La chaîne répressive de la CNIL

Comprendre la chaîne répressive de la CNIL

Étape 1 : Le signalement

• Plaintes (signalements des usagers sur cnil.fr)
• Autosaisine (thème identifiés par la CNIL comme prioritaires)
• Presse (faits remontés par la presse ou sur le web)
• Coopération (signalements d'autres CNIL européennes)

Étape 2 : Le contrôle

• Sur place (accès aux traitements de données) : procès verbal
• En ligne (si manquements visibles à distance) : procès verbal
• Convocation (audition des acteurs concernés) : procès verbal
• Sur pièces (questions écrites et demandes des documents)

Étape 3 : Les suites du contrôle

Pas ou peu d'observations : Clôture du contrôle et envoi d'un courrier.

Manquements :

• Présidente de la CNIL : peut rappeler un organisme ses obligations légale ; peut prononcer une mise en demeure.
• Une plainte peut éventuellement aboutir à une décision sans passer par un contrôle.
  • Mise en demeure. Conforme ? Clôture du contrôle et envoi d'un courrier. Toujours non conforme ? Sanction.
• Formation restreinte et Président de la formation restreinte peuvent sanctionner directement l'organisme.
  • Procédure ordinaire et procédure simplifiée : Sanction.

Étape 4 : Mesures

• Publique : publication d'un communiqué sur cnil.fr et légifrance.fr
• Non publique
• Pécuniaire (ordinaire : maximum 4 % du CA mondial ou 20 millions d'euros ; simplifiée : maximum 20 000 euros)
• Non pécuniaire : rappel à l'ordre, injonction sous astreinte, etc.