La CNIL renforce son action via la procédure simplifiée de sanctions : 23 décisions depuis janvier

La Commission nationale de l’informatique et des libertés (CNIL) a récemment publié un bilan de son action répressive pour l’année en cours, révélant 23 nouvelles sanctions prononcées depuis janvier dans le cadre de sa procédure simplifiée. Cette voie accélérée, introduite en 2022, permet de sanctionner les manquements au Règlement général sur la protection des données (RGPD) ne présentant pas de complexité juridique majeure.

Une procédure adaptée aux manquements sans difficulté juridique

Contrairement à la procédure ordinaire, la procédure simplifiée est décidée unilatéralement par le président de la formation restreinte de la CNIL ou l’un de ses membres. Ses caractéristiques principales incluent :

• Un plafond d’amende fixé à 20 000 € maximum ;
• L’anonymisation systématique des organismes sanctionnés ;
• Un recouvrement des amendes par le Trésor public, alimentant le budget de l’État.

Les principaux manquements sanctionnés

Les décisions récentes de la CNIL ciblent trois axes majeurs de non-conformité :

Vidéosurveillance et respect de la vie privée des salariés

Plusieurs entités, opérant notamment dans la restauration rapide, le transport urbain ou la gestion de commerces en gare, ont été sanctionnées pour des dispositifs de surveillance vidéo jugés disproportionnés. Les manquements relevés concernent :

• L’absence d’autorisation préfectorale requise pour l’installation de caméras ;
• Le non-respect du principe de minimisation des données, avec une captation permanente des salariés sans justification exceptionnelle.

Gestion des cookies et consentement utilisateur

Des contrôles en ligne ont révélé des irrégularités dans la présentation des bandeaux d’information relatifs aux cookies, notamment :

• Une information incomplète sur les finalités des traceurs et les responsables de traitement ;
• L’absence de mécanisme de refus aussi simple que celui d’acceptation (ex. : obligation de cliquer sur « personnaliser » pour refuser) ;
• Le dépôt de cookies soumis à consentement avant toute action de l’utilisateur.

Non-respect des droits des personnes et défaut de coopération

Sur les 23 sanctions, huit concernent des manquements aux droits d’accès ou d’effacement, dont quatre associés à un défaut de coopération avec la CNIL. Les irrégularités constatées incluent :

• L’absence de réponse ou des délais de traitement excessifs aux demandes d’exercice des droits ;
• Le non-respect des injonctions de la CNIL, entraînant le prononcé d’astreintes financières.

Cadre légal et obligations renforcées

Ces sanctions s’appuient sur plusieurs textes fondamentaux :

• Les articles 5.1.a et 5.1.c du RGPD (licéité, loyauté, transparence et minimisation des données) ;
• L’article 12 du RGPD (modalités d’exercice des droits) ;
• L’article 15 du RGPD (droit d’accès) et l’article 17 du RGPD (droit à l’effacement) ;
• L’article 18 de la loi Informatique et Libertés (obligation de coopération avec la CNIL) ;
• L’article 82 de la loi Informatique et Libertés (règles relatives aux cookies).

Ces décisions illustrent la volonté de la CNIL d’agir avec célérité pour protéger les droits des personnes, tout en rappelant l’importance de la coopération avec l’autorité de contrôle dans le cadre de ses investigations.

Source : CNIL — Actualités