Hors collection - Le droit face à la disruption numérique - 1re - 240

240

DROIT FACE À LA DISRUPTION NUMÉRIQUE

traitements journalistiques et sous certaines conditions le secret médical sont opposables à de tels
contrôles. Le texte permet d'accroître l'efficacité des contrôles en ligne puisque les agents vont
pouvoir utiliser une identité d'emprunt.
973. Le texte permet aussi la participation d'agents des homologues européens de la Cnil à des opérations conjointes sur le territoire français et inversement la participation d'agents de la Cnil à des
enquêtes dans un autre État membre. Le projet de loi précise comment la Cnil peut participer aux
mécanismes de coordination des décisions prises entre les autorités européennes de protection des
données personnelles à l'égard d'un responsable de traitement établi dans plusieurs États membres.
974. Les pouvoirs de sanctions de la Cnil ont été renforcés et le montant des amendes administratives
a été sensiblement augmenté pour être plafonné à 10 millions d'euros ou s'agissant d'une entreprise à
2 % du chiffre d'affaires annuel mondial en cas de manquement au droit national. Les amendes pour
certains manquements peuvent être plafonnées à 20 millions d'euros ou 4 % du chiffre d'affaires
annuel mondial, en cas de violation d'obligations découlant du droit européen. En outre, le projet de
loi introduit la possibilité pour la Cnil d'assortir d'une astreinte, l'injonction à un responsable de traitement de se mettre en conformité avec la loi ou le RGPD ou de satisfaire aux demandes présentées
par la personne concernée afin d'exercer ces droits (accès, opposition, rectification). Cette astreinte
ne peut excéder 100 000 euros par jour et ne concerne pas les traitements mis en œuvre par l'État.
Ces montants sont donc dissuasifs et incitent les acteurs à prendre désormais au sérieux leur conformité aux règles de la protection des données.
975. Enfin, la Cnil obtient deux nouveaux pouvoirs juridictionnels : le premier adapte le droit français aux exigences posées par l'affaire Schrems. La Cnil pourra saisir le Conseil d'État en cas de réclamation contre un responsable de traitement mettant en cause la validité d'une décision d'adéquation
couvrant les transferts de données vers un pays tiers. Il s'agit de demander au Conseil d'État
d'ordonner la suspension ou la cessation du transfert des données en cause. Ce recours doit aussi
permettre au Conseil d'État de saisir le cas échéant la CJUE afin qu'elle apprécie la validité de la décision d'adéquation.
Le second permettra à la Cnil de présenter des observations devant toute juridiction à l'occasion d'un
litige relatif à l'application du RGPD et de la future loi sur la protection des données personnelles.

B. La limitation des formalités préalables à la mise en œuvre de certains
traitements
976. Le projet prend en compte la consécration du principe de responsabilité (« accountability ») selon
lequel il appartient en priorité au responsable de traitement de prendre toutes les mesures nécessaires
pour se conformer au droit de la protection des données. Ainsi, l'obligation actuelle de déclaration
préalable des traitements est supprimée. Dans le champ d'application du RGPD, le projet de loi
limite les autorisations préalables de traitement à deux types de données : les données génétiques et
biométriques lorsque leurs traitements sont mis en œuvre par l'État agissant dans l'exercice de ses
prérogatives de puissance publique. Dans ces cas, l'autorisation nécessaire prend la forme d'un décret
en Conseil d'État pris après avis de la Cnil. Enfin, une formalité préalable a été maintenue pour les
traitements mettant en œuvre le Numéro d'Inscription au Répertoire (NIR) par des personnes publiques ou privées. Un décret en Conseil d'État pris après avis de la Cnil doit déterminer les catégories de
responsables de traitement ainsi que les finalités autorisées pour ce type de traitement. Toutefois, les
traitements à finalités de statistiques publiques, de recherche scientifique ou historique, de téléservices

Table des matières de la publication Hors collection - Le droit face à la disruption numérique - 1re