AgentPublic/cnil huggingface dataset:
24. L’article 83 du RGPD prévoit que " Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives ", avant de préciser les éléments devant être pris en compte pour décider s'il y a lieu d’imposer une amende administrative et pour décider du montant de cette amende.
 
25. En 2021, le résultat global de clôture du compte administratif du budget principal de la commune était en déficit de 13 094 989,01 euros. En 2022, son budget principal était proposé par la chambre régionale des comptes de […]en déficit de 3 570 006 euros.
 
26. La formation restreinte considère que, dans le cas d’espèce, les manquements précités justifient que soient prononcés une amende administrative et une injonction de désigner un délégué à la protection des données à l’encontre de la commune.
 
A. Sur le prononcé d’une amende administrative
 
27. La formation restreinte rappelle qu’elle doit tenir compte, pour le prononcé d’une amende administrative, des critères précisés à l’article 83 du RGPD, tels que la nature, la gravité et la durée de la violation, les mesures prises par le responsable du traitement pour atténuer le dommage subi par les personnes concernées, le degré de coopération avec l’autorité de contrôle et les catégories de données à caractère personnel concernées par la violation.
28. La formation restreinte relève le rôle central du délégué à la protection des données, pierre angulaire du régime de responsabilité, qui facilite le respect des règles, agit comme intermédiaire entre les administrés et une collectivité publique et vient ainsi renforcer la confiance accordée aux organismes publics. 
 
29. Au vu de la nature de l’organisme concerné, commune de plus de 16 000 habitants qui exerce des missions de service public, la formation restreinte estime nécessaire de sensibiliser la commune sur l’indispensable protection des données à caractère personnel qu’elle traite au titre de ses missions par la désignation d’un délégué à la protection des données. 
 
30. La formation restreinte considère que la persistance de l’absence de désignation d’un délégué à la protection des données par la commune témoigne d’un mépris des obligations pesant sur elle en matière de protection des données à caractère personnel, et ce, d’autant plus que cette désignation aurait dû intervenir dès la mise en application du RGPD le 25 mai 2018.
 
31. La formation restreinte souligne que ce manquement a perduré malgré les différentes procédures initiées par la CNIL à l’encontre de la commune.
32. Ainsi, la formation restreinte relève que, malgré les diverses mesures correctrices prises par la CNIL, à savoir une mise en demeure de sa présidente de remédier à ce manquement puis une sanction du président de la formation restreinte assortie d’une amende administrative de cinq mille (5 000) euros, la commune n’a pas pris les mesures nécessaires pour assurer sa mise en conformité, et ce, malgré les injonctions précises qui lui avaient été adressées. 
 
33. En outre, la commune a manqué à son obligation de coopération avec la CNIL par l’absence de toute réponse.
 
34. Aussi, la formation restreinte considère que le prononcé d’une amende à l’encontre de la commune est justifié par la persistance des manquements relatifs à l’absence de désignation d’un délégué à la protection des données et au défaut de coopération depuis la décision du 8 février 2023 rendue par le président de la formation restreinte.
 
35. Par ailleurs, la formation restreinte souligne que les faits sanctionnés seraient susceptibles de porter une atteinte suffisamment caractérisée aux dispositions dont la CNIL a pour mission d’assurer l’application et de constituer ainsi une infraction pénale en application du 2° de l’article 226-22-2 du code pénal. 
 
36. En conséquence, la formation restreinte considère que ces manquements justifient qu’une amende administrative soit prononcée.
37. S’agissant du montant de l’amende, compte tenu de l’activité de l’organisme qui est une collectivité territoriale et de sa situation financière, la formation restreinte considère que le prononcé d’une amende administrative de 5 000 euros apparaît justifié.
 
B. Sur le prononcé d’une injonction assortie d’une astreinte
 
38. En premier lieu, la formation restreinte relève que la commune n’a toujours pas procédé à la désignation d’un délégué à la protection des données.
 
39. Au regard de la persistance du manquement relevé au titre de la désignation d’un délégué à la protection des données persiste, la formation restreinte estime nécessaire le prononcé d’une injonction afin que la commune se mette en conformité avec ses obligations.
 
40. En second lieu, la formation restreinte souligne qu’une astreinte journalière est une pénalité financière par jour de retard que devra payer le responsable de traitement en cas de non-respect de l’injonction à l’expiration du délai d’exécution prévu. 
 
41. La formation restreinte ajoute qu’aux fins de conserver à l’astreinte sa fonction comminatoire, son montant se doit d’être à la fois proportionné à la gravité des manquements reprochés mais également adapté aux capacités financières du responsable de traitement. 
 
42. Au regard de ces éléments, la formation restreinte considère proportionné le prononcé d’une astreinte d’un montant de 150 euros par jour de retard et liquidable à l’issue d’un délai de deux mois.
C. Sur la publicité de la décision
 
43. Enfin, la formation restreinte estime nécessaire que sa décision soit rendue publique au regard de la gravité des manquements et de leur persistance.
 
44. Elle souligne que la protection des données à caractère personnel par les collectivités publiques est d’autant plus importante qu’elles traitent un nombre considérable de données, dont certaines sont sensibles. En outre, les enjeux de cybersécurité, notamment au regard de la recrudescence des attaques à l’encontre des systèmes d’informations de ces entités, font ressortir l’importance du rôle du délégué à la protection des données auprès des collectivités publiques.
 
 
PAR CES MOTIFS
 
La formation restreinte de la CNIL, après en avoir délibéré, décide de : 
 
• prononcer à l’encontre de la commune X une amende administrative d’un montant de cinq mille (5 000) euros au regard des manquements constitués aux articles 31 et 37 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données ;
 
• prononcer à l’encontre de la commune X une injonction de désigner un délégué à la protection des données assortie d’une astreinte de cent-cinquante (150) euros par jour de retard à l’issue d’un délai de deux mois suivant la notification de la délibération de la formation restreinte ;
• rendre publique, sur le site de la CNIL et sur le site de Légifrance, sa délibération, qui n’identifiera plus nommément la commune X à l’expiration d’un délai d’un an à compter de sa publication ;
 
• ordonner à la commune de publier, sur le site officiel de la commune X accessible à l’adresse https://www.[...].fr/, un message d’information à destination de ses usagers quant à la présente décision de la formation restreinte ;
 
La publication de ce communiqué sera effectuée selon les modalités suivantes :
- L’encart inséré reproduira avec fidélité le texte suivant : " Communiqué : la formation restreinte de la Commission nationale de l’informatique et des libertés a prononcé une amende de 5000 euros contre la commune X et une injonction de désigner un délégué à la protection des données assortie d’une astreinte de 150 euros par jour de retour dans un délai de deux mois après la notification de la décision pour manquements à la désignation d’un délégué à la protection des données et à l’obligation de coopérer avec les services de la CNIL. Décision accessible à l’adresse suivante : https://www.cnil.fr/fr/sanction-[...]" 
- Le texte https://www.cnil.fr/fr/sanction-[...] comportera un pointeur hypertexte activable par l’utilisateur
- Le communiqué figurera dans un encart spécifique localisé sur la page accessible à l’adresse https://www.[...].fr/. Cet encart sera inséré sous le bandeau contenant les boutons " la mairie ; politique de la ville ; urbanisme ; éducation ; culture, sports, partenaires "
- Le texte publié sera encadré selon le style employé par la mairie sur son site dans la police identique à celle utilisée dite " montserrat " et dont la taille ne saurait être inférieure à 14 pixels
- La publication est ordonnée pour une durée de 4 jours à compter de 12h00, heure de Paris (France), le septième jour suivant la notification de la présente délibération
- A l’issue de la période mentionnée ci-dessus, la commune procédera au retrait du texte de l’encart.
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
 
Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de trois mois à compter de sa notification.
La Commission nationale de l'informatique et des libertés (ci-après "la CNIL"),
 
Saisie par la société Nestlé France au nom et pour le compte du groupe Nestlé S.A. (ci-après "Nestlé"), d’une demande d’approbation de ses BCR "responsable du traitement" ;
 
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données ou RGPD), notamment ses articles 47, 57 et 64 ;
 
Vu la décision de la CJUE C-311/18 Data Protection Commissioner contre Facebook Ireland Ltd et Maximillian Schrems, du 16 juillet 2020 ;
 
Vu les recommandations 01/2020 sur les mesures qui complètent les instruments de transfert destinés à garantir le respect du niveau de protection des données à caractère personnel de l'UE, du 18 juin 2021 ;
 
Vu les recommandations 1/2022 sur la demande d’approbation et sur les éléments et principes à inclure dans les BCR responsable de traitement (article 47 RGDP), du 20 juin 2023 ;
 
Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés ;
 
Sur la proposition de Mme Anne DEBET, commissaire, et après avoir entendu les observations de M. Damien MILIC, commissaire du Gouvernement,
 
Formule les observations suivantes :
En vertu de l’article 47-1 du RGPD, la CNIL approuve des règles d’entreprise contraignantes ("BCR") sous réserve que celles-ci répondent aux exigences prévues par cet article.
 
La mise en œuvre et l’adoption de BCR par un groupe d’entreprises visent à fournir des garanties aux responsables de traitement et aux sous-traitants établis sur le territoire de l’Union européenne ("UE") afin qu’un niveau de protection uniforme soit appliqué aux données transférées vers des pays tiers, et ce, indépendamment du niveau de protection conféré par chacun de ces pays tiers.
Toutefois, avant de mettre en application ces BCR, il incombe à l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, d'apprécier si le niveau de protection requis par le droit de l’UE est respecté dans le pays tiers de destination, y compris dans les situations de transferts ultérieurs. Cette évaluation doit être effectuée afin de déterminer si les garanties établies par les BCR peuvent être respectées dans la pratique, compte tenu des circonstances du transfert et des conflits qui peuvent exister entre les exigences du droit du pays tiers et les droits fondamentaux. Si tel n'est pas le cas, l'exportateur de données situé dans un État membre, le cas échéant en collaboration avec l'importateur de données, doit évaluer s'il peut prévoir des mesures supplémentaires pour assurer un niveau de protection substantiellement équivalent à celui garanti au sein de l’UE. La mise en œuvre des mesures supplémentaires relève de la responsabilité de l’exportateur, y compris après l’approbation des BCR par l’autorité compétente. Par conséquent, ces mesures supplémentaires ne font pas partie des éléments analysés dans le cadre de la procédure d’approbation des BCR.
Dans le cas où l'exportateur de données établi dans un État membre n'est pas à même de prendre des mesures supplémentaires suffisantes pour assurer un niveau de protection substantiellement équivalent à celui garanti dans l’UE, il ne peut y avoir de transfert de données à caractère personnel vers le pays tiers en vertu des BCR. Par conséquent, l'exportateur de données est tenu de renoncer, de suspendre ou de mettre fin au transfert de données à caractère personnel. Dans la même logique, lorsque l’exportateur prend connaissance de nouveaux développements touchant à la protection des données dans un pays tiers qui diminuent le niveau de protection attendu ; il est tenu de suspendre ou mettre fin au transfert concerné.
 
Conformément à la procédure de coopération décrite par le document de travail WP263 rev.01[1], la documentation relative aux BCR "responsable du traitement" du groupe a été instruite par les services de la CNIL en qualité d’autorité compétente, puis par les services de deux autres autorités de protection des données agissant en qualité de co-examinatrices. Ces BCR ont également été revues par les autorités de protection des données des pays membres de l’Espace économique européen ("EEE") en application de la procédure d’approbation mise en place par le Comité européen de la protection des données ("CEPD").
L’instruction des BCR "responsable du traitement" du groupe permet de conclure que celles-ci sont conformes aux critères imposés par l’article 47-1 du RGPD et le document de travail WP256 rev.01[2], notamment parce que les BCR susmentionnées :
 
I- sont rendues juridiquement contraignantes par un contrat intra-groupe et imposent une obligation claire à chaque entité liée, y compris à leurs employés, de les respecter (article 1.1 des BCR et articles 2.1 et 2.2 du contrat intra-groupe) ;
II- confèrent expressément des droits aux personnes concernées leur permettant de s’en prévaloir en tant que tiers bénéficiaires via l’article 26.2 des BCR ;
III- répondent aux exigences prévues par l’article 47-2 du RGPD :
a) la structure et les coordonnées du groupe d’entreprises et de chacune des entités liées sont détaillées dans le formulaire de soumission qui a été fourni dans le cadre de l’instruction du dossier. La liste des entités est accessible depuis le site web du groupe Nestlé ;
b) les transferts ou l'ensemble des transferts de données, y compris les catégories de données à caractère personnel, les types de traitements et leurs finalités, les types de personnes concernées et les pays tiers en question sont précisés en annexe 2 des BCR ;
c) la nature juridiquement contraignante, tant interne qu’externe, des BCR est reconnue par l’article 1.1 des BCR ainsi qu’aux articles 2.1 et 2.2 du contrat intra-groupe ;
d) l'application des principes généraux relatifs à la protection des données, notamment la limitation de la finalité, la minimisation des données, la limitation des durées de conservation des données, la qualité des données, la protection des données dès la conception et la protection des données par défaut, la base juridique du traitement, le traitement de catégories particulières de données à caractère personnel, les mesures visant à garantir la sécurité des données, ainsi que les exigences en matière de transferts ultérieurs à des organismes qui ne sont pas liés par les règles d'entreprise contraignantes, sont visés aux articles 5, 6, 7, 8, 9, 10, 16, 17 et 20 des BCR ;
e) les droits des personnes concernées à l'égard du traitement et les moyens d'exercer ces droits, y compris le droit de ne pas faire l'objet de décisions fondées exclusivement sur un traitement automatisé, y compris le profilage, conformément à l'article 22 du RGPD, le droit d'introduire une réclamation auprès de l'autorité de contrôle compétente et devant les juridictions compétentes des Etats membres conformément aux articles 77 et 79 du RGPD et d'obtenir réparation et, le cas échéant, une indemnisation pour violation des règles d'entreprise contraignantes sont prévus aux articles 12, 13 et 26.2 des BCR ;
f) l'acceptation, par le responsable du traitement ou le sous-traitant établi sur le territoire d'un Etat membre, de l'engagement de sa responsabilité pour toute violation des règles d'entreprise contraignantes par toute entité concernée non établie dans l’UE est précisée à l’article 27.2 des BCR ; de même que le principe selon lequel l’exonération en tout ou en partie de cette responsabilité peut intervenir uniquement si l’entité responsable prouve que le fait générateur du dommage n'est pas imputable à l'entité en cause ;
g) la manière dont les informations sur les règles d'entreprise contraignantes, notamment en ce qui concerne les éléments mentionnés aux points d), e) et f) de l’article 47.2 du RGPD, sont fournies aux personnes concernées, en sus des informations visées aux articles 13 et 14 du RGPD, est spécifiée à l’article 11 des BCR et en annexe 4 ;
h) les missions de tout délégué à la protection des données, désigné conformément à l'article 37 du RGPD, ou de toute autre personne ou entité chargée de la surveillance du respect des règles d'entreprise contraignantes au sein du groupe d'entreprises, ou du groupe d'entreprises engagées dans une activité économique conjointe, ainsi que le suivi de la formation et le traitement des réclamations sont détaillées à l’article 23.1 des BCR ;
i) les procédures de réclamation sont décrites à l’article 25 des BCR et en annexe 3 ;
j) les mécanismes mis en place au sein du groupe d’entreprises pour garantir le contrôle du respect des règles d’entreprise contraignantes sont détaillés à l’article 22 des BCR. Ces mécanismes prévoient des audits sur la protection des données et des méthodes assurant que des mesures correctrices seront prises pour protéger les droits des personnes concernées. Les résultats de ces contrôles sont communiqués à la personne ou à l'entité visée au point h) ci-dessus et au conseil d'administration de l'entreprise qui exerce le contrôle du groupe d'entreprises, et sont mis à la disposition de l'autorité de contrôle compétente sur demande ;
k) les mécanismes mis en place pour communiquer et consigner les modifications apportées aux règles et pour communiquer ces modifications à l'autorité de contrôle sont précisés à l’article 29 des BCR ;
l) le mécanisme de coopération avec l'autorité de contrôle mis en place pour assurer le respect des règles par toutes les entités du groupe d'entreprises est décrit à l’article 28 des BCR. L’obligation de mise à disposition de l'autorité de contrôle des résultats des contrôles des mesures visés au point j) ci-dessus est spécifiée à l’article 22.1 des BCR ;
m) les mécanismes permettant de communiquer à l'autorité de contrôle compétente toutes les obligations juridiques auxquelles une entité du groupe d'entreprises est soumise dans un pays tiers qui sont susceptibles d'avoir un effet négatif important sur les garanties fournies par les règles d'entreprise contraignantes sont décrits aux articles 24.4, 24.10 et 24.13 des BCR ;
n) enfin, l’article 21 et l’annexe 2.6 des BCR prévoient une formation appropriée en matière de protection des données pour le personnel ayant un accès permanent ou régulier aux données à caractère personnel.
 
Le CEPD a rendu l’avis n°24/2023 en date du 16 novembre 2023, conformément à l’article 64-1-f du RGPD. La Commission a tenu compte de cet avis.
 
Décide :
 
La CNIL approuve les BCR "responsable du traitement" présentées par le groupe Nestlé, en ce qu’elles fournissent des garanties appropriées pour le transfert de données à caractère personnel conformément aux articles 46-1, 46-2-b, 47-1 et 47-2 du RGPD. Afin de dissiper toute ambigüité, la CNIL rappelle que l’approbation des BCR n’implique pas l’approbation de transferts spécifiques de données à caractère personnel effectués sur la base des BCR. En conséquence, l’approbation des BCR ne peut être interprétée comme une approbation des transferts vers des pays tiers inclus dans les BCR pour lesquels un niveau de protection substantiellement équivalent à celui assuré au sein de l'UE ne peut être garanti.
La mise en œuvre des BCR approuvées ne nécessite pas d’autorisation supplémentaire spécifique de la part des autorités européennes de protection des données concernées.
Les BCR "responsable du traitement" du groupe Nestlé doivent être mises en conformité avec les Recommandations 01/2022 du CEPD dans le cadre de la mise à jour annuelle de 2024.
 
Conformément à l’article 58-2-j du RGPD, chaque autorité de protection des données concernée dispose du pouvoir d’ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale dans le cas où les garanties appropriées prévues par les BCR "responsable du traitement" du groupe Nestlé ne seraient pas respectées.
 
 
La Présidente
Marie-Laure DENIS
 
 
Cette décision peut faire l’objet d’un recours devant le Conseil d’État dans un délai de deux mois à compter de sa notification.
 
 
 
ANNEXE
 
Les BCR "responsable du traitement" du groupe Nestlé qui sont approuvées par la présente décision couvrent le champ d’application suivant :
 
a. Champ d’application : ces BCR "responsable du traitement" s’appliquent lorsqu’une entité du groupe juridiquement liée par les BCR, et ayant mis en œuvre les engagements pris au titre des BCR agit en tant que responsable du traitement, de même que lorsque l’entité agit en tant que sous-traitant pour le compte du groupe Nestlé, ainsi qualifié de sous-traitant interne (article 1 des BCR).
b. Etats membres de l’EEE depuis lesquels les transferts sont effectués : Allemagne, Autriche, Belgique, Bulgarie, Chypre, Croatie, Danemark, Espagne, Estonie, Finlande, France, Grèce, Hongrie, Irlande, Islande, Italie, Lettonie, Liechtenstein, Lituanie, Luxembourg, Malte, Norvège, Pays-Bas, Pologne, Portugal, République tchèque, Roumanie, Slovaquie, Slovénie et Suède.
c. Pays tiers vers lesquels les transferts sont effectués : Afrique du Sud, Algérie, Angola, Arabie saoudite, Argentine, Australie, Azerbaïdjan, Bahreïn, Bangladesh, Bolivie, Bosnie-Herzégovine, Burkina Faso, Cameroun, Canada, Chili, Chine continentale, Colombie, République démocratique du Congo, Corée, Costa Rica, Cuba, Égypte, Émirats arabes unis, Équateur, États-Unis, Éthiopie, Fidji, Gabon, Géorgie, Ghana, Guatemala, Honduras, Hong Kong, Inde, Indonésie, Iran, Irak, Israël, Jamaïque, Japon, Jordanie, Kazakhstan, Kenya, Koweït, Liban, Macédoine, Malaisie, Mali, Maroc, Maurice, Mexique, Moldavie, Monténégro, Mozambique, Myanmar, Nigéria, Nouvelle-Zélande, Pakistan, État de Palestine, Panama, Papouasie-Nouvelle-Guinée, Paraguay, Pérou, Philippines, Qatar, République arabe syrienne, République dominicaine, Russie, Salvador, Sénégal, Serbie, Singapour, Sri Lanka, Suisse, Taïwan, Tanzanie, Thaïlande, Trinité-et-Tobago, Turquie, Ukraine, Uruguay, Venezuela, Vietnam, Yémen, Zambie et Zimbabwe. Dans la pratique, les pays tiers de destination les plus courants sont la Suisse, l’Ukraine, le Brésil et les Philippines (annexe 2 des BCR).
d. Les finalités des transferts : les finalités sont détaillées en annexe 2 des BCR. Elles comprennent notamment les finalités suivantes :