À l’heure où nous rédigeons ces lignes, de nombreux responsables de traitement redoutent les premières sanctions dont l’arrivée prochaine n’est plus un secret pour personne, la CNPD étant sur le point de clôturer de nombreuses enquêtes. Ce sentiment peut être d’autant plus fort chez certains responsables de traitement qui ont été très surpris de voir une procédure d’enquête ouverte à leur encontre à la suite de ce qu’ils ne pensaient être qu’un simple audit.

À défaut de vrai repère à ce jour, les amendes prononcées seront, de l’avis des responsables de traitement, probablement trop élevées ou trop systématiques. Réaction normale nous direz-vous: il n’est jamais agréable de devoir payer une amende.

Mais que faut-il en penser? Sur le plan de l’efficacité de la sanction, il faut reconnaître que toute autorité administrative disposant d’un tel pouvoir agit immanquablement comme un funambule sur son fil. La recherche du juste équilibre entre sanction trop basse ou trop haute est un exercice délicat.

Pas assez élevée? Les personnes sous le contrôle d’une autorité n’ont aucune raison de se conformer. Si le risque financier lié à l’amende est de toute façon moins important que le coût de se mettre en conformité, autant ne rien faire et attendre un éventuel contrôle et une hypothétique sanction. Le régulateur voudra être pris au sérieux tant par les entités qu’il surveille que par les autres régulateurs européens auxquels il se comparera.

Amende excessive ou trop systématique ? L’effet psychologique sur les contrôlés pourrait être désastreux. Pourquoi se mettre en conformité, collaborer avec l’autorité lors d’un contrôle et déployer des efforts financiers de mise en conformité importants si de toute façon, quoi qu’on fasse, il y aura une amende très salée à la clé?

L’appréciation de la sévérité d’une sanction est toujours et nécessairement une question de point de vue.

Est-ce pour autant qu’un responsable de traitement sanctionné se trouve réduit au silence? Certainement pas. Dans une société démocratique, pouvoir introduire un recours contre la décision administrative ordonnant une sanction est le droit le plus légitime de tout administré. Il s’agit là d’un des garde-fous essentiels contre l’arbitraire.

Dans le contexte du RGPD, la juridiction compétente pour connaître d’un tel recours est le tribunal administratif. Celui-ci rendra une décision qui viendra remplacer celle de la CNPD.  Naturellement, le responsable de traitement pourra faire valoir des arguments de fond. Mais c’est aussi à cette occasion que la procédure d’enquête de la CNPD elle-même pourra être remise en cause.

Or, sans égard à la façon dont les enquêtes se sont concrètement passées sur le terrain ou à la sévérité de ton à laquelle devront éventuellement faire face certains responsables de traitement, la manière dont le législateur a organisé la procédure pose des questions de constitutionnalité. Si ces dernières se révèlent fondées, elles pourraient bien remettre en cause toute la procédure d’une enquête ainsi que les sanctions prononcées. Dès lors, il semblerait qu’aussi justifiée et proportionnée qu’une sanction puisse être ou non au fond, cette dernière pourrait bénéficier per se de bons arguments justifiant un recours.

Cette bataille sera nécessairement éclairante et salvatrice pour tous, responsables de traitement et régulateur. 

Attention donc aux averses automnales…

Pour plus d’informations, rendez-vous