La désignation d’un délégué à la protection des données est une obligation légale pour la plupart des organismes, qu’il soit public ou privé. La non-désignation est passible de sanction de la CNIL, comme le montre la récente condamnation de la commune de Kourou.
Sanction infligée à la commune de Kourou pour absence de désignation d’un DPO
Le 12 décembre 2023, la CNIL a sanctionné la commune de Kourou en lui donnant une amende et une injonction (Délib. SAN-2023-018). En effet, la commune n’a pas choisi de DPO (Délégué à la Protection des Données), en ne suivant pas les règles du RGPD.
La présidente de la CNIL a rendu publiques, le 25 avril 2022, des mises en demeure visant 22 communes qui n’avaient pas désigné de Délégué à la Protection des Données, en méconnaissance des exigences du RGPD. La commune de Kourou faisait partie de celles qui n’avaient pas procédé à cette désignation dans le délai imparti de quatre mois. Face à son non-respect de cette obligation, la CNIL a d’abord prononcé une amende de 5 000 euros, assortie d’une injonction de se conformer sous un délai de trois mois.
Récidive de Kourou et sanction publique par la CNIL
Malheureusement, la commune de Kourou n’a ni désigné un Délégué à la Protection des Données ni répondu aux sollicitations de la CNIL dans le temps imparti. Cette récidive a conduit à une nouvelle procédure de sanction, cette fois dans le cadre de la procédure ordinaire, permettant à la CNIL d’adopter une sanction publique.
La CNIL a insisté sur l’importance clé du DPO, qui est le principal intermédiaire pour les questions de protection des données avec les employés et les citoyens. En plus de ne pas avoir choisi de DPO, la CNIL a noté que la commune de Kourou a continuellement refusé de coopérer en ne répondant jamais aux différentes étapes du processus.
En conséquence, la CNIL a imposé une nouvelle amende de 5 000 euros, assortie d’une injonction de se mettre en conformité dans un délai de deux mois. Pour renforcer cette sanction, la CNIL a ajouté une astreinte de 150 euros par jour de retard. En outre, dans sa décision, la CNIL exige de la commune de Kourou qu’elle affiche un message d’information à destination des usagers sur son site web pendant quatre jours, renforçant ainsi la dimension publique de la sanction.
Si vous souhaitez garantir la conformité de vos pratiques en matière de protection des données, notre cabinet d’avocat spécialisé en données personnelles se tient à votre disposition.
***
Deshoulières Avocats est un cabinet d’avocats en protection des données personnelles. Vous pouvez dès à présent demander un devis gratuit ici.
