CC12 juin 2018CC, 2018-765 DC, 12 juin 2018, Loi relative à la protection des données personnelles, points 31, 34(source)
Publicité d'une mise en demeure – Nature de sanction – Exclusion
Le 2° de l'article 7 de la loi relative à la protection des données personnelles réécrit l'article 45 de la loi n°78‑17 du 6 janvier 1978 pour prévoir les différentes mesures susceptibles d’être prises par la Commission nationale de l’informatique et des libertés en cas de manquement aux obligations découlant du règlement du 27 avril 2016 et de la loi du 6 janvier 1978. Les paragraphes I et II de cet article 45 permettent au président de la commission de prononcer respectivement des avertissements ou des mise en demeure. Son paragraphe III prévoit que le président de la commission, le cas échéant après avoir adressé un avertissement ou prononcé une mise en demeure, peut saisir la formation restreinte de la commission en vue du prononcé d’une ou plusieurs mesures, dont une amende pouvant atteindre, en vertu de la deuxième phrase de son 7°, 20 millions d’euros ou, s’agissant d’une entreprise, 4 % de son chiffre d’affaires.
Lorsqu’un manquement constaté est susceptible de faire l’objet d’une mise en conformité, le premier alinéa du paragraphe II de l’article 45 permet au président de la commission de mettre en demeure le responsable du traitement ou son sous‑traitant de prendre les mesures nécessaires à cette fin. Elle vise ainsi à permettre à son destinataire de se mettre en conformité avec le règlement du 27 avril 2016 ou la loi du 6 janvier 1978. Sa méconnaissance n’emporte aucune conséquence. Si cette mise en demeure peut être rendue publiée, à la demande du président et sur décision du bureau de la commission, cette publicité ne lui confère pas, en l’espèce, la nature d’une sanction ayant le caractère d’une punition. Le grief tiré de la méconnaissance du principe d’impartialité est écarté comme inopérant.
CE27 mars 2023CE, 10-9 chambres réunies, 27 mars 2023, Mme D…E…, n° 467774, T., points 4-5(source)
Contestation par l'auteur d'une plainte ou réclamation des suites données à celle-ci par la CNIL – 1) Intérêt à déférer au juge le refus d'engager une procédure sur le fondement de l'article 20 de la loi Informatique et Libertés – Existence – 2) Cas où la formation restreinte a été saisie (III de l'art. 20) – a) Intérêt à contester la décision prise à l'issue de la procédure – Absence – b) Cas où le plaignant invoque la méconnaissance, par un responsable de traitement, de droits légalement garantis à l'égard de données personnelles le concernant – Intérêt à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de satisfaire à sa demande ou du refus de la formation restreinte de lui enjoindre d'y procéder – Existence
1) L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus du président de la CNIL d'engager une procédure sur le fondement de l'article 20 de la loi n°78-17 du 6 janvier 1978, et, notamment, de saisir la formation restreinte sur le fondement du III de cet article, y compris lorsque la commission a procédé à des mesures d'instruction, constaté l'existence d'un manquement aux dispositions de cette loi et pris l'une des mesures prévues au I et II de ce même article.
2) a) En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du III de cet article, l'auteur de la plainte n'a pas intérêt à contester la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif.
b) Toutefois, lorsque l'auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s'il ne peut contester devant le juge l'absence ou l'insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d'y procéder.
CE1 mars 2021CE, 10‑9 chambres réunies, 1 mars 2021, Société Futura Internationale, n° 437808, Inédit., point 2(source)
Manquements constatés avant la date d'entrée en application du RGPD et poursuivis au-delà du délai imparti par la mise en demeure – Application du RGPD
La circonstance que des manquements aient été constatés avant la date d’entrée en application du RGPD ne fait pas obstacle à ce que le règlement soit applicable lorsque ces manquements se sont poursuivis après cette date, au-delà du délai imparti par une mise en demeure notifiée par la CNIL.
CE11 avril 2014CE, 10 SSJS, 11 avril 2014, Association Juricom et associés, n° 348111, point 2(source)
Mise en demeure – Absence d’obligation de motivation en vertu de la loi du 11 juillet 1979
Il résulte du I de l’article 45 de la loi du 6 janvier 1978 que la mise en demeure, qui peut conduire à une sanction, n’est, par elle‑même, ni une sanction ni l’une des autres décisions individuelles défavorables devant être motivées en vertu des dispositions de l’article 1er de la loi du 11 juillet 1979 relative à la motivation des actes administratifs et à l’amélioration des relations entre l’administration et le public. Avant l’intervention desquelles, en vertu des dispositions de l’article 24 de la loi du 12 avril 2000 relative aux droits des citoyens dans leurs relations avec les administrations, la personne intéressée doit avoir été mise à même de présenter des observations.
CE3 mars 2005CE, Section, 3 mars 2005, Société Eutelsat, n° 277736, Rec., point 4(source)
Opérateurs satellitaires – Obligations de contrôle du contenu des services de télévision transportés – Mise en demeure adressées par le CSA en cas de non‑respect – Nature de cette mise en demeure – Sanction – Absence
La mise en demeure adressée sur le fondement de l'article 42 de la loi du 30 septembre 1986, qui n'a pas le caractère d'une sanction et qui, parce qu'elle engage une procédure au cours de laquelle l'opérateur sera à même de s'expliquer devant l'autorité de régulation, n'a pas à être elle‑même précédée d'une procédure contradictoire, a pour objet de prescrire, sans préjudice d'une éventuelle saisine du président de la section du contentieux du Conseil d'État selon la procédure prévue par l'article 42-10 de cette loi, des mesures proportionnées à la nature et à la gravité des manquements constatés et destinées à mettre fin à ceux‑ci.
CE15 octobre 2020CE, 10-9 chambres réunies, 15 octobre 2020, Banque d'escompte, n° 432873, T., points 4, 27(source)
Publicité Contrôle juridictionnel de la sanction complémentaire de publication d'une sanction – 1) Obligation de motivation spéciale – Absence – 2) Contrôle des modalités de publication
1) Dans le cadre d'un contentieux opposant une banque à l'Autorité de contrôle prudentiel et de résolution (ACPR), si la décision par laquelle la commission des sanctions de l'ACPR rend publique la sanction prononcée a le caractère d'une sanction complémentaire, elle n'a pas à faire l'objet d'une motivation spécifique, distincte de la motivation d'ensemble de la sanction principale.
2) Les modalités de publication sont susceptibles d'avoir un impact sur la perception qu'aura le public de la décision de la commission des sanctions. Il y a en conséquence lieu pour le Conseil d'État de vérifier que ces modalités respectent un équilibre entre les exigences d'intérêt général citées au point précédent et les intérêts de la personne sanctionnée. Il y a lieu, dans les circonstances de l'espèce, de faire droit à la demande de la société sanctionnée et d'ordonner l'ajout, dans la version publiée, de membres de phrase susceptibles d'atténuer, aux yeux du public, la responsabilité de la société dans les griefs retenus (en l'espèce, une mention que les opérations étaient effectuées à l'initiative et sous la surveillance des pouvoirs publics).
CE28 septembre 2016CE, 10-9 chambres réunies, 28 septembre 2016, Théâtre national de Bretagne, n° 389448, Rec., points 9-10(source)
Sanction complémentaire de publication de la sanction – 1) Condition de légalité – Proportionnalité de la durée de la publication – 2) Espèce – Annulation d'une sanction complémentaire de publication en tant qu'elle ne fixe pas de durée
1) Lorsque la Commission nationale de l'informatique et des libertés (CNIL) prononce une sanction complémentaire de publication de sa décision de sanction, celle‑là se trouve nécessairement soumise, même si la loi ne le prévoirait pas expressément, au respect du principe de proportionnalité. La légalité de cette sanction s'apprécie notamment au regard du support de diffusion retenu et, le cas échéant, de la durée pendant laquelle cette publication est accessible de façon libre et continue.
2) En l’espèce, la délibération infligeant une sanction complémentaire de publication, qui est justifiée dans son principe, prévoit que cette publication est effectuée sur le site internet de la CNIL et sur le site Légifrance sans préciser la durée de son maintien en ligne sur ces deux sites. La CNIL doit être regardée comme ayant infligé une sanction sans borne temporelle. Dans ces conditions, la sanction complémentaire est, dans cette mesure, excessive. Annulation de cette sanction complémentaire en tant qu’elle n’a pas fixé la durée de son maintien en ligne de manière non anonyme.
CE12 mars 2014CE, 10ème/9ème SSR, 12 mars 2014, Société Foncia Groupe, n° 354629, T., point 8(source)
Publication de la sanction de la CNIL – Obligation de motivation spéciale – Absence
Si la décision par laquelle CNIL rend publique la sanction prononcée a le caractère d'une sanction complémentaire, aucune disposition ni principe n'impose qu'elle fasse l'objet d'une motivation spécifique distincte de la motivation d'ensemble de la sanction principale qu'elle complète.
CNIL30 avril 2021CNIL, FR, 30 avril 2021, Délibération de clôture d'injonction, Sociétés X et Y, n° SAN-2021-004, publié(source)
Anonymisation et durée de publication des délibérations de clôture d'injonction
Lorsqu'une délibération de la formation restreinte relative à la clôture d'une injonction prononcée à l'encontre d’une société est rendue publique, cette délibération ne devra plus identifier nommément la société à l'expiration du délai de publication de la sanction, afin d'éviter que la clôture de l'injonction ne prolonge la publicité de la condamnation.
CJUE5 décembre 2023CJUE, grande chambre, 5 décembre 2023, Deutsche Wohnen, C-807/21, points 54,56-57(source)
Montant Détermination du montant de l'amende administrative infligée à une personne morale – Notion d'« entreprise » au sens des articles 101 et 102 TFUE
Pour déterminer le montant de la amende administrative infligée au titre de l'article 83 RG PD par une autorité de contrôle à une personne morale, responsable de traitement, la CJUE affirme que ladite autorité est tenue de se fonder sur la notion d'« entreprise » au sens des articles 101 et 102 TFUE. Cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 6 octobre 2021, Sumal, C 882/19, EU:C:2021:800, point 41 et jurisprudence citée). Ainsi, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une « entreprise », au sens des articles 101 et 102 TFUE, le montant maximal de la amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée.
CE1 mars 2021CE, 10‑9 chambres réunies, 1 mars 2021, Société X, n° 437808, point 6(source)
La CNIL peut prononcer des sanctions d'un montant supérieur au bénéfice net d'une entreprise.
En présence de manquements graves et persistants, notamment le caractère excessif des données collectées, le défaut d'information des personnes concernées, le non‑respect de leur droit d'opposition et le manquement caractérisé à l'obligation de coopération avec l'autorité de contrôle, la CNIL a pu légalement infliger une sanction pécuniaire d'un montant de 500 000 euros, représentant 2,5 % du chiffre d'affaires de l'entreprise, alors même que son bénéfice net était de 180 000 euros.
CJUE5 décembre 2023CJUE, grande chambre, 5 décembre 2023, Deutsche Wohnen, C-807/21, points 48, 60, 65, 75-77 Voir aussi: CJUE, grande chambre, 5 décembre 2023, Nacionalinis visuo menės sveikatos centras, C-683/21(source)
Principes 1) Amende imposée à l'encontre de personnes morales – Illicéité d'une réglementation prévoyant qu'une amende administrative ne peut être infligée à une personne morale que pour autant que la violation a été imputée à une personne physique – 2) Sanction d'une personne morale – Conditions
1) Aucune disposition du RGPD ne permet de considérer que l'infliction d’une amende administrative à une personne morale en tant que responsable du traitement serait soumise à la constatation préalable que cette violation a été commise par une personne physique identifiée. En effet, si le règlement donne aux États membres la possibilité de prévoir des exigences concernant la procédure à suivre par les autorités de contrôle pour imposer une amende, il ne confère pas de marge d’appréciation aux États membres pour prévoir des conditions de fonds supplémentaires, relevant uniquement du droit de l’Union.
Une réglementation nationale ne peut donc prévoir qu’une amende administrative ne peut être infligée à une personne morale en sa qualité de responsable du traitement pour une violation visée aux paragraphes 4 à 6 de l’article 83 RGPD que pour autant que cette violation a été imputée préalablement à une personne physique identifiée.
2) La CJUE rappelle que les conditions de fond devant être respectées par une autorité de contrôle lorsqu’elle impose une amende administrative à un responsable du traitement relèvent uniquement du droit de l’Union, ces conditions étant fixées, de manière précise et sans laisser aux États membres de marge d’appréciation, à l’article 83, paragraphes 1 à 6, du RGPD. Or, l’article 83 du RGPD ne permet pas d’imposer une amende administrative pour une violation visée à ses paragraphes 4 à 6, sans qu’il soit établi que cette violation a été commise délibérément ou par négligence par le responsable du traitement, et que, partant, une violation fautive constitue une condition à l’imposition d’une telle amende.
Un responsable du traitement peut donc être sanctionné pour un comportement entrant dans le champ d’application du RGPD dès lors qu’il ne pouvait ignorer le caractère infractionnel de son comportement, qu’il ait eu ou non conscience d’enfreindre les dispositions du RGPD. Lorsque le responsable du traitement est une personne morale, la CJUE rappelle que l’application de l’article 83 du RGPD ne suppose pas une action ou même une connaissance de l’organe de gestion de cette personne morale.
CC22 avril 1997CC, 97-389 DC, 22 avril 1997, Loi portant diverses dispositions relatives à l'immigration, point 30(source)
Sanctions infligées par une autorité administrative – Exclusion de toute privation de liberté – Conditions d'exercice
Le principe de la séparation des pouvoirs, non plus qu'aucun principe ou règle de valeur constitutionnelle ne fait obstacle à ce qu'une autorité administrative, agissant dans le cadre de prérogatives d'émission publique, puisse exercer un pouvoir de sanction dès lors, d'une part, que la sanction susceptible d'être infligée est exclusive de toute privation de liberté et, d'autre part, que l'exercice de ce pouvoir de sanction est assorti par la loi de mesures destinées à assurer les droits et libertés constitutionnellement garantis. En particulier doivent être respectés les principes de la nécessité et de la légalité des peines, ainsi que les droits de la défense, principes applicables à toute sanction ayant le caractère d'une punition, même si le législateur a laissé le soin de la prononcer à une autorité administrative de nature non juridictionnelle.
CE19 juin 2020CE, 10‑9 chambres réunies, 19 juin 2020, Google LLC, n° 430810, Rec., point 26(source)
Obligation de se prononcer sur l'ensemble des critères prévus au 2° de l'article 83 du RGPD et d'expliquer le mode de détermination du montant de la sanction prononcée – Absence
Lorsqu'elle prononce une sanction, la formation restreinte de la CNIL n'est pas tenue de se prononcer sur l'ensemble des critères mentionnés au 2° de l'article 83 du RGPD mais uniquement sur ceux sur lesquels elle fonde sa décision. Par ailleurs, la formation restreinte n'est pas tenue de procéder à une explicitation du mode de détermination du montant de la sanction qu'elle prononce.
CE11 mars 2015CE, 10ème/9ème SSR, 11 mars 2015, Sociétés Total Raffinage Marketing et E…, n° 368748, 368819, T., point 4 Voir aussi: CE, 10ème-9ème chambres réunies, 30 avril 2024, n° 472864, Inédit, points 4 et 5(source)
Possibilité pour la CNIL de tenir compte de l'une de ses propres recommandations pour le prononcé de sanctions
Si la CNIL ne saurait légalement sanctionner la méconnaissance, en tant que telle, de l'une des recommandations qu'elle adopte sur le fondement de l'article 11 de la loi n°78-17 du 6 janvier 1978, telle que la délibération n°2010-371 du 21 octobre 2010 portant recommandation relative à la sécurité des systèmes de vote électronique, elle peut en tenir compte pour apprécier le respect des dispositions législatives et réglementaires dont cette recommandation a pour seul objet de contribuer à la mise en œuvre et, le cas échéant, prononcer une sanction.
CJUE22 mars 2022CJUE, grande chambre, 22 mars 2022, bpost, C-117/20, points 33, 57(source)
Application du principe non bis in idem en droit de l'Union – 1) Droit de la concurrence – Amende pour infraction au droit de la concurrence à l'encontre d'une personne morale ayant déjà fait l'objet d'une décision définitive à l'issue d'une procédure relative à une infraction à une réglementation sectorielle – 2) Critère d'appréciation de l'existence d'une même infraction – 3) Cas d'une amende infligée dans le cadre de la seconde procédure supérieure à celle imposée dans le cadre de la première procédure
1) L'article 50 de la Charte des droits fondamentaux de l'Union européenne, lu en combinaison avec l'article 52, paragraphe 1, de cette dernière, doit être interprété en ce sens qu'il ne s'oppose pas à ce qu'une personne morale soit sanctionnée par une amende pour infraction au droit de la concurrence lorsqu'elle a déjà fait l'objet d'une décision définitive à l'issue d'une procédure relative à une infraction à une réglementation sectorielle, à condition qu'il existe des règles claires et précises permettant de prévoir quels actes et omissions sont susceptibles de faire l'objet d'un cumul des poursuites et des sanctions ainsi que la coordination entre les deux autorités compétentes, que les deux procédures aient été menées de manière suffisamment coordonnée dans un intervalle de temps rapproché et que l'ensemble des sanctions imposées corresponde à la gravité des infractions commises. 2) Le Critère d'appréciation de l'existence d'une même infraction pertinent aux fins d'apprécier l'identité des faits matériels, compris comme l'existence d'un ensemble de circonstances concrètes indissociablement liées entre elles qui ont conduit à l'acquittement ou à la condamnation définitive de la personne concernée. 3) La circonstance que l'amende infligée dans le cadre de la seconde procédure supérieure à celle imposée dans le cadre de la première procédure, par une décision définitive, ne permet pas, en soi, de conclure au caractère disproportionné du cumul de poursuites et de sanctions à l'égard de la personne morale concernée, eu égard, notamment, au fait que ces deux procédures peuvent constituer des réponses juridiques complémentaires et liées, mais néanmoins distinctes, face au même comportement.
CJUE22 mars 2022CJUE, grande chambre, 22 mars 2022, Nordzucker e.a, C-151/20(source)
Application du principe non bis in idem en droit de l'Union – Droit de la concurrence – Amende pour infraction au droit de la concurrence dans un État membre et poursuite par une autorité dans un autre État membre pour un même comportement
L'article 50 de la Charte des droits fondamentaux de l'Union européenne doit être interprété en ce sens qu'il ne s'oppose pas à ce qu'une entreprise soit poursuivie, par l'autorité de concurrence d'un État membre, et se voie, le cas échéant, infliger une amende pour une infraction à l'article 101 TFUE et aux dispositions correspondantes du droit de la concurrence national, en raison d'un comportement qui a eu un objet ou un effet anticoncurrentiel sur le territoire de cet État membre. Ceci alors que ce comportement a déjà été mentionné, par une autorité de concurrence d'un autre État membre, dans une décision définitive que celle‑ci a adoptée, à l'égard de cette entreprise, au terme d'une procédure d'infraction à l'article 101 TFUE et aux dispositions correspondantes du droit de la concurrence de cet autre État membre, pour autant que cette décision ne repose pas sur le constat d'un objet ou d'un effet anticoncurrentiel sur le territoire du premier État membre.
CE27 juin 2022CE, 10-9 chambres réunies, 27 juin 2022, Amazon Europe Core, n° 451423, T., point 24(source)
Règle du non bis in idem (art. 50 de la Charte des droits fondamentaux de l'UE) – Condition – Procédure pénale définitivement close
Selon l'article art. 50 de la Charte des droits fondamentaux de l'UE, tel qu'interprété par la Cour de Justice de l'Union européenne (CJUE) dans ses arrêts Aklagaren c/ Akerberg Fransson du 26 février 2013 (C‑617/10), Powszechny Zaklad Ubezpieczen na Zycie SA du 3 avril 2019 (C‑617/17) et Bpost SA c/ Autorité belge de la concurrence du 22 mars 2022 (C‑117/20), ce n'est que lorsqu'une procédure à caractère pénal, au sens de ces dispositions, est procédure pénale définitivement close, notamment lorsqu’une sanction pénale est devenue définitive, ce qui suppose qu’une décision a été rendue à la suite d’une appréciation portant sur le fond de l'affaire et n’est plus susceptible de recours, que ces dispositions s'opposent à ce que des poursuites de nature pénale pour la même infraction soient par la suite diligentées contre une même personne et, le cas échéant, qu’une sanction à caractère pénal soit prononcée.
CE27 mars 2023CE, 10‑9 chambres réunies, 27 mars 2023, Mme D…E…, n° 467774, T., points 4‑5(source)
Contestation par l'auteur d'une plainte ou réclamation des suites données à celle - ci par la CNIL – 1) Intérêt à déférer au juge le refus d'engager une procédure sur le fondement de l'article 20 de la loi Informatique et Libertés – Existence – 2) Cas où la formation restreinte a été saisi e (III de l'art. 20) – a) Intérêt à contester la décision prise à l'issue de la procédure – Absence – b) Cas où le plaignant invoque la méconnaissance, par un responsable de traitement, de droits légalement garantis à l'égard de données personnelles le con cernant – Intérêt à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de satisfaire à sa demande ou du refus de la formation restreinte de lui enjoindre d'y procéder – Existence
1) L'auteur d'une plainte peut déférer au juge de l'excès de pouvoir le refus du président de la CNIL d'engager une procédure sur le fondement de l'article 20 de la loi n°78-17 du 6 janvier 1978, et, notamment, saisir la formation restreinte sur le fondement du III de cet article, y compris lorsque la commission a procédé à des mesures d'instruction, constaté l'existence d'un manquement aux dispositions de cette loi et pris l'une des mesures prévues au I et II de ce même article.
2) a) En revanche, lorsque le président de la CNIL a saisi la formation restreinte sur le fondement du III de cet article, l'auteur de la plainte n'a pas intérêt à contester la décision prise à l'issue de cette procédure, quel qu'en soit le dispositif.
b) Toutefois, lorsque l'auteur de la plainte se fonde sur la méconnaissance par un responsable de traitement des droits garantis par la loi à la personne concernée à l'égard des données à caractère personnel la concernant, notamment les droits d'accès, de rectification, d'effacement, de limitation et d'opposition mentionnés aux articles 49, 50, 51, 53 et 56 de la loi du 6 janvier 1978, celui-ci, s'il ne peut contester devant le juge l'absence ou l'insuffisance de sanction une fois que la formation restreinte a été saisie, est toujours recevable à demander l'annulation du refus du président de la CNIL de mettre en demeure le responsable de traitement de satisfaire à la demande dont il a été saisi par cette personne ou du refus de la formation restreinte de lui enjoindre d'y procéder.
CE27 juin 2022CE, 10 – 9 chambres réunies, 27 juin 2022, Amazon Europe Core, n° 451423, T., point 10ème Voir aussi: CE, 10 – 9 chambres réunies, 28 janvier 2022, Sociétés Google LLC et Google Ireland Limited, n° 449209, Rec.(source)
Traitement effectué « dans le cadre » des activités d'un établissement présent sur le territoire – Établissement se borna nt à assurer, en France, la promotion et la vente d'espaces publicitaires permettant de rentabiliser les services offerts par le responsable d'un traitement de données – Inclusion
Il résulte de la jurisprudence de la Cour de justice de l'Union européenne (CJUE), notamment de son arrêt du 5 juin 2018, Unabhängiges Landeszentrum für Datenschutz Schleswig‑Holstein contre Wirtschaftsakademie Schleswig‑Holstein GmbH (C‑210/16), qu’au vu de l’objectif poursuivi par la directive 95/46/CE du 24 octobre 1995, consistant à assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la protection de la vie privée et à la protection des données à caractère personnel, un traitement de données à caractère personnel peut être regardé comme effectué « dans le cadre des activités » d’un établissement national non seulement si cet établissement intervient lui‑même dans la mise en œuvre de ce traitement, mais aussi dans le cas où ce dernier se borne à assurer, sur le territoire d'un État membre, la promotion et la vente d'espaces publicitaires permettant de rentabiliser les services offerts par le responsable d’un traitement consistant à collecter des données à caractère personnel par le biais de traceurs de connexion installés sur les terminaux des visiteurs d'un site. Il résulte de l'arrêt de la CJUE du 15 juin 2021, Facebook Ireland Ltd e.a. (C‑645/19), que le paragraphe 1 de l’article 3 du règlement (UE) 2016/679 du 27 avril 2016, dit règlement général sur la protection des données (RGPD) doit être interprété de la même façon. Au I de l'article 3 de la loi n°78‑17 du 6 janvier 1978, le législateur a repris les termes figurant tant au paragraphe 1 de l’article 4 de la directive 95/46/CE du 24 octobre 1995 que, désormais, au paragraphe 1 de l'article 3 du RGPD et a entendu définir le champ d'application de la loi du 6 janvier 1978, y compris de son article 82‑et, en conséquence, le champ de compétence de la Commission nationale de l'informatique et des libertés (CNIL) pour sanctionner les manquements à ces dispositions, en référence à l'interprétation, rappelée au paragraphe précédent, que la CJUE a donnée de la directive 95/46/CE et, désormais, du RGPD.
