L’essentiel
La clôture ne neutralise pas les conséquences d’une éventuelle persistance ou réitération des manquements. En cas de nouveaux constats, la formation restreinte de la CNIL ou son président pourra être saisi sans nouvelle mise en demeure préalable, afin que soient prononcées, le cas échéant, une ou plusieurs mesures prévues par les articles 20 et suivants de la loi du 6 janvier 1978.
La décision de clôture fait l’objet de la même publicité que la mise en demeure, avec publication sur les sites mentionnés dans la décision.
En résumé
- Clôture du dossier après prise en compte des manquements constatés
- Régularisation établie par une demande d’avis et une analyse d’impact
- Adoption de l’arrêté créant le traitement concerné
- Publicité de la clôture selon les modalités de la mise en demeure
- Nouvelle saisine possible sans mise en demeure en cas de réitération
Contexte de l’affaire
La formation plénière de la CNIL a ensuite rendu une délibération portant avis sur le projet d’arrêté le 19 octobre 2023. L’arrêté créant le traitement a été adopté le 22 novembre 2023. La présidente de la CNIL a considéré ces éléments suffisants pour clôturer le dossier et la procédure de contrôle engagée.
La clôture doit être publiée selon les mêmes modalités que la mise en demeure. Une persistance ou une réitération des manquements pourrait toutefois entraîner une saisine de la formation restreinte ou du président de la CNIL sans nouvelle mise en demeure préalable.
Conditions / critères (ce que le juge vérifie)
- Saisine de la CNIL dans le cadre du projet d’arrêté
- Production d’une analyse d’impact relative à la protection des données
- Examen du projet par la formation plénière de la CNIL
- Adoption de l’arrêté créant le traitement concerné
- Absence de manquements persistants constatés au moment de la clôture
Preuves retenues (ce qui a fait pencher la décision)
- Demande d’avis adressée à la CNIL le 29 juin 2023
- Analyse d’impact relative à la protection des données
- Délibération n° 2023-112 du 19 octobre 2023
- Arrêté du 22 novembre 2023 créant le traitement
- Décision initiale de mise en demeure du 3 avril 2023
Conséquences pratiques
- Clôture du dossier et de la procédure de contrôle
- Publication de la clôture sur Légifrance et le site de la CNIL
- Conservation des éléments justifiant la régularisation
- Possibilité de vérifications ultérieures par la CNIL
- Risque de mesures fondées sur les articles 20 et suivants
Checklist pour Avocats
À faire
- Conserver la demande d’avis adressée à la CNIL
- Archiver l’analyse d’impact relative aux données
- Suivre l’application de l’arrêté adopté
- Documenter la correction des manquements visés
- Surveiller toute vérification ultérieure de la CNIL
À éviter
- Maintenir les manquements ayant motivé la mise en demeure
- Réitérer les pratiques précédemment relevées
- Négliger la mise à jour de l’analyse d’impact
- Ignorer les demandes des services de la Commission
- Présumer la clôture définitivement acquise
FAQ / Q-R juridiques
La clôture d’une mise en demeure après régularisation
La CNIL clôt le dossier et la procédure de contrôle après avoir constaté la saisine de la Commission pour avis, la production d’une analyse d’impact relative à la protection des données et l’adoption de l’arrêté créant le traitement concerné.
La publicité d’une décision de clôture
La clôture fait l’objet de la même mesure de publicité que la mise en demeure. Le courrier est publié sur le site de Légifrance et sur celui de la CNIL, conformément à ce qui avait été annoncé lors de la notification de la mise en demeure.
La reprise des poursuites en cas de réitération
Si la persistance ou la réitération des manquements est constatée lors de vérifications ultérieures, la formation restreinte de la CNIL ou son président peut être saisi sans nouvelle mise en demeure préalable. Des mesures prévues par les articles 20 et suivants de la loi du 6 janvier 1978 peuvent alors être prononcées.
Textes cités
RGPD & protection des données
Approfondir ce sujet :