L’essentiel
La décision précise que la clôture fait l’objet de la même mesure de publicité que la mise en demeure, avec une publication sur le site internet de la CNIL et sur le site prévu dans le courrier de notification.
Cette clôture ne prive pas l’autorité de contrôle de la possibilité d’engager ultérieurement une procédure de sanction si la persistance ou la réitération des manquements est constatée lors de vérifications ultérieures. Une telle procédure peut être engagée conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée et peut donner lieu à la désignation d’un rapporteur, notifiée à l’organisme.
La décision rappelle enfin l’applicabilité du Règlement général sur la protection des données depuis le 25 mai 2018, dans la continuité de la loi Informatique et Libertés.
En résumé
- Clôture du dossier après examen des réponses de l’organisme
- Clôture concomitante des procédures de contrôle rattachées
- Publicité de la clôture identique à celle de la mise en demeure
- Réitération des manquements susceptible d’entraîner une sanction
- Articles 45 et suivants de la loi du 6 janvier 1978 mobilisés
Contexte de l’affaire
Après examen des éléments de réponse transmis par l’organisme, la présidente de l’autorité a décidé de clôturer le dossier ainsi que les deux procédures de contrôle associées.
La clôture doit faire l’objet de la même publicité que la mise en demeure, notamment par une publication en ligne. Le courrier rappelle toutefois qu’une procédure de sanction pourrait être engagée ultérieurement si les manquements constatés persistent ou se répètent lors de nouvelles vérifications.
Conditions / critères (ce que le juge vérifie)
- Examiner les éléments de réponse transmis par l’organisme
- Constater que ces éléments justifient la clôture du dossier
- Clôturer les procédures de contrôle rattachées à la mise en demeure
- Prévoir une publicité identique à celle de la mise en demeure
- Constater ultérieurement la persistance ou la réitération des manquements
- Engager, le cas échéant, une procédure conformément aux articles 45 et suivants
Preuves retenues (ce qui a fait pencher la décision)
- Éléments de réponse apportés par l’organisme
- Décision de mise en demeure du 25 septembre 2018
- Courrier de notification de la mise en demeure
- Résultats de vérifications ultérieures éventuelles
Conséquences pratiques
- Clôture du dossier de mise en demeure
- Clôture des deux procédures de contrôle associées
- Publication du courrier de clôture
- Maintien d’un risque de procédure de sanction ultérieure
- Notification possible de la désignation d’un rapporteur
Checklist pour Avocats
À faire
- Analyser les éléments de réponse transmis
- Documenter les mesures prises pour remédier aux manquements
- Conserver les échanges avec l’autorité de contrôle
- Surveiller la conformité après la clôture
- Préparer les justificatifs pour d’éventuelles vérifications
À éviter
- Laisser persister les manquements identifiés
- Répéter les manquements déjà visés
- Négliger les demandes de l’autorité de contrôle
- Omettre de suivre la publication de la clôture
- Présumer la clôture définitive du risque de sanction
FAQ / Q-R juridiques
La clôture d’une mise en demeure après réponse de l’organisme
La clôture est décidée au regard des éléments de réponse apportés par l’organisme. Elle concerne également les procédures de contrôle rattachées au dossier. La décision ne précise pas les mesures de régularisation retenues, mais établit que les réponses transmises ont justifié la clôture.
La publicité de la clôture d’une procédure de contrôle
La clôture fait l’objet de la même mesure de publicité que la mise en demeure. Le courrier prévoit sa publication sur le site internet indiqué ainsi que sur celui de la CNIL.
La procédure de sanction en cas de réitération des manquements
La clôture ne fait pas obstacle à une procédure de sanction ultérieure si la persistance ou la réitération des manquements est constatée lors de vérifications ultérieures. Cette procédure relève des articles 45 et suivants de la loi du 6 janvier 1978 modifiée et peut comporter la désignation d’un rapporteur, notifiée à l’organisme.
Textes cités
RGPD & protection des données
Approfondir ce sujet :