
• Répondre aux motifs de liquidation sous quinze jours
• Documenter toute difficulté étrangère aux capacités de conformité

À éviter

• Ne transmettre aucun justificatif d’exécution
• Laisser expirer le délai fixé par l’injonction
• Ignorer la notification des motifs de liquidation
• S’abstenir de présenter des observations écrites
• Négliger le délai de recours devant le Conseil d’État

La liquidation de l’astreinte pour inexécution

nL’article 44 du décret n° 2019-536 du 29 mai 2019 prévoit la liquidation de l’astreinte en cas d’inexécution totale, partielle ou tardive de l’injonction. La CNIL constate l’absence de justificatifs de mise en conformité et retient que l’injonction n’a pas été exécutée.n

Les critères de fixation de l’astreinte liquidée

nLe montant est apprécié au regard des éléments transmis, du comportement du responsable et des difficultés d’exécution rencontrées. L’absence totale de réponse de la société justifie la liquidation de l’astreinte à hauteur de 5,2 millions d’euros pour la période retenue.n

La procédure écrite préalable à la liquidation

nL’article 44, paragraphe 4, du décret n° 2019-536 impose la notification des motifs et du montant envisagé, suivie d’un délai de quinze jours pour présenter des observations écrites. La société n’ayant formulé aucune observation, la procédure préalable a été suivie.

Article 20 et suivants de la loi n° 78-17 du 6 janvier 1978, Article R.421-7 du code de justice administrative