La procédure de sanction simplifiée de la CNIL : ce qu’elle change pour les PME

Pendant longtemps, les sanctions de la CNIL ont surtout visé de grandes entreprises, au terme de procédures longues. Depuis la réforme de 2022, la CNIL dispose d’une procédure simplifiée qui lui permet de traiter beaucoup plus vite les dossiers les moins complexes. Elle concerne directement les TPE, les PME et les associations.

D’où vient cette procédure ?

La loi n° 2022-52 du 24 janvier 2022 a modifié la loi « Informatique et Libertés » du 6 janvier 1978 pour créer une procédure de sanction simplifiée, précisée par décret. L’objectif est de permettre à la CNIL de répondre plus rapidement au nombre croissant de plaintes, en réservant la procédure ordinaire aux affaires les plus graves ou les plus complexes.

Comment elle fonctionne

• La procédure est engagée par la présidente ou le président de la CNIL lorsque le dossier ne présente pas de difficulté particulière, compte tenu notamment de l’existence d’une jurisprudence établie ou de décisions précédentes de la CNIL, ou de la simplicité des questions de fait et de droit.
• La décision est prise par le président de la formation restreinte, ou un membre qu’il désigne, statuant seul, et non par la formation restreinte en collège.
• La procédure reste contradictoire : l’organisme est informé des manquements reprochés et peut présenter ses observations.
• Les décisions ne sont pas rendues publiques.

Les sanctions possibles

Dans le cadre de cette procédure, la CNIL peut prononcer :

• un rappel à l’ordre ;
• une injonction de mettre le traitement en conformité, le cas échéant sous astreinte, plafonnée à 100 euros par jour de retard ;
• une amende administrative plafonnée à 20 000 euros.

Ces plafonds sont bien inférieurs à ceux de la procédure ordinaire (jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves, article 83.5 du RGPD), mais ils représentent une somme importante pour une petite structure.

Les manquements typiquement visés

La procédure simplifiée vise des manquements simples et objectivement constatables, sur lesquels la doctrine de la CNIL est bien établie. Les premières décisions et les bilans publiés par la CNIL font apparaître, notamment :

• l’absence de réponse, ou une réponse incomplète, aux demandes d’exercice des droits (accès, effacement, opposition) ;
• l’absence de coopération avec la CNIL lors d’un contrôle ou d’une instruction de plainte ;
• des durées de conservation excessives ;
• des défauts de sécurité élémentaires (mots de passe, accès non protégés) ;
• une vidéosurveillance disproportionnée, notamment des salariés à leur poste de travail ;
• le non-respect des règles relatives aux cookies et à la prospection électronique.

Comment s’y préparer

La meilleure protection reste de pouvoir démontrer sa conformité à tout moment :

1. Tenir un registre à jour, avec pour chaque traitement sa base légale, sa durée de conservation et ses mesures de sécurité : c’est l’une des premières pièces demandées.
2. Répondre aux demandes des personnes dans le délai d’un mois, prolongeable de deux mois pour une demande complexe (article 12.3), en gardant une trace de la demande et de la réponse.
3. Répondre à la CNIL : une demande d’information ou une plainte transmise appelle une réponse précise et dans les délais. Le défaut de coopération est en soi un manquement.
4. Corriger rapidement les points signalés par une plainte : la mise en conformité est prise en compte.
5. Vérifier les sujets les plus contrôlés : cookies, prospection, vidéosurveillance, sécurité des accès.

Sources

• Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés, modifiée par la loi n° 2022-52 du 24 janvier 2022, legifrance.gouv.fr.
• Règlement (UE) 2016/679 (RGPD), articles 12, 31, 58 et 83, EUR-Lex.
• CNIL, communications sur la procédure de sanction simplifiée et bilans annuels des sanctions, cnil.fr.