AMENDEMENT

I. - Alinéas 4 à 8

Remplacer ces alinéas par cinq alinéas ainsi rédigés :

b) Le huitième alinéa est ainsi rédigé :

« Le responsable de traitement ou son sous-traitant justifie de la mise en conformité avant l’expiration du délai fixé par la mise en demeure. »

c) A la seconde phrase du neuvième alinéa les mots : « la décision de clôture de la procédure de mise en demeure» sont remplacés par les mots : « le président procède, le cas échéant, à la clôture de la mise en demeure et cette décision »

d) Après le neuvième alinéa est inséré un alinéa ainsi rédigé :

« Lorsque, à l’expiration du délai fixé dans la mise en demeure, le responsable de traitement ou son sous-traitant n’a pas justifié de la mise en conformité, le président de la Commission nationale de l’informatique et des libertés peut, après l’avoir invité à présenter ses observations, l’enjoindre de produire les éléments demandés et assortir cette injonction d’une astreinte dont le montant ne peut excéder 100 € par jour de retard, à la liquidation de laquelle il procède le cas échéant. Le montant total des sommes recouvrées ne peut être supérieur au montant des sommes prévues aux articles 226-16 à 226-24 du code pénal. Le sixième alinéa de l’article 22 est applicable aux injonctions sous astreinte émises par le président de la Commission nationale de l’informatique et des libertés. »

II. - Après l’alinéa 8

Insérer un alinéa ainsi rédigé :

1° bis. – Au premier alinéa du III de l’article 20, les mots : « , le cas échéant en complément d'une mise en demeure prévue » sont remplacés par les mots : « avoir prononcé à son encontre une ou plusieurs des mesures correctrices prévues ».

Le présent amendement vise, en premier lieu, à alléger la procédure de mise en demeure par le président de la Commission nationale de l’informatique et libertés (CNIL) prévue au II de l’article 20 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés en proposant un dispositif conciliant deux impératifs. Il s’agit de préserver le caractère contraignant des mises en demeure en opérant une distinction claire avec la nouvelle possibilité de rappel aux obligations légales, et ce sans entraver excessivement l’activité des services de la CNIL en imposant des contrôles systématiques de la mise en conformité. En l’état actuel du droit, la CNIL est, en effet, tenue de procéder à de tels contrôles et, le cas échéant, de prononcer la clôture de la procédure. Cette procédure n’est pas satisfaisante dès lors que sa rigidité et sa lourdeur conduisent fréquemment la CNIL à s’abstenir de prononcer des mises en demeure, quand bien même elles constitueraient la réponse appropriée aux manquements constatés. Ainsi, en 2020, seules 49 mises en demeure ont été prononcées sur un total de 14 000 plaintes adressées aux services de la CNIL.

Le dispositif proposé par le Gouvernement entend limiter l’obligation de clôture aux seules mises en demeure pour lesquelles le président de la CNIL a formulé une demande de justification de la mise en conformité. Ce mécanisme présente, d’une part, le risque de priver de toute efficacité la mise en demeure, dès lors que le responsable de traitement mis en cause ne serait pas tenu de justifier de la mise en conformité et que celle-ci ne ferait plus l’objet d’un contrôle systématique. D’autre part, il introduit une distinction entre les mises en demeure ayant fait l’objet d’une demande de justification de la mise en conformité et les autres, préjudiciable à la lisibilité et à l’opérationnalité du dispositif. 

Il est ici proposé d’instaurer une voie médiane en retirant, d’une part, l’obligation de clôture systématique des mises en demeure et en imposant, d’autre part, aux responsables de traitement concernés de produire, à l’expiration du délai fixé dans ladite mise en demeure, les éléments justifiant de la mise en conformité. Il serait ainsi opéré une véritable gradation entre la possibilité de rappel aux obligations légales, plus souple d’utilisation et adaptée aux manquements d’un faible niveau de gravité, et la mise en demeure, produisant une contrainte importante à l’égard des responsables de traitement en cause. Le président demeurerait tenu de clôturer la procédure lorsque la mise en demeure a été rendue publique. Dans les autres cas, il ne s’agirait que d’une faculté et il ne serait plus tenu de procéder à un contrôle systématique de la mise en conformité, et ce sans qu’il soit nécessaire de le préciser dans la loi.

Par ailleurs, la rédaction proposée aligne clairement le délai de mise en conformité sur celui de justification de la mise en conformité alors que la rédaction actuelle de l’article 52 semblait laisser ouverte la possibilité d’une dissociation entre les deux.

Il est également proposé de conserver le critère de l’extrême urgence, et non de l’urgence, pour décider de la mise en place d’un délai raccourci de vingt-quatre heures.

L’amendement vise, en second lieu, à conférer au président de la CNIL, et non au président de la formation restreinte, la possibilité de prononcer des injonctions, le cas échéant assortie d’une astreinte, en cas d’absence de réponse à une précédente mise en demeure. Cette nouvelle faculté permettrait de contraindre le mis en cause au respect des prescriptions contenues dans la mise en demeure sans avoir à engager une procédure de sanction, laquelle est plus lourde et serait disproportionnée eu égard à la gravité du manquement initial. Le fait de confier cette faculté directement à l’autorité ayant prononcé la mise en demeure est un gage de souplesse et de célérité dès lors qu’il évite la création d’une procédure ad hoc impliquant la saisine du président de la formation restreinte par le président de la CNIL. À titre de garanties, la rédaction proposée intègre la possibilité pour le responsable de traitement mis en cause de pouvoir présenter des observations et plafonne le montant total cumulé de l’astreinte.

Enfin, l’amendement procède à une coordination.