L’année 2012 sera l’année des « procédures Cnil » : après le remaniement de la composition de la Cnil et une forte augmentation du nombre de contrôles, l’arsenal procédural se renforce.
En effet, un décret, entré en vigueur le 31 décembre 2011 et modifiant le décret d’application de la loi Informatique et libertés, a apporté d’importantes modifications des procédures Cnil de contrôle et de sanction.
En premier lieu, la procédure de contrôle est précisée. A cet égard, alors que la loi Informatique et libertés avait d’ores et déjà été modifiée en ce sens, le texte d’application ajoute qu’en cas de contrôle, le responsable des lieux doit être informé de son droit de s’opposer à la visite de la Cnil.
Dans cette hypothèse, il était prévu par la loi que la visite, pour avoir lieu, devait être autorisée par la juge des libertés et de la détention (JLD). C’est cette procédure que le nouveau texte vient également préciser, en créant 3 nouveaux articles relatifs aux conditions dans lesquelles le JLD statue sur cette autorisation de contrôle sur place. Il précise notamment que le juge doit statuer par ordonnance dans un délai de 48 heures et indique les mentions obligatoires à faire figurer dans ladite ordonnance, ainsi que les modalités de notification de cette ordonnance. Ces nouvelles dispositions précisent également que le JLD peut assister aux visites qu’il a autorisées.
En outre, la procédure d’appel devant le premier président de la Cour d’appel, en cas de recours à l’encontre de l’ordonnance rendue par le JLD ou à l’encontre du déroulement des opérations de visite autorisées par le JLD, est détaillée et une précision est ajoutée quant à la possibilité de former un pourvoi en cassation à l’encontre de l’ordonnance du premier président de la Cour d’appel.
Enfin, concernant les modifications touchant à la procédure de vérifications sur place, il convient de préciser que la notification du procès-verbal de contrôle au responsable des lieux et au responsable du traitement doit désormais être effectuée par lettre recommandée avec demande d’avis de réception.
En second lieu, c’est la procédure de sanction qui subit des modifications. A cet égard, le décret précité modifie de prime abord la composition de la formation restreinte : elle est désormais composée d’un président, d’un seul vice-président et de 4 autres membres. Par ailleurs, le décret substitue à la compétence de la commission celle de la formation restreinte pour les sanctions prononcées selon la procédure d’urgence.
Le nouveau texte facilite la notification des mises en demeure et des rapports proposant une sanction en ce qu’il n’impose plus de modalités particulières mais prévoit uniquement que ces documents peuvent être notifiés au responsable du traitement « par tout moyen permettant à la commission d’apporter la preuve de la date de cette notification ».
Concernant la mise en demeure, une nouvelle disposition prévoit d’ailleurs également que le délai initialement accordé pour y répondre (de 10 jours à 3 mois hors procédure d’urgence) peut être renouvelé une fois lorsque la complexité de l’affaire le justifie.
Par ailleurs, pour ce qui concerne les observations en réponse aux rapports, le décret d’application prévoit désormais que le responsable du traitement doit adresser ses observations écrites, toujours dans un délai d’un mois, non plus à la « commission », mais au rapporteur et à la formation restreinte.
En outre, dans le cadre du déroulement de la séance de la formation restreinte, une petite subtilité s’est glissée dans le décret concernant le rôle du commissaire du gouvernement : ce dernier ne présente plus des « observations » sur l’affaire mais est invité à « donner son avis ». Par ailleurs, un agent des services de la Cnil, faisant office de secrétaire de séance, peut désormais être désigné par le président de la formation restreinte et assister au délibéré de la formation restreinte, sans toutefois y prendre part.
Enfin, une dernière modification -et de taille !- concerne les décisions de sanction. Alors que l’ancien texte prévoyait que la publication de la décision de sanction, lorsqu’elle était décidée, ne pouvait intervenir que dans le délai d’un mois à compter du jour où la sanction était devenue définitive, la nouvelle rédaction permet à la Cnil de procéder à la publication de la décision de sanction dès la notification de celle-ci à l’intéressé, cette décision ainsi publiée devant toutefois faire apparaître qu’un recours est susceptible d’être exercé à son encontre devant le juge administratif.
(1) Décret n° 2011-2023 du 29-12-2011
(2) Décret n° 2005-1309 du 20-10-2005
(3) Loi n° 78-17 du 6-1-1978