Droit en Poche - RGPD : la protection des données à caractère personnel - 5e - 74

Le RGPD renforce la coopération entre autorités de contrôle désormais
tenues d'une obligation d'assistance mutuelle. À ce titre, elles
doivent se communiquer toutes informations utiles et se porter
mutuellement assistance, notamment au travers d'enquêtes et de
contrôles communs.
Les pouvoirs
Les pouvoirs des autorités de contrôle sont de trois ordres.
Elles disposent :
- de pouvoirs d'enquête : mener des audits sur la protection
des données, notifier à un responsable du traitement ou à un
sous-traitant une violation alléguée du Règlement, etc. ;
- du pouvoir d'adopter des mesures correctives : comme
d'avertir un organisme traitant des données que les opérations
envisagées sont susceptibles de violer la loi, d'ordonner à un
responsable du traitement ou un sous-traitant de répondre
aux demandes d'une personne concernée, d'imposer une limitation
temporaire ou définitive d'un traitement, etc. ;
- de pouvoirs de consultations et d'autorisations : elles
doivent notamment rendre un avis sur des projets de code de
conduite, approuver les Binding Corporate Rules (v. Fiche 9),
autoriser préalablement certains traitements, etc.
Focus sur la procédure de sanction simplifiée de la CNIL
La loi n°2022-52 du 24 janvier 2022 relative à la responsabilité pénale
et à la sécurité intérieure a modifié la LIL afin de créer une procédure
de sanction simplifiée. Applicable aux dossiers peu complexes ou aux
manquements de faible gravité, elle vise à permettre à la CNIL de
« mieux agir face aux plaintes de plus en plus nombreuses » (site de
la CNIL). Le président de la CNIL peut décider d'orienter les dossiers
répondant à ces caractéristiques vers cette procédure simplifiée. Il saisit
alors le président de la formation restreinte et désigne un rapporteur
parmi les agents de la CNIL en charge d'instruire le dossier. Ce dossier
suit alors les mêmes étapes que la procédure de sanction ordinaire,
à l'exception du fait que le président de la formation restreinte statue
seul sans audience publique, sauf dans l'hypothèse où le défendant demanderait
à être entendu. Les sanctions susceptibles d'être prononcées
sont limitées à 20 000 euros et à une injonction sous astreinte limitée à
100 euros par jour de retard. Elles ne sont pas publiques.
La répartition des compétences entre
autorité chef de file et autorité de contrôle
concernée
Par principe, chaque autorité de contrôle est compétente pour
« exercer les missions et les pouvoirs dont elle est investie (...) sur
le territoire de l'État membre dont elle relève » (art. 55, 1).
Le Règlement offre cependant, la possibilité de désigner une autorité
chef de file. Ce dispositif du « one stop shop » permet à
un responsable du traitement ou à un sous-traitant établit dans
72
Droit en Poche - RGPD : la protection des données à caractère personnel - 5e

Table des matières de la publication Droit en Poche - RGPD : la protection des données à caractère personnel - 5e
