La mise en demeure n'est pas une sanction. Elle permet à l'entreprise de régulariser sa situation et d'obtenir la clôture de la procédure.
La mise en demeure fixe généralement les objectifs de mise en conformité sans préciser les moyens de les atteindre. L'entreprise doit donc déterminer les mesures juridiques, techniques et organisationnelles appropriées et les mettre en œuvre dans le délai imparti.
Comment organiser cette mise en conformité et éviter l'engagement d'une procédure de sanction ?
1. Quelle est la portée d’une mise en demeure de la CNIL ?
La mise en demeure est une décision de la présidente de la CNIL qui impose à un organisme de remédier aux manquements constatés lors d'un contrôle.
Elle précise les mesures attendues et le délai imparti. Elle peut notamment porter sur les pratiques de collecte, les durées de conservation, la sécurité des données ou l'exercice des droits des personnes.
Contrairement à une procédure de sanction, la mise en demeure ne donne pas lieu à une procédure contradictoire préalable. L'entreprise ne dispose donc pas d'une phase formalisée pour discuter les manquements retenus ou les mesures prescrites.
La mise en demeure peut être rendue publique par décision du bureau de la CNIL, ce qui ajoute un risque réputationnel à ses enjeux juridiques.
2. Comment définir les mesures de mise en conformité ?
La principale difficulté consiste à traduire les exigences de la CNIL en mesures opérationnelles. La mise en demeure fixe généralement un résultat à atteindre, sans détailler les solutions techniques ou organisationnelles à mettre en œuvre. Il appartient à l'entreprise de déterminer les mesures adaptées à ses traitements et à ses systèmes d'information.
Cette analyse suppose de comprendre les manquements relevés lors du contrôle et les attentes de la CNIL. Une interprétation insuffisante de ces exigences peut conduire à retenir des mesures correctrices inadaptées.
Les mesures retenues doivent ensuite être déclinées en actions concrètes, avec un calendrier de réalisation. Selon les manquements, leur mise en œuvre peut nécessiter l'intervention des équipes juridiques, techniques et métiers, ainsi que de prestataires externes.
Par exemple, la correction de manquements relatifs aux durées de conservation peut impliquer une modification des paramétrages des applications et des procédures d'effacement, au-delà de la seule actualisation des politiques internes.
3. Quel délai pour se conformer à une mise en demeure ?
Le délai de mise en conformité est fixé dans la décision de mise en demeure. Il court à compter de sa réception et ne peut, sauf urgence, être inférieur à dix jours.
Depuis 2022, ce délai n'est plus plafonné à six mois. Lorsque la complexité de l'affaire le justifie, il peut également être prolongé une fois.
L'entreprise doit donc tenir compte du délai imparti dès la définition des mesures correctrices, notamment lorsque leur mise en œuvre nécessite des développements techniques ou l'intervention de prestataires.
4. Comment la CNIL vérifie-t-elle la mise en conformité ?
La CNIL peut demander à l'entreprise de justifier sa mise en conformité, notamment par la transmission d'une réponse écrite accompagnée de justificatifs. Elle peut également prononcer une mise en demeure sans exiger de réponse ni de justificatifs.
La CNIL peut aussi procéder à un nouveau contrôle pour vérifier l'effectivité des mesures adoptées. Elle identifie expressément les mises en demeure parmi les origines possibles de ses contrôles.
Dans tous les cas, l'entreprise doit être en mesure de démontrer la mise en œuvre effective des mesures correctrices, notamment sur le plan technique et opérationnel.
5. Quelles sont les suites d’une mise en demeure ?
La clôture de la procédure
Lorsque les manquements ont été corrigés, la présidente de la CNIL peut prononcer la clôture de la mise en demeure. Si celle-ci était publique, sa clôture fait également l'objet d'une publicité.
L'engagement d'une procédure de sanction
Si un nouveau contrôle révèle que les mesures prescrites n'ont pas été mises en œuvre dans le délai imparti, la présidente de la CNIL peut engager une procédure de sanction.
Un second contrôle n'est toutefois pas obligatoire. La procédure de sanction peut également être engagée sur la base des éléments dont dispose déjà la CNIL, notamment lorsqu'une réponse écrite était exigée.
L'entreprise s'expose alors notamment à une amende administrative.
Comment Odoné accompagne les entreprises faisant l'objet d'une mise en demeure CNIL
Odoné accompagne les entreprises dans l'interprétation des exigences de la CNIL, la définition des mesures correctrices et le suivi de leur mise en œuvre.
Notre expérience des contrôles et des procédures de sanction permet d'identifier les attentes de l'autorité et de sécuriser les choix de mise en conformité, afin de favoriser la clôture de la procédure.
