AMENDEMENT

I. – Alinéa 5

Supprimer les mots :

, après lui avoir adressé un avertissement ou une mise en demeure si le manquement constaté est susceptible de faire l’objet d’une mise en conformité,

II. – Alinéa 14

Après le mot :

peut

insérer le mot :

également

Cet amendement vise à rétablir la rédaction de l’article 6 du projet de loi, dans sa rédaction antérieur à l’amendement CL39 adopté en commission des lois. Cet amendement avait pour objet, selon l’exposé des motifs, de « rétablir une gradation pédagogique dans l’enchaînement des mesures susceptibles d'être prononcées » par la CNIL en obligeant cette dernière à adresser au préalable un avertissement ou une mise en demeure avant la saisine de la formation restreinte.

Or, en premier lieu, cette nouvelle obligation est contraire à la lettre et à l’esprit du règlement (UE) 2016/679.

D’une part, l’article 83 du RGPD prévoit expressément que les autorités nationales doivent pouvoir choisir, alternativement ou cumulativement, entre le prononcé d’une amende pécuniaire et/ou une mise en demeure de se conformer au cadre juridique. L’article 58.2 prévoit ainsi que « chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes » sans qu’une gradation ne soit prévue.

D’autre part, le RGPD développe des systèmes de coopération et de cohérence avec des autorités de contrôle des Etats-membres que l’amendement voté met à mal. En effet, s’agissant par exemple d’un traitement transfrontalier, les autres autorités pourraient demander à la CNIL de prendre directement une sanction pécuniaire sans mise en demeure préalable et le comité européen à la protection des données pourrait même prendre une décision contraignante à cet effet. Un tel conflit de normes serait très dommageable pour la sécurité des procédures répressives nationales.

En second lieu, l’amendement voté a des conséquences importantes sur le fonctionnement de la CNIL.

Cette gradation imposée va susciter des alourdissements opérationnels conséquents, à la fois pour la CNIL, qui devra prendre en charge, pour le même manquement, une procédure de mise en demeure ou d’avertissement par le président de la Commission puis (éventuellement en parallèle) une procédure de sanction par sa formation restreinte. Les organismes incriminés auront également à gérer ces deux catégories de procédure, soit de manière simultanée si les manquements peuvent être distingués en deux catégories (procédure de sanction correspondant aux manquements pour des faits passés, qui ne sauraient en tout état de cause faire l’objet d’une mise en conformité, et mise en conformité par le biais d’une mise en demeure pour l’avenir), soit de manière successive si le manquement persiste. En pratique, ces deux pratiques devront en outre faire l’objet d’une articulation entre différentes formation de la CNIL (le président et la formation restreinte) avec un manque de lisibilité pour les acteurs économiques.

Enfin, l’impossibilité de prononcer, dans certains cas nécessaires, directement une sanction est susceptible de mettre à mal le pouvoir répressif de la CNIL à l’égard de certains acteurs et  l’effet dissuasif de la sanction. Il pourrait en résulter le risque que cette rigidification du pouvoir répressif de la CNIL conduise à l’inverse de l’effet recherché. Les organismes les mieux dotés juridiquement, qui ne sont pas les cibles principales de l’amendement voté en commission, sachant qu’une mise en conformité ne les rend plus éligibles à la sanction, n’ont pas d’incitation à corriger d’eux-mêmes un manquement qu’ils auraient constaté et sont au contraire incités à attendre une mise en demeure de la CNIL, qui leur permet de se protéger, au moins dans un premier temps, contre toute amende pécuniaire. L’absence de possibilité, pour la CNIL, de prononcer directement une sanction sans recourir préalablement à une mise en demeure ou un avertissement pourrait donc avoir un effet désincitatif à la mise en conformité pour certains organismes.