Désignation tardive du délégué à la protection des données et clôture de l’astreinte CNIL

En conséquence, aucune nouvelle liquidation de l’astreinte n’est prononcée et la procédure est clôturée. Cette solution distingue l’astreinte déjà liquidée pour la période antérieure, d’un montant de 6 900 euros, de toute nouvelle liquidation postérieure à la régularisation.

La décision s’inscrit dans le cadre des articles 31, 37 et 37-1-a) du règlement (UE) 2016/679, ainsi que de l’article 22-1 de la loi n° 78-17 du 6 janvier 1978. La CNIL ordonne néanmoins la publicité de la délibération sur son site et sur Légifrance, avec suppression de l’identification nominative de la commune après un an.

⬇️Télécharger la décision version officielle

L’astreinte avait ensuite été liquidée pour la période du 19 février au 4 avril 2024. Le 17 septembre 2024, la commune a déclaré à la CNIL avoir désigné un délégué à la protection des données. La formation restreinte constate ainsi l’exécution de l’injonction, refuse toute nouvelle liquidation et clôt la procédure. Elle maintient la publicité de la délibération, avec anonymisation de la commune après un an.

• Constater l’existence d’une injonction antérieure de désignation
• Vérifier la persistance ou la cessation du manquement
• Prendre en compte la déclaration de désignation transmise à la CNIL
• Établir que l’injonction a été effectivement satisfaite
• Exclure une nouvelle liquidation lorsque l’obligation est exécutée
• Maintenir la publicité destinée à informer des suites de la sanction

• Déclaration de désignation du délégué à la protection des données du 17 septembre 2024
• Injonction de désignation prononcée le 12 décembre 2023
• Délibération de liquidation de l’astreinte du 22 juillet 2024
• Éléments déclarés par la commune auprès des services de la CNIL

• Clôture de la procédure d’injonction
• Absence de nouvelle astreinte liquidée
• Maintien de la liquidation antérieure de 6 900 euros
• Publication sur le site de la CNIL et Légifrance
• Anonymisation du nom de la commune après un an

À faire

• Désigner formellement le délégué à la protection des données
• Déclarer la désignation auprès de la CNIL
• Conserver la preuve de transmission de la déclaration
• Vérifier l’exécution complète de l’injonction
• Suivre les modalités de publicité de la décision

À éviter

• Différer la désignation malgré une injonction
• Négliger une mise en demeure de la CNIL
• Confondre régularisation et annulation de l’astreinte antérieure
• Omettre de documenter la date effective de désignation
• Ignorer la publication ordonnée par la CNIL

La désignation obligatoire du délégué à la protection des données

La formation restreinte rappelle que l’absence de désignation avait constitué un manquement aux articles 31 et 37 du règlement (UE) 2016/679, déjà sanctionné par une injonction. La désignation déclarée auprès de la CNIL le 17 septembre 2024 établit l’exécution de cette injonction.

La condition d’une nouvelle liquidation d’astreinte

La liquidation suppose que l’injonction demeure inexécutée. Après avoir constaté la désignation du délégué à la protection des données, la formation restreinte considère que la commune a satisfait à l’injonction et décide qu’il n’y a pas lieu à une nouvelle liquidation. Cette solution ne remet pas en cause la liquidation antérieure de 6 900 euros.

La publicité des délibérations de sanction

La délibération est rendue publique sur le site de la CNIL et sur Légifrance afin d’informer des suites de l’injonction et de la liquidation déjà prononcée. La commune ne sera plus identifiée nominativement après un délai d’un an à compter de la publication.