La procédure de sanction
A l'issue de contrôle ou de plaintes, en cas de méconnaissance des dispositions du RGPD ou de la loi de la part des responsables de traitement et des sous-traitants, la formation restreinte de la CNIL peut prononcer des sanctions à l'égard des responsables de traitements qui ne respecteraient pas ces textes.
Différents types de sanctions
Lorsque des manquements au RGPD ou à la loi sont portés à sa connaissance, la formation restreinte de la CNIL peut :
- Prononcer un rappel à l’ordre ;
- Enjoindre de mettre le traitement en conformité, y compris sous astreinte ;
- Limiter temporairement ou définitivement un traitement ;
- Suspendre les flux de données ;
- Ordonner de satisfaire aux demandes d'exercice des droits des personnes, y compris sous astreinte ;
- Prononcer une amende administrative.
La formation restreinte
La formation restreinte de la CNIL est composée de 5 membres et d’un Président distinct du Président de la CNIL.
>Les membres de la formation restreinte
Elle peut prononcer diverses sanctions et mesures à l’égard des responsables de traitement qui ne respecteraient pas la loi.
Pour déterminer le montant de l’amende, des critères d’appréciation sont définis à l’article 83 du RGPD (nature, gravité et durée de la violation, mesure prise pour atténuer le dommage, degré de coopération, etc.). Les amendes de la CNIL sont recouvrées par le Trésor Public. Ces sanctions peuvent être rendues publiques.
>Les sanctions prononcées par la CNIL
Les voies de recours
À compter de la date de notification de la décision de la formation restreinte, l'organisme mis en cause dispose d'un délai de deux mois pour former un recours devant le Conseil d'État contre la décision de la CNIL.
