CNIL3 juin 2021CNIL, FR, 3 juin 2021, Sanction, Société X, n° SAN-2021-007, non publié
8.12.1 Compétence 1) Disposition limitant expressément les finalités d'un traitement – Compétence de la formation restreinte de la CNIL pour sanctionner sa méconnaissance – 2) Application – Article L. 37 du code électoral
1) D'une part, les articles 5‑1a du RGPD et 4‑1° de la loi du 6 janvier 1978 disposent que tout traitement de données à caractère personnel doit être « licite ». D'autre part, l'article 16 de cette loi donne compétence à la formation restreinte de la Commission nationale de l'informatique et des libertés pour sanctionner les responsables de traitement ou sous‑traitants qui ne respectent pas les obligations découlant du RGPD et de la loi Informatique et Libertés. Il en résulte que, lorsqu'une disposition limite expressément les finalités d'un traitement de données à caractère personnel, que celle‑ci soit contenue dans un acte réglementaire autorisant et régissant un traitement particulier de données sur le fondement des articles 31 et suivants de la loi Informatique et Libertés ou des dispositions qui y renvoient, ou qu'elle résulte d'une disposition législative ou réglementaire spéciale limitant la ou les finalités d'un traitement ou d'une catégorie de traitement, la formation restreinte de la CNIL est compétente pour sanctionner le traitement illicite que constitue la méconnaissance de cette disposition. 2) La formation restreinte est donc compétente en l'espèce pour examiner le manquement à l'article 5‑1a du RGPD qui résulterait, selon la rapporteur, de la méconnaissance de l'article L. 37 du code électoral prohibant l'utilisation des listes électorales, qui contiennent des données personnelles, pour des finalités commerciales.
CE4 novembre 2020CE, 10‑9 chambres réunies, 4 novembre 2020, SERGIC, n° 433311, T., point 9 • Rapport(source)
Faculté, pour la CNIL, de sanctionner sans mise en demeure préalable un responsable de traitement – Existence, même lorsque le manquement est régularisable
Le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable de traitement ou de son sous‑traitant par le président de la CNIL.
CE18 décembre 2015CE, 10ème/9ème SSR, 18 décembre 2015, SARL Loc Car Dream, n° 384794, Inédit., point 5(source)
Notification du rapport établi par l'un des membres de la CNIL – Transmission des observations écrites du responsable du traitement au rapporteur et à la formation restreinte – Délai d'un mois à compter de la notification du rapport
Le délai d'un mois dont dispose le responsable du traitement pour transmettre au rapporteur et à la formation restreinte ses observations écrites en application de l'article 75 du décret du 20 octobre 2005 ne s'applique qu'à la notification du rapport et non à celle des procès‑verbaux de l'article 44 de la loi du 6 janvier 1978.
CE23 mars 2015CE, 10ème/9ème SSR, 23 mars 2015, Association Lexeek pour l'accès au droit, n° 353717, T., point 5(source)
Procédure de sanction – Cumul entre le délai de réponse au rapport et le délai de convocation à la séance de la commission – Absence
Il ne résulte ni des dispositions de l’article 46 de la loi n°78‑17 du 6 janvier 1978, ni de celles des articles 75 et 76 du décret n°2005‑1309 du 20 octobre 2005 que le délai ouvert au responsable du traitement pour formuler des observations écrites en réponse au rapport qui lui a été notifié par la CNIL doive être cumulé avec celui dans lequel il est informé de la date de la séance de la commission à l’ordre du jour de laquelle est inscrite l’affaire qui le concerne.
CC12 juin 2018CC, 2018-765 DC, 12 juin 2018, Loi relative à la protection des données personnelles, point 22(source)
Garanties procédurales Agents de la CNIL, placés sous l'autorité du président, présents au cours des délibérés – Absence de méconnaissance du principe d'impartialité
Le 2° de l'article 4 insère un deuxième alinéa à l'article 17 de la loi n°78-17 du 6 janvier 1978. Cet alinéa prévoit que seuls parmi les Agents de la CNIL peuvent être présents au cours des délibérés de sa formation restreinte ceux chargés de la tenue de la séance. La circonstance que ces agents soient placés sous l'autorité du président de cette commission ne méconnaît pas le principe d'impartialité.
CE5 octobre 2020CE, 10ème-9 chambres réunies, 5 octobre 2020, Office public de l'habitat de Rennes métropole-Archipel Habitat, n° 424440, Rec., point 2(source)
Les décisions de la formation restreinte ne doivent pas nécessairement rappeler que toutes les exigences procédurales des articles 17 et 18 de la loi du 6 janvier 1978 ont été respectées.
Les articles 17 et 18 de la loi du 6 janvier 1978, dans leur rédaction applicable au litige, prévoient respectivement que les membres de la formation restreinte délibèrent hors de la présence des agents de la commission, et que le commissaire du Gouvernement puisse assister aux séances de la formation restreinte sans être présent au délibéré n’impliquent pas que les décisions de la formation restreinte de la CNIL comportent des mentions attestant de la présence des seuls agents de la commission chargés de la tenue de la séance, de la présence ou de l’absence du commissaire du Gouvernement ou du vote de chacun des membres ayant délibéré.
CE12 mars 2014CE, 10ème/9ème SSR, 12 mars 2014, Société Pages Jaunes Groupe, n° 353193, T., point 3(source)
Sanctions infligées par la formation restreinte – Applicabilité des stipulations de l'article 6§1 de la convention EDH
La formation restreinte de la Commission nationale de l’informatique et des libertés (CNIL), lorsqu’elle est saisie d’agissements pouvant donner lieu à l’exercice de son pouvoir de sanction, doit être regardée comme décidant du bien‑fondé d’accusations en matière pénale au sens de l’article 6§1 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales (conv. EDH).
