Règlement (UE) 2016/679, article 58.2

Mise en demeure de la CNIL : ce qu'elle est et comment y répondre

Une mise en demeure n'est pas une sanction. C'est une injonction de mettre un traitement en conformité dans un délai déterminé, et c'est le moment de la procédure où l'issue se joue encore entièrement : une mise en demeure à laquelle il est répondu dans le délai et sur tous les points se clôt sans suite, et la clôture peut être rendue publique lorsque la mise en demeure l'avait été.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Ce que la mesure est, et ce qu'elle n'est pas

La mise en demeure relève des pouvoirs correcteurs de l'article 58.2 du règlement, qui permet notamment à l'autorité d'ordonner au responsable ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du règlement, le cas échéant de manière déterminée et dans un délai déterminé.

Elle n'est pas une amende, ne figure pas au casier de l'organisation et ne préjuge pas d'une sanction. Elle constate des manquements, désigne les dispositions méconnues, et impartit un délai pour y remédier. Une organisation qui s'y conforme intégralement dans le délai voit la procédure close.

Elle peut en revanche être rendue publique. Lorsqu'elle l'est, la publicité fait partie de la mesure et produit ses effets dès la notification ; la clôture, lorsqu'elle intervient, peut alors elle aussi être rendue publique, ce qui est la seule manière de faire connaître que les manquements ont été corrigés.

Le délai et son usage

Le délai est fixé dans la décision et court à compter de sa notification. Il est apprécié au regard de la nature des manquements : un défaut d'information se corrige plus vite qu'une refonte de la politique de durées de conservation, et les délais impartis reflètent cette différence.

La règle pratique est de traiter d'abord ce qui est visible et vérifiable de l'extérieur — mentions d'information, bandeau de traceurs, formulaires —, parce que l'autorité peut le constater elle-même sans attendre la réponse, et ensuite ce qui suppose une reprise interne. Une organisation qui, au jour de la réponse, a corrigé l'ensemble des points vérifiables en ligne a déjà modifié la manière dont son dossier est lu.

Lorsqu'un point ne peut pas être traité dans le délai pour une raison objective — une purge qui suppose une migration, une renégociation contractuelle en cours —, il vaut mieux le dire, en produisant le calendrier et les preuves d'engagement, que de laisser le point sans réponse. L'article 83.2 fait entrer en compte les mesures prises pour atténuer le dommage et le degré de coopération : un calendrier tenu relève de cette coopération, un silence non.

Construire la réponse

La réponse utile est structurée comme la mise en demeure elle-même : un point par grief, dans l'ordre de la décision. Chaque point indique ce qui a été fait, à quelle date, et renvoie à la pièce qui l'établit — capture datée, version du document, extrait de configuration, procès-verbal de décision.

Trois erreurs reviennent. Répondre par une note générale décrivant la démarche de conformité sans traiter chaque grief, ce qui oblige l'autorité à chercher elle-même les réponses. Produire des documents non datés, qui n'établissent pas que la correction est intervenue dans le délai. Et contester le grief sans corriger, alors que les deux ne s'excluent pas : il est possible de se mettre en conformité tout en indiquant que l'on ne partage pas l'analyse, et cette position est mieux reçue que l'inaction.

Si le délai n'est pas tenu

L'absence de mise en conformité dans le délai imparti ouvre la voie à l'engagement d'une procédure de sanction. Le manquement initial demeure, et s'y ajoute le fait de ne pas s'être conformé à une injonction de l'autorité — hypothèse que l'article 83.5 e) du règlement rattache au plafond le plus élevé.

C'est la raison pour laquelle une mise en demeure doit être traitée comme une échéance ferme et non comme l'ouverture d'un dialogue. Le dialogue reste possible, mais il se conduit dans le délai, et sur la base de corrections déjà engagées.

Questions fréquentes

Une mise en demeure de la CNIL est-elle une sanction ?

Non. C'est une mesure correctrice prévue à l'article 58.2 du règlement (UE) 2016/679, qui ordonne de mettre les traitements en conformité dans un délai déterminé. Elle n'emporte aucune amende et se clôt sans suite lorsque l'organisation s'y conforme. Elle peut en revanche être rendue publique, et la publicité fait alors partie de la mesure.

Peut-on demander un délai supplémentaire ?

Une demande motivée, accompagnée d'un calendrier précis et de preuves d'engagement, est préférable au silence sur un point qui ne peut objectivement pas être traité dans le délai. Elle ne garantit pas l'octroi d'un report, mais elle relève du degré de coopération que l'article 83.2 du règlement fait entrer en compte.

La mise en demeure est-elle publique ?

Elle ne l'est pas systématiquement. La publicité est décidée au regard de la nature des manquements et du nombre de personnes concernées. Lorsqu'une mise en demeure a été rendue publique, sa clôture peut également l'être, ce qui permet de faire connaître que les manquements ont été corrigés.

Que se passe-t-il après la réponse ?

L'autorité examine les éléments produits et vérifie, le cas échéant par ses propres moyens, que les corrections annoncées sont effectives. Si elle estime les manquements corrigés, la procédure est close. À défaut, elle peut engager une procédure de sanction, au cours de laquelle l'organisation est mise à même de présenter ses observations.

Ce que ce régime déclenche ailleurs

Une mise en demeure fait suite à des constats : les pièces à produire en réponse sont, pour l'essentiel, celles qui auraient dû exister avant.

Se préparer à une vérification

Ce qu'ouvre l'article 77, comment une réclamation est instruite, la réponse à construire, et ce qui évite qu'un litige individuel devienne une procédure générale.

Plainte CNIL

Qualifier la violation, tenir le délai de 72 heures, articuler les régimes de notification, et les décisions à prendre dans les premières heures.

Rançongiciel

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.