Les étapes de la procédure de sanction ordinaire

25 septembre 2019

Lorsqu’une sanction est susceptible d’être prononcée, le président de la CNIL peut désigner un rapporteur et saisir la formation restreinte.

Une procédure de sanction peut être engagée à l’encontre d’un organisme si un manquement au RGPD ou à la loi Informatique et Libertés est constaté :

à la suite du dépôt d’une plainte ou d’un signalement auprès de la CNIL ;
à la suite d’une mission de contrôle de la CNIL.

Dans ce cas, le président de la CNIL désigne un rapporteur parmi les membres du collège n’étant pas membres de la formation restreinte et saisit la formation restreinte. Celle-ci est composée de cinq membres du collège et d’un président, élus par leurs pairs.

Le responsable de traitement ou le sous-traitant mis en cause en est informé.

La formation restreinte est destinataire de tous les documents lors de la procédure écrite entre le rapporteur et l’organisme mis en cause.

Durant la procédure, l’organisme visé peut être entendu si le rapporteur l’estime utile. Dans ce cas, l’audition est suivie de la rédaction d’un procès-verbal. S’il l’estime nécessaire, le rapporteur peut également demander à ce qu’il soit procédé à des contrôles complémentaires.

Avant la séance

Le rapport de sanction

Le rapport proposant de prononcer à l’encontre de l’organisme une des mesures prévues à l’article 20 de la loi Informatique et Libertés est notifié à l’organisme. En cas de sanction financière, le rapport comporte le montant de la sanction proposée par le rapporteur.
L’organisme peut prendre connaissance et copie des pièces du dossier auprès du service des sanctions de la CNIL s’il en fait la demande.
L’organisme peut se faire assister ou représenter par le conseil de son choix à chaque étape de la procédure.

Observations de l’organisme

L’organisme dispose, à compter de la réception du rapport, d’un délai d’un mois pour formuler des observations écrites.
Le rapporteur peut répondre à l’organisme dans un délai d’un mois à compter de la réception des observations.
L’organisme a toujours la possibilité de répondre au rapporteur.
Lorsque la complexité d’une affaire le justifie, et à la demande du rapporteur ou du responsable de traitement mis en cause, le président de la formation restreinte peut accorder une prolongation de ces délais (article 40 du décret d’application de la loi Informatique et Libertés).
Lorsqu’une prolongation est accordée au rapporteur, celle-ci est automatiquement octroyée à l’organisme qui en est alors informé.
Lorsqu’il estime le dossier prêt, le rapporteur informe le mis en cause et le président de la formation restreinte que l’instruction est close.
L'organisme est alors informé de la date de la séance de la formation restreinte au moins quinze jours avant sa tenue.

Caractère public de la séance

La séance de la formation restreinte se tient publiquement.

L’organisme peut demander au président de la formation restreinte de restreindre la publicité de la séance s’il estime dans l’intérêt de l’ordre public, ou lorsque la protection de secrets protégés par la loi l’exige (article 65 du règlement intérieur de la CNIL). Dans ce cas, la séance se tient alors à huis clos.