«Un seul est châtié, mais tous sont avisés»

Il semble dorénavant acquis que la Commission nationale de la protection des données (CNPD) prononcera en 2020 ses premières sanctions. Pas besoin d’une boule de cristal pour ceci, car il est de notoriété publique qu’au niveau européen, la CNPD est un peu à la traine, étant l’une des dernières autorités nationales à ne pas encore avoir prononcé d’amendes. Or, si les sanctions ne sont pas une fin en soi, il en va de la crédibilité du Luxembourg au niveau européen, nos institutions, entreprises et autres entités concernées, n’étant probablement ni mieux ni moins bien préparées que le reste de l’Europe, et donc pas moins «sanctionnables». D’un autre côté, il en va évidemment aussi de l’efficacité du régulateur national qui dans les années pré-RGPD s’est surtout illustré par une approche très défensive. La CNPD sait qu’il s’agit de ne plus tomber une deuxième fois dans ce piège et agira, à raison, en conséquence.

Pour asseoir cette crédibilité sur le plan national et européen, la prise de sanction est sans doute, à côté du renforcement en ressources humaines et experts de tous bords, un moyen légitime, voire désiré pour construire cette image d’un régulateur compétent et efficace. Cette approche s’impose d’autant plus que depuis mai 2018, une certaine fébrilité habite les acteurs de la place qui se demandent à quelle sauce ils pourraient être mangés en cas d’infraction aux dispositions RGPD.

Ce n’est plus un secret pour personne que depuis de nombreux mois, la CNPD mène des enquêtes sur une base (plus ou moins) collaborative avec les responsables de traitement et leur adresse des demandes d’informations thématiques relativement poussées.

L’absence de sanctions à ce jour s’explique du fait que la CNPD n’a pas encore publié son règlement relatif à la procédure d’enquête et de sanctions¹ , qu’il lui revient en effet d’organiser. Attendu depuis près de 18 mois, un tel règlement ne saurait tarder alors qu’il avait en effet été annoncé par la CNPD pour le mois de janvier 2020. La publication de celui-ci devrait en quelque sorte libérer la CNPD dans ses actions.

Des pouvoirs «mal encadrés»?

S’il n’y a nul doute que les premières sanctions de la CNPD tomberont en 2020, probablement à juste titre d’un point de vue RGPD, celles-ci seront-elles pour autant incontestables en absolu? Il semble que non alors que le législateur a potentiellement mis la CNPD dans une situation inextricable, lui confiant une mission qui mériterait d’être analysée d’un point de vue constitutionnel.

En effet, les pouvoirs d’enquête, d’instruction et de sanctions qui sont octroyés par le RGPD sont des pouvoirs importants qui doivent être entourés de garanties légales. Or, la loi du 1^er aout 2018 qui est venue accompagner le RGPD est particulièrement silencieuse, le législateur préférant laisser à la CNPD l’initiative de la mise en place d’une telle procédure. Cette délégation soulève néanmoins des questions quant à sa conformité à la constitution. Il est somme toute dommage de constater qu’en ne légiférant pas sur ces questions de procédure d’enquête et de sanction (les rumeurs disent par manque de temps!), le législateur n’a en réalité probablement pas donné à la CNPD les moyens d’exercer efficacement sa mission d’autorité sanctionnatrice.

La validité des enquêtes effectuées par la CNPD et des sanctions qui seraient prononcées par elle en vertu du règlement en question pourrait donc soulever des questions, ouvrant très largement les portes aux recours.

Immanquablement, 2020 sera une année déterminante par rapport aux sanctions de la CNPD et, probablement aux recours contre celles-ci ; même si dans l’intérêt de la protection des données personnelles, on aimerait bien se tromper!

¹ Au 6 février 2020.