Clôture d’une mise en demeure après régularisation des obligations de sécurité des données

La clôture d’une mise en demeure peut intervenir lorsque l’organisme apporte des éléments de réponse et met en œuvre des mesures correctrices suffisantes. La décision prend notamment acte de l’insertion, dans le contrat conclu avec un sous-traitant, d’une clause relative à ses obligations en matière de sécurité et de confidentialité des données à caractère personnel.

La clôture n’empêche pas une reprise ultérieure de la procédure en cas de persistance ou de réitération des manquements. Dans cette hypothèse, une procédure de sanction peut être engagée conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée, avec désignation possible d’un rapporteur et sans nouvelle mise en demeure préalable.

La clôture fait l’objet de la même mesure de publicité que la mise en demeure. La décision rappelle également l’applicabilité du Règlement général sur la protection des données, présenté comme s’inscrivant dans la continuité de la loi Informatique et Libertés.

⬇️Télécharger la décision version officielle

Après examen des réponses, l’autorité constate les mesures prises à l’égard de Google, notamment l’insertion d’une clause relative aux obligations de sécurité et de confidentialité du sous-traitant. La présidente clôt le dossier et les deux procédures de contrôle. Le courrier est publié sur les sites de Légifrance et de la CNIL, une sanction restant possible en cas de manquements persistants ou réitérés.

Une autorité administrative indépendante avait mis en demeure un organisme par une décision du 25 juin 2018 et engagé deux procédures de contrôle.

Après examen des éléments de réponse transmis, l’autorité a constaté les mesures prises à l’égard de Google. Celles-ci comprenaient l’insertion, dans le contrat conclu avec cette société, d’une clause consacrée aux obligations du sous-traitant en matière de sécurité et de confidentialité des données à caractère personnel.

La présidente a décidé de clôturer le dossier et les procédures de contrôle. Elle a prévu la publication du courrier de clôture sur les sites internet de Légifrance et de la CNIL. Elle a toutefois indiqué qu’une persistance ou une réitération des manquements pourrait conduire à l’engagement d’une procédure de sanction.

• Prise en compte des éléments de réponse transmis par l’organisme
• Mise en œuvre de mesures correctrices identifiées
• Insertion d’une clause contractuelle sur la sécurité et la confidentialité
• Absence de manquements persistants ou réitérés constatés à ce stade
• Possibilité de nouvelles vérifications ultérieures
• Application des articles 45 et suivants de la loi du 6 janvier 1978 modifiée

• Éléments de réponse apportés par l’organisme
• Mesures prises vis-à-vis de Google
• Contrat intégrant une clause relative aux obligations du sous-traitant
• Clause portant sur la sécurité des données à caractère personnel
• Clause portant sur la confidentialité des données à caractère personnel

L’organisme bénéficie de la clôture de son dossier et des procédures de contrôle après la mise en œuvre des mesures relevées. Cette clôture ne neutralise pas le risque d’une procédure de sanction future si les manquements persistent ou se répètent.n

• Clôture du dossier et des procédures de contrôle
• Publication du courrier sur Légifrance et le site de la CNIL
• Maintien d’une surveillance possible lors de vérifications ultérieures
• Engagement possible d’une sanction sans nouvelle mise en demeure
• Notification éventuelle de la désignation d’un rapporteur

À faire

• Conserver les éléments de réponse transmis à l’autorité
• Formaliser les obligations contractuelles du sous-traitant
• Documenter les mesures de sécurité adoptées
• Documenter les mesures de confidentialité adoptées
• Surveiller la persistance ou la réitération des manquements

À éviter

• Négliger les obligations du sous-traitant
• Laisser une clause contractuelle insuffisamment précise
• Interrompre le suivi des mesures correctrices
• Supposer la clôture définitivement acquise
• Ignorer une notification de désignation d’un rapporteur

La clôture d’une mise en demeure après mesures correctrices

nLa clôture intervient au regard des éléments de réponse apportés et des mesures prises par l’organisme. La décision relève notamment l’insertion, dans le contrat conclu avec le sous-traitant, d’une clause relative à ses obligations de sécurité et de confidentialité des données à caractère personnel.n

Les conditions d’une procédure de sanction ultérieure

nLa persistance ou la réitération des manquements lors de vérifications ultérieures peut conduire à une procédure de sanction conformément aux articles 45 et suivants de la loi du 6 janvier 1978 modifiée. Une nouvelle mise en demeure préalable n’est alors pas nécessaire ; un rapporteur peut être désigné et sa désignation notifiée à l’organisme.

Articles 45 et suivants de la loi du 6 janvier 1978 modifiée