Liquidation d’une astreinte RGPD après la cessation d’activité du débiteur

L’injonction était assortie d’une astreinte de 500 euros par jour, sous réserve de la transmission des justificatifs dans le délai imparti. La société n’ayant pas justifié sa mise en conformité, la CNIL devait apprécier la possibilité de liquider l’astreinte.

La formation restreinte relève toutefois que la société a cessé son activité avant l’expiration du délai d’exécution. Cette cessation rendait impossible la mise en conformité des traitements avec le RGPD et le code des postes et des communications électroniques. La liquidation de l’astreinte est donc exclue et la procédure clôturée.

La décision souligne également que le cessionnaire ayant repris tout ou partie des activités n’avait pas été mis dans la cause. Elle ne statue donc pas sur les obligations susceptibles de lui incomber. La décision est rendue publique, conformément au régime de publicité retenu pour la délibération initiale.

⬇️Télécharger la décision version officielle

Par une première délibération, la CNIL a enjoint à la société de supprimer les données collectées sans consentement à des fins de prospection et de répondre complètement aux demandes d’accès. Une astreinte de 500 euros par jour était prévue après un délai de trois mois.

La société n’a pas transmis les justificatifs de mise en conformité. Elle a ensuite été placée en liquidation judiciaire avec poursuite d’activité, puis son activité a été cédée à un repreneur avant l’expiration du délai d’exécution.

La CNIL a constaté que la cessation d’activité empêchait la mise en conformité et a refusé de liquider l’astreinte. La procédure a été clôturée et la décision rendue publique.

• Cessation d’activité de la société avant l’échéance du délai
• Impossibilité de mettre les traitements en conformité
• Injonction fondée sur l’article 34-5 du CPCE et l’article 15 du RGPD
• Absence de mise en cause du cessionnaire
• Impossibilité corrélative de liquider l’astreinte

• Constats issus des contrôles réalisés en mai 2019 et février 2020
• Délibération imposant la suppression des données et le droit d’accès
• Absence de justificatifs de mise en conformité
• Jugement de liquidation judiciaire avec poursuite d’activité
• Jugement arrêtant le plan de cession

• Exclusion de la liquidation de l’astreinte
• Clôture de la procédure à l’égard de la société
• Absence de décision sur les obligations du cessionnaire
• Maintien de la publication de la délibération
• Retrait ultérieur de l’identification nominative de la société

À faire

• Identifier précisément le délai d’exécution de l’injonction
• Documenter toute cessation d’activité intervenue avant l’échéance
• Conserver les justificatifs de liquidation judiciaire
• Produire le jugement arrêtant le plan de cession
• Vérifier la mise en cause du cessionnaire

À éviter

• Ne pas présumer la liquidation automatique de l’astreinte
• Ne pas omettre la preuve de l’impossibilité d’exécution
• Ne pas confondre société cédée et cessionnaire
• Ne pas attribuer d’obligations au cessionnaire hors débat contradictoire
• Ne pas négliger les modalités de publicité de la décision

La liquidation d’une astreinte administrative

nLa liquidation de l’astreinte est exclue lorsque la société cesse son activité avant l’expiration du délai d’exécution et ne peut plus mettre ses traitements en conformité avec l’article 34-5 du code des postes et des communications électroniques et l’article 15 du RGPD.n

La cessation d’activité du débiteur de l’injonction

nLa cessation d’activité intervenue avant l’échéance du délai rend matériellement impossible l’exécution de l’injonction relative à la suppression de données collectées sans consentement et à l’exercice du droit d’accès. Cette impossibilité fait obstacle à la liquidation de l’astreinte.n

La mise en cause du cessionnaire d’activité

nLe cessionnaire ayant repris tout ou partie des activités n’ayant pas été mis dans la cause, la décision ne statue pas sur ses obligations. La procédure est clôturée à l’égard de la société initialement injonctionnée.