L’année 2022 a été très riche pour la CNIL qui a prononcé 21 sanctions pour un montant cumulé de 101 277 900 euros et 147 mises en demeure (décision ordonnant de se mettre en conformité dans un certain délai), ce qui constitue un record.
Parmi les 21 sanctions infligées, 19 d’entre elles comportent des amendes et 2 contiennent des décisions de liquidation d’astreinte. Les décisions de liquidation d’astreinte sont prononcées lorsqu’une entité ne respecte pas un ordre donné par la CNIL dans sa décision de sanction. Il est à noter que 13 sanctions sur 21 ont été rendues publiques et sont accessibles sur le site internet de la CNIL.
De plus, sur les 21 sanctions, 17 ont été prononcées par la formation restreinte de la CNIL tandis que 4 ont été prononcées par le président. En effet, depuis la mise en place de la procédure de sanction simplifiée en 2022, le président de la CNIL a le pouvoir de prononcer seul une sanction lorsqu’il s’agit d’un dossier qui ne présente pas de difficulté particulière, cela permet à la CNIL de traiter davantage de plaintes.
Les sanctions concernent tant les manquements au règlement général sur la protection des données (RGPD) que les manquements à la directive ePrivacy qui traite des cookies. Les manquements les plus fréquents sont :
- le défaut d’information des personnes ;
- le non-respect de leurs droits ;
- le manque de coopération avec la CNIL;
- la mauvaise gestion des cookies et autres traceurs.
Un tiers des sanctions concerne un manquement en lien avec la sécurité des données personnelles.
Par ailleurs, la CNIL a constaté que les entités sanctionnées sont de toutes tailles et appartiennent à des secteurs très divers.
En outre, dans le cadre du guichet unique, la CNIL a adopté 3 décisions en coopération avec ses homologues européens. Le guichet unique est une procédure mise en place par le RGPD afin d’harmoniser les décisions des autorités européennes de protection des données concernant les traitements transfrontaliers.
Quant aux mises en demeure, elles ont principalement porté sur :
- l’obligation de désigner un délégué à la protection des données personnelles (DPO) ;
- la prospection commerciale et la transmission de données à des partenaires commerciaux ;
- le transfert des données vers les Etats-Unis ;
- mais aussi les mesures de sécurité de sites internet.
Là aussi, un grand nombre de mises en demeure (72) concerne un manquement en lien avec la sécurité des données personnelles.
Enfin, depuis l’entrée en application du RGPD, les autorités européennes de protection des données ont prononcé des amendes d’un total de 2,5 milliards d’euros. Il est aussi à noter que l’équivalent de la CNIL irlandaise a sanctionné plusieurs fois le groupe META.
Source :
- https://www.cnil.fr/fr/sanctions-et-mesures-correctrices-la-cnil-presente-le-bilan-2022-de-son-action-repressive
