Pour l'application des articles 8 et 20 de la loi n° 78‑17 du 6 janvier 1978, la CNIL dispose, s'agissant de l'usage des prérogatives qui lui ont été conférées pour l'accomplissement de ses missions, d'un large pouvoir d'appréciation, en particulier pour ce qui concerne l'exercice de son pouvoir de sanction, que ce soit pour apprécier l'opportunité d'engager des poursuites de sa propre initiative ou pour décider des suites à donner aux plaintes qu'elle peut recevoir. À cet égard, la Commission peut tenir compte de la gravité des manquements en cause au regard de la législation ou de la réglementation qu'elle est chargée de faire appliquer, de la date à laquelle ils ont été commis, du contexte dans lequel ils l'ont été et, plus généralement, de l'ensemble des intérêts généraux dont elle a la charge. Il lui est loisible, dans ce domaine comme dans tout autre domaine relevant de ses attributions, de rendre publiques les orientations qu'elle a arrêtées pour l'exercice de ses pouvoirs.

1) Dans le cadre d'un contentieux opposant une banque à l'Autorité de contrôle prudentiel et de résolution (ACPR), si la décision par laquelle la commission des sanctions de l'ACPR rend publique la sanction prononcée a le caractère d'une sanction complémentaire, elle n'a pas à faire l'objet d'une motivation spécifique, distincte de la motivation d'ensemble de la sanction principale.

2) Les modalités de publication sont susceptibles d'avoir un impact sur la perception qu'aura le public de la décision de la commission des sanctions. Il y a en conséquence lieu pour le Conseil d'État de vérifier que ces modalités respectent un équilibre entre les exigences d'intérêt général citées au point précédent et les intérêts de la personne sanctionnée. Il y a lieu, dans les circonstances de l'espèce, de faire droit à la demande de la société sanctionnée et d'ordonner l'ajout, dans la version publiée, de membres de phrase susceptibles d'atténuer, aux yeux du public, la responsabilité de la société dans les griefs retenus (en l'espèce, une mention que les opérations étaient effectuées à l'initiative et sous la surveillance des pouvoirs publics).

Lorsqu'elle prononce une sanction, la formation restreinte de la CNIL n'est pas tenue de se prononcer sur l'ensemble des critères mentionnés au 2° de l'article 83 du RGPD mais uniquement sur ceux sur lesquels elle fonde sa décision. Par ailleurs, la formation restreinte n'est pas tenue de procéder à une explicitation du mode de détermination du montant de la sanction qu'elle prononce.