Décision de la Commission nationale siégeant en formation restreinte sur
l’issue de l’enquête n° […] menée auprès de la Société A
Délibération n° 3FR/2025 du 30 avril 2025
La Commission nationale pour la protection des données siégeant en formation restreinte,
composée de Madame Tine A. Larsen, présidente, Monsieur Marc Lemmer, commissaire, et
de Monsieur Marc Hemmerling, membre suppléant ;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif
à la protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE ;
Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection
des données et du régime général sur la protection des données, notamment son article 41 ;
Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des données
adopté par décision n°07AD/2024 en date du 23 février 2024, notamment son article 10,
paragraphe 2 ;
Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°08AD/2024 en date du 23 février 2024, notamment
son article 9 ;
Considérant ce qui suit :
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
1/22
I. Faits et procédure
1. Lors de sa séance de délibération du 10 novembre 2023, la Commission
nationale pour la protection des données (ci-après : la « CNPD » ou la « Commission
nationale ») siégeant en formation plénière a décidé d’ouvrir une enquête auprès de la Société
A sur base de l’article 38 de la loi du 1er août 2018 portant organisation de la Commission
nationale pour la protection des données et du régime général sur la protection des données
(ci-après : la « loi du 1er août 2018 ») et de désigner Monsieur Alain Herrmann comme chef
d’enquête.
2. Ladite décision a précisé que l’enquête menée par la CNPD avait pour objet de
contrôler l'application et le respect du règlement (UE) 2016/679 du Parlement européen et du
Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement
des données à caractère personnel et à la libre circulation de ces données, et abrogeant la
directive 95/46/CE (ci-après : le « RGPD ») et de la loi du 1er août 2018, et « plus
particulièrement le respect de l'article 30 du RGPD relatif au registre des activités de traitement
et des textes légaux prévoyant des dispositions spécifiques en matière de protection des
données à caractère personnel »1.
3. La Société A est […] inscrite au Registre de Commerce et des Sociétés de
Luxembourg sous le numéro […] et a son siège social à […] (ci-après : le « contrôlé »). Le
contrôlé a pour objet [ingénierie et études techniques]2.
4. En date du 19 décembre 2023, des agents de la CNPD ont effectué une visite
sur place au siège social du contrôlé (ci-après : la « visite sur place »).
Ce moment est référencé ultérieurement dans cette décision comme « début de l'enquête ».
5. Par courriel en date du 20 décembre 2023 le contrôlé a fourni à la CNPD des
informations complémentaires demandées lors de la visite sur place.
6. Le procès-verbal no. […] relatif à la visite sur place effectuée en date du 19
décembre 2023 auprès du contrôlé dressé par les agents de la CNPD (ci-après : le « procès-
verbal ») a été envoyé au contrôlé par courriel en date du 17 janvier 20243.
1
Délibération n° […] du 10 novembre 2023 de la Commission nationale pour la protection des données relative à
l'ouverture d'une mission d'enquête auprès de la Société A.
2
Statuts coordonnés du contrôlé du […].
3
Le procès-verbal contenait également la décision d’ouverture d’enquête n° […], un relevé des photos prises lors
de la visite sur place et un inventaire des pièces collectées et/ou demandées par les agents de la CNPD.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
2/22
Il résulte de ce procès-verbal, entre autres, que le contrôlé était en mesure de remettre aux
agents de la CNPD une copie numérique de son registre des activités de traitement en vertu
de l’article 30 du RGPD.
7. Par courrier du 26 janvier 2024, le contrôlé a fait parvenir sa prise de position
concernant le procès-verbal.
8. En date du 6 septembre 2024, une demande d’information complémentaire a
été envoyée au contrôlé à laquelle il a répondu par courriel du 16 septembre 2024.
9. En réponse au dernier courriel du contrôlé, les agents de la CNPD ont envoyé
des follow-up questions en date du 26 septembre 2024 auxquelles le contrôlé a répondu par
courriel du 7 octobre 2024.
10. A l'issue de son instruction, le chef d'enquête a notifié au contrôlé en date du
30 octobre 2024 une communication des griefs (ci-après : la « communication des griefs »)
détaillant les manquements qu'il estimait constitués en l'espèce par rapport aux exigences
prescrites par l’article 30 (1) du RGPD (l’obligation de tenir un registre des activités de
traitement).
Le chef d’enquête a proposé à la Commission nationale siégeant en formation restreinte (ci-
après : la « Formation Restreinte ») d’adopter deux mesures correctrices différentes, ainsi que
d’infliger au contrôlé une amende administrative d’un montant de 11.964 euros.
La faculté de formuler des observations écrites sur la communication des griefs a été offerte
au contrôlé.
11. Par courrier en date du 12 novembre 2024, le contrôlé a formulé ses
observations relatives à la communication des griefs.
12. Le 25 novembre 2024, le chef d’enquête a transmis le dossier à la Formation
Restreinte en vue d'une prise de décision quant à l'issue de l'enquête.
13. La présidente de la Formation Restreinte a informé le contrôlé par courrier en
date du 20 janvier 2025, que son affaire serait inscrite à la séance de la Formation Restreinte
du 26 février 2025 et qu’il lui était offert la possibilité d'y être entendu.
14. Par courriel du 6 février 2025, le contrôlé a confirmé sa présence à ladite
séance.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
3/22
15. Lors de cette séance, le chef d’enquête, accompagné de […], et le contrôlé,
représenté par […], délégué à la protection des données, et par […], ancien délégué à la
protection des données, ont exposé leurs observations orales à l’appui de leurs observations
écrites et ont répondu aux questions posées par la Formation Restreinte.
16. La décision de la Formation Restreinte sur l’issue de l’enquête se basera :
- sur la tenue par le contrôlé d’un registre des activités de traitement en vertu de l’article 30
(1), (3) et (4) du RGPD ; et
- sur les dispositions légales et réglementaires en cause.
II. En droit
II.1. Sur les motifs de la décision
A. Sur la qualité du contrôlé
17. Selon l'article 4 (7) du RGPD, le responsable du traitement est défini comme la
personne physique ou morale, l'autorité publique, le service ou un autre organisme qui, seul
ou conjointement avec d'autres, détermine les finalités et les moyens du traitement.
La Formation Restreinte note que le contrôlé a déclaré, lors de la visite sur place du 19
décembre 2023, « effectuer des traitements de données à caractère personnel pour lesquels
il se considère être le responsable du traitement »4. A la demande des agents de la CNPD, il
a encore précisé en date du 7 octobre 2024 qu’il est le responsable du traitement pour
l’ensemble des activités de traitements mentionnés dans son registre des activités de
traitement5. Ainsi, la Formation Restreinte partage l’avis du chef d’enquête exposé dans sa
communication des griefs6 et retient que le contrôlé est à considérer comme responsable du
traitement, au sens du RGPD, pour les traitements figurant dans son registre des activités de
traitement.
4
Cf. Point 12 de la communication des griefs.
5
Cf. Courriel du contrôlé du 7 octobre 2024, annexe 1.
6
Cf. Communication des griefs, page 6, points 11 à 13.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
4/22
B. Sur le manquement lié à l’obligation de tenir un registre des activités de traitement
(article 30 du RGPD)
1. Sur les principes
18. En vertu de l’article 30 (1) du RGPD, le responsable du traitement a l’obligation
de tenir un registre des activités de traitement qui sont effectués sous sa responsabilité. Ce
registre doit contenir les informations suivantes :
« a) le nom et les coordonnées du responsable du traitement et, le cas échéant, du
responsable conjoint du traitement, du représentant du responsable du traitement et
du délégué à la protection des données ;
b) les finalités du traitement ;
c) une description des catégories de personnes concernées et des catégories de
données à caractère personnel ;
d) les catégories de destinataires auxquels les données à caractère personnel ont été
ou seront communiquées, y compris les destinataires dans des pays tiers ou des
organisations internationales ;
e) le cas échéant, les transferts de données à caractère personnel vers un pays tiers
ou à une organisation internationale, y compris l'identification de ce pays tiers ou de
cette organisation internationale et, dans le cas des transferts visés à l'article 49,
paragraphe 1, deuxième alinéa, les documents attestant de l'existence de garanties
appropriées ;
f) dans la mesure du possible, les délais prévus pour l'effacement des différentes
catégories de données ;
g) dans la mesure du possible, une description générale des mesures de sécurité
techniques et organisationnelles visées à l'article 32, paragraphe 1 ».
L’article 30 (3) à (4) du RGPD dispose que :
« 3. Les registres visés aux paragraphes 1 et 2 se présentent sous une forme écrite y
compris la forme électronique.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
5/22
4. Le responsable du traitement ou le sous-traitant et, le cas échéant, leur représentant
mettent le registre à la disposition de l'autorité de contrôle sur demande. »
2. En l’espèce
19. Lors de la visite sur place en date du 19 décembre 2023, le contrôlé a montré
le registre des activités de traitement intitulé « GDPR 2.1 Personal Data Mapping Form » aux
agents de la CNPD et une copie numérique dudit registre leur a été remise (ci-après : le
« registre des traitements »)7. Le registre des traitements est au format Excel et se compose
de treize fiches de traitements distinctes sous formes d’onglets8.
20. Dans sa communication des griefs, le chef d’enquête a retenu que le registre
des traitements était incomplet car certaines informations obligatoires en vertu de l’article 30
(1) du RGPD étaient incomplètes ou faisaient défaut9.
a) Quant aux noms et coordonnées du responsable du traitement ainsi qu’aux coordonnées
du délégué à la protection des données (article 30 (1) a) du RGPD)
21. Il résultait du registre des traitements et de ses treize fiches de traitements
distinctes qu’ils ne comportaient ni le nom et les coordonnées du responsable du traitement,
ni les coordonnées du délégué à la protection des données. Seul le nom du délégué à la
protection des données du contrôlé figurait dans chaque fiche de traitements.10
22. Or, la Formation Restreinte rappelle qu’en vertu de l’article 30 (1) a) du RGPD,
le registre des activités de traitement doit comporter le nom et les coordonnées du responsable
du traitement et du délégué à la protection des données. Ainsi, la Formation Restreinte se
rallie à l’avis du chef d’enquête et retient que le contrôlé a manqué à son obligation découlant
de l’article 30 (1) a) du RGPD.
b) Quant à la description des catégories de données à caractère personnel (article 30 (1) c)
du RGPD)
23. Il résultait du registre des traitements et, plus précisément, de la fiche intitulée
« COMP-1 » que des données relatives à des opinions politiques (cf. ligne 46 : « data related
to political opinions ») et des données relatives à des condamnations pénales et des
7
Cf. Procès-verbal, point F, page 2.
8
Cf. Communication des griefs, page 7, point 14.
9
Cf. Communication des griefs, page 8, points 18 à 19.
10
Cf. Communication des griefs, page 8 (points 20 à 23) ; Pièce n° 10 de la communication des griefs.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
6/22
infractions (cf. ligne 53 : « data related to criminal convictions and offences ») sont traitées.
Ces deux catégories de données à caractère personnel ne contiennent aucune description
desdites catégories génériques.11
24. Or, la Formation Restreinte rappelle qu’en vertu de l’article 30 (1) c) du RGPD,
le registre des activités de traitement doit comporter une description des catégories de
données à caractère personnel. La description d’une certaine catégorie de données à
caractère personnel devrait, entre autres, clarifier si des catégories particulières de données
à caractère personnel en vertu des articles 9 et 10 du RGPD sont traitées. Par conséquence,
il ne suffit pas de mentionner uniquement une liste de catégories génériques sans description.
Dès lors, la Formation Restreinte se rallie à l’avis du chef d’enquête et retient que le contrôlé
a manqué à son obligation découlant de l’article 30 (1) c) du RGPD.
c) Quant aux délais prévus pour l’effacement des différentes catégories de données (article
30 (1) f) du RGPD)
25. Il résultait du registre des traitements que, pour certaines catégories de
données, aucun délai pour l’effacement de ces données n’était prévu ou que le délai prévu
était imprécis.
Pour les catégories de données suivantes l’information quant au délai d’effacement était
manquante :
- catégorie de données « national identification number » (fiche « HR-3 », ligne 54,
colonne E) ;
- catégorie de données « location data (travel, GPS data, GSM, etc.) » (fiche « HR-
10 », ligne 42, colonne E ; fiche « HR-7 », ligne 42, colonne E ; fiche « HR-8 »,
ligne 42, colonne E ; fiche « HR-9 », ligne 42, colonne E ; fiche « PROC-1 », ligne
42 ; fiche « IT-1 », ligne 42, colonne E) ;
- catégorie de données « civil status, identity, images, etc. » (fiche « HR-7 », ligne
38, colonne E ; fiche « HR-8 », ligne 38, colonne E; fiche « HR-9 », ligne 38,
colonne E ; fiche « PROC-1 », ligne 38 ; fiche « IT-1 », ligne 38, colonne E ; fiche
« COMP-1 », lignes 38, colonne E ) ;
11
Cf. Communication des griefs, page 8 à 9, points 24 à 28; Pièce n° 10 de la communication des griefs.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
7/22
- catégorie de données « connection data (IP address, logs etc.) » (fiche « IT-1 »,
ligne 41, colonne E) ;
- catégorie de données « financial information (salary, tax situation etc) » (fiche
« COMP-1 », ligne 40, colonne E) ;
- catégorie de données « data related to political opinions » (fiche « COMP-1 »,
ligne 46, colonne E) ;
- catégorie de données « data related to criminal convictions and offences » (fiche
« COMP-1 », ligne 53, colonne E).
Pour la catégorie de données suivante l’information quant au délai d’effacement était imprécis :
- catégorie de données « civil status, identity, images, etc. » (fiche HR-10, ligne 38,
colonne E) : le délai prévu par le contrôlé était exprimé ainsi : « ASAP after the end
of the employment ».
26. La Formation Restreinte rappelle que l’article 30 (1) f) du RGPD exige que les
délais prévus pour l’effacement des différentes catégories de données doivent, dans la mesure
du possible, figurer dans le registre des activités de traitements. Cette obligation est
étroitement liée au principe de la limitation de la conservation prévu à l’article 5 (1) e) du RGPD
qui exige que les données à caractère personnel ne doivent pas être conservées plus
longtemps que nécessaire pour la réalisation des finalités pour lesquelles elles ont été
collectées. Au-delà, ces données doivent être supprimées ou anonymisées. Dans ce sens, le
considérant (39) du RGPD précise qu’ « [a]fin de garantir que les données ne sont pas
conservées plus longtemps que nécessaire, des délais devraient être fixés par le responsable
de traitement pour leur effacement ou pour un examen périodique ». Toutefois, le RGPD
n’exige pas de délais d’effacement rigide pour les différentes catégories de données en vertu
de l’article 30 (1) f) du RGPD mais il demande un examen au cas par cas et « dans la mesure
du possible ».
27. A l’instar du chef d’enquête et considérant les sept catégories de données
susmentionnées, la Formation Restreinte estime que le délai d’effacement devrait être
déterminée ou au moins déterminable. En ce sens et au vu du point 25 de la présente décision,
elle constate que l’information du délai d’effacement faisait défaut par rapport aux sept
catégories de données susmentionnées. Par ailleurs, la formulation « ASAP after the end of
the employment » ne répondait pas à l’exigence d’un délai d’effacement déterminée ou
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
8/22
déterminable. Dès lors, la Formation Restreinte se rallie à l’avis du chef d’enquête et retient
que le contrôlé a manqué à son obligation découlant de l’article 30 (1) f) du RGPD.
28. Au vu de ce qui précède aux points 21 à 27, la Formation Restreinte conclut
qu'au début de l'enquête de la CNPD, le contrôlé a manqué à son obligation découlant de
l’article 30 (1) a), c) et f) du RGPD.
II.2. Sur l’amende administrative et les mesures correctrices
1. Sur les principes
29. Conformément à l’article 12 de la loi du 1er août 2018, la Commission nationale
dispose des pouvoirs prévus à l’article 58 (2) du RGPD :
« a) avertir un responsable du traitement ou un sous-traitant du fait que les
opérations de traitement envisagées sont susceptibles de violer les dispositions du
présent règlement ;
b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent
règlement ;
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux
demandes présentées par la personne concernée en vue d'exercer ses droits en
application du présent règlement ;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les
opérations de traitement en conformité avec les dispositions du présent règlement,
le cas échéant, de manière spécifique et dans un délai déterminé ;
e) ordonner au responsable du traitement de communiquer à la personne concernée
une violation de données à caractère personnel ;
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du
traitement ;
g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
9/22
ces mesures aux destinataires auxquels les données à caractère personnel ont été
divulguées en application de l'article 17, paragraphe 2, et de l'article 19 ;
h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme
de certification de ne pas délivrer de certification si les exigences applicables à la
certification ne sont pas ou plus satisfaites ;
i) imposer une amende administrative en application de l'article 83, en complément
ou à la place des mesures visées au présent paragraphe, en fonction des
caractéristiques propres à chaque cas ;
j) ordonner la suspension des flux de données adressés à un destinataire situé dans
un pays tiers ou à une organisation internationale ».
30. Conformément à l’article 48 de la loi du 1er août 2018, la CNPD peut imposer
des amendes administratives telles que prévues à l’article 83 du RGPD, sauf à l’encontre de
l’État ou des communes.
31. L’article 83 (1) du RGPD prévoit que chaque autorité de contrôle veille à ce que
les amendes administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives.
32. L’article 83 (2) précise les critères qui doivent être pris en compte pour décider
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette amende :
« a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la
portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes
concernées affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour
atténuer le dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant,
compte tenu des mesures techniques et organisationnelles qu'ils ont mises en
œuvre en vertu des articles 25 et 32 ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
10/22
e) toute violation pertinente commise précédemment par le responsable du
traitement ou le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la
violation et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation,
notamment si, et dans quelle mesure, le responsable du traitement ou le sous-
traitant a notifié la violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné
pour le même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances
de l'espèce, telle que les avantages financiers obtenus ou les pertes évitées,
directement ou indirectement, du fait de la violation ».
33. L’imposition des amendes administratives a été explicitée par le Groupe de
Travail Article 29 dans ses « Lignes directrices sur l’application et la fixation des amendes
administratives aux fins du règlement (UE) 2016/679 » (WP 253) adoptées le 3 octobre 2017
(ci-après : les « Lignes directrices sur l’application et la fixation des amendes »). Ces lignes
directrices ont été approuvées par le Comité Européen de la Protection des données (ci-
après : le « CEPD »)12.
34. La Formation Restreinte souligne que les Lignes directrices sur l’application et
la fixation des amendes ont été complétées par les « Lignes directrices 04/2022 sur le calcul
des amendes administratives au titre du RGPD » du CEPD dont la version 2.1 a été adoptée
le 24 mai 2023 (ci-après : les « Lignes directrices sur le calcul des amendes »). Ces lignes
directrices spécifient une méthode que les autorités de contrôle peuvent appliquer afin de
calculer les amendes administratives à la lumière des circonstances de chaque cas d’espèce.
12
CEPD, Décision « Endorsement 1/2018 » du 25 mai 2018.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
11/22
Cette méthode est composée de cinq étapes13. Toutefois, les autorités de contrôle ne sont
pas tenues d'appliquer toutes les étapes, si ces dernières ne sont pas pertinentes dans un cas
donné, ni d’exposer des motivations relatives aux aspects des lignes directrices qui sont sans
objet14.
35. La Formation Restreinte tient à préciser que les faits et éléments pris en compte
dans le cadre de la présente décision sont ceux existants au début de l’enquête, tels
qu’ultérieurement commentés par le contrôlé. Les éventuelles modifications effectuées par le
contrôlé au cours de l’enquête et avant la prise de décision de la Formation Restreinte, même
si elles permettent d’établir entièrement ou partiellement la conformité, ne permettent pas
d’annuler rétroactivement un manquement constaté (cf. Tribunal administratif, jugement du 14
mai 2024, N° 46401 du rôle, ECLI:LU:TADM:2024:46401, p.26/27).
36. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en
conformité avec le RGPD au cours de la procédure d’enquête, ou pour remédier aux
manquements relevés par le chef d’enquête dans la communication des griefs, peuvent être
prises en compte par la Formation Restreinte dans le cadre des éventuelles mesures
correctrices à prononcer et/ou d’une éventuelle amende administrative à prononcer.
2. En l’espèce
2.1. Quant à l’imposition d’une amende administrative
37. Dans la communication des griefs, le chef d’enquête a proposé à la Formation
Restreinte de prononcer à l’encontre du contrôlé une amende administrative d’un montant de
11.964 euros et ceci uniquement concernant la violation de l’article 30 (1) f) du RGPD15.
Il a souligné que le non-respect des obligations des alinéas c) et f) de l’article 30 (1) du RGPD
« sont de nature plus importante » que le non-respect de l’obligation de l’article 30 (1) a) du
RGPD, car cette dernière emporterait des conséquences moindres pour « l’accomplissement
des objectifs poursuivis par l’obligation de mise en place d’un registre des traitements »16. En
outre, il a été d’avis que le non-respect de l’article 30 (1) f) du RGPD et, plus précisément, le
fait que « pour plus de la moitié des traitements répertoriés dans le registre des traitements,
les délais prévus pour l’effacement des catégories de données font défaut ou sont
13
Lignes directrices sur le calcul des amendes, page 3 ; pour une vue d’ensemble de la méthode, voir point 17 des
lignes directrices.
14
Lignes directrices sur le calcul des amendes, point 6.
15
Communication des griefs, point 60.
16
Communication des griefs, page 12 à 13, point 48.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
12/22
incomplets », se traduirait en « un degré de gravité non-négligeable », tandis que le non-
respect des alinéas a) et c) de l’article 30 (1) du RGPD se traduirait en « un degré de gravité
négligeable »17.
38. Le contrôlé, dans ses observations écrites en réponse à la communication des
griefs, a affirmé que l’approche didactique de la communication des griefs lui a permis de
modifier le registre des traitements et de corriger et inclure toutes les informations manquantes
dans son registre des traitements. Il a également informé le chef d’enquête de la nomination
d’un nouveau délégué à la protection des données en avril 2024 et il a fait appel à la clémence
face à l’imposition d’une amende administrative.18
39. Lors de la séance de la Formation Restreinte du 26 février 2025, le contrôlé a
réitéré ses propos et il a expliqué comment ce processus d’apprentissage a également pu
avoir une influence sur le code de conduite mondial du groupe d’entreprise auquel il appartient.
Il a encore précisé que la nature incomplète de son registre des traitements au début de
l’enquête n’avait pas causé un dommage aux personnes concernées.
40. La Formation Restreinte a pris note de la demande du contrôlé de renoncer à
l’imposition d’une amende administrative. Elle se focalisera ci-dessous sur l’analyse des
critères qui sont nécessaires pour décider s’il y a lieu d’imposer une amende administrative
et, le cas échéant, du montant de l’amende administrative en vertu de l’article 83 du RGPD.
La Formation Restreinte appliquera dans ce contexte la méthode composée de cinq étapes
qui est spécifiée dans les Lignes directrices sur le calcul des amendes.
2.1.1. Étape 1 : Recenser les opérations de traitement en l’espèce
41. Conformément aux Lignes directrices sur le calcul des amendes, il est essentiel
que l’autorité de contrôle détermine, en premier lieu, si un seul ou plusieurs comportements
du contrôlé sont passables de sanctions et si ces derniers donnent lieu à une ou plusieurs
violations imputables au contrôlé compte tenu des circonstances de l’espèce19.
42. Lesdites lignes directrices précisent que lorsqu’il est question d’évaluer une
même opération de traitement ou des opérations de traitement liées, l’autorité de contrôle peut
prendre en considération, dans le cadre de son appréciation des violations, toutes les
obligations nécessaires sur le plan juridique pour que les opérations de traitement soient
17
Communication des griefs, page 13, point 49.
18
Cf. Courrier du contrôlé du 12 novembre 2024 en réponse à la communication des griefs.
19 Lignes directrices sur le calcul des amendes, Chapitre 3 ; point 25 et s.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
13/22
réalisées dans le respect des lois, y compris, par exemple, les obligations en matière de
transparence (par exemple, l’article 13 du RGPD)20.
43. En l’espèce, le contrôlé est à considérer comme responsable du traitement au
sens du RGPD pour la mise en place du registre des traitements et pour les traitements y
figurant au sens de l’article 30 (1) du RGPD (cf. point 17 de la présente décision). La mise en
place d’un registre des activités de traitement est effectuée dans le cadre d’une volonté unitaire
qui est étroitement liée sur le plan contextuel, spatial et temporel. En l’espèce, la Formation
Restreinte estime donc qu’il s’agit de sanctionner un comportement unique au sens du chapitre
3.1 des Lignes directrices sur le calcul des amendes.
2.1.2. Étape 2 : Fixer le montant de départ pour le calcul ultérieur de l’amende
44. Conformément aux Lignes directrices sur le calcul des amendes, l’autorité de
contrôle doit, en deuxième lieu, fixer le montant de départ pour le calcul ultérieur de l’amende
eu égard aux circonstances en l’espèce21 et ce sur base de l’évaluation de trois éléments :
- la classification de la violation en vertu de l’article 83 (4) à (6) du RGPD ;
- la gravité de la violation ; et
- le chiffre d’affaires de l’entreprise22.
2.1.2.1. La classification des violations en vertu de l’article 83 (4) à (6) du RGPD
45. S’agissant de la classification des violations, le RGPD prévoit deux catégories,
à savoir les violations punissables en vertu de l’article 83 (4) du RGPD et les violations
punissables en vertu de l’article 83 (5) et (6) du RGPD. En ce qui concerne la première
catégorie de violations, le montant maximal de l’amende pouvant être retenu s’élève à 10
millions d’euros ou à 2% du chiffre d’affaires annuel de l’entreprise, le montant le plus élevé
étant retenu. En ce qui concerne la deuxième catégorie de violations, le montant maximal de
l’amende pouvant être retenu s’élève à 20 millions d’euros ou à 4% du chiffre d’affaires annuel
de l’entreprise, le montant le plus élevé étant retenu.
20 Lignes directrices sur le calcul des amendes, point 27.
21
Lignes directrices sur le calcul des amendes, Chapitre 4.
22 Lignes directrices sur le calcul des amendes, point 48.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
14/22
46. Par cette catégorisation, le législateur européen a donné une première
indication (abstraite) de la gravité de la violation. En effet, plus la violation est grave, plus
l’amende est susceptible d’être élevée23.
47. La Formation Restreinte constate que le manquement reproché au contrôlé,
notamment le manquement à l’article 30 (1) a), c) et f) du RGPD, est classé dans la disposition
de l’article 83 (4) du RGPD, c’est-à-dire que ce manquement appartient à la première catégorie
de violations et donc des violations moins graves.
2.1.2.2. La gravité de la violation
48. S’agissant de la détermination de la gravité de la violation, il convient
d’examiner la nature, la gravité et la durée de la violation (article 83 (2) a) du RGPD), ainsi
que son caractère délibéré ou négligent (article 83 (2) b) du RGPD) et les catégories de
données à caractère personnel concernées par la violation (article 83 (2) g) du RGPD)24.
49. Quant à la nature de la violation (article 83 (2) a) du RGPD), la Formation
Restreinte retient en ce qui concerne le manquement à l’article 30 (1) a), c) et f) du RGPD que
le législateur européen a entendu renforcer les obligations de documentation du responsable
de traitement en les obligeant à documenter tous leurs traitements de données dans un
registre des activités de traitement. Ledit registre est censé faciliter l’analyse et le recensement
de l’ensemble des traitements de données du responsable du traitement et, partant, la
démonstration de sa conformité au RGPD.
50. Quant à la gravité de la violation (article 83 (2) a) du RGPD), la Formation
Restreinte tient compte du nombre de personnes concernées affectées et le niveau de
dommage qu’elles ont subi.
51. En ce qui concerne le nombre de personnes concernées affectées, la
Formation Restreinte note que le contrôlé emploie [plus que 400 employés]25 et que le nombre
de personnes tierces éventuellement concernées est indéfini.
52. En ce qui concerne le niveau de dommage subi par les personnes concernées
affectées, elle estime que les personnes concernées n’ont pas subi un dommage en raison du
registre des traitements incomplet.
23 Lignes directrices sur le calcul des amendes, points 49. et 50.
24 Lignes directrices sur le calcul des amendes, point 51 et s.
25
Cf. Courrier du contrôlé du 20 décembre 2023.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
15/22
53. Quant au critère de la durée de la violation (article 83 (2) a) du RGPD), la
Formation Restreinte note que le RGPD étant entré en vigueur en mai 2018, la durée de la
violation au jour de la visite sur place du 19 décembre 2023 était au moins de 5 ans et 6 mois.
54. Quant à la question de savoir si la violation a été commise délibérément ou par
négligence (article 83 (2) b) du RGPD), la Formation Restreinte rappelle qu’une amende
administrative en application de l’article 83 du RGPD peut être imposée uniquement s’il est
établi que le responsable du traitement a commis, délibérément ou par négligence, une
violation visée aux paragraphes (4) et (6) de cet article26.
L’« intention », c’est-à-dire une infraction commise délibérément, comprend à la fois la
connaissance et la volonté en rapport avec les caractéristiques d’une infraction, tandis que
« non délibérément » (par négligence) signifie qu’il n’y a pas eu d’intention de commettre la
violation, bien que le responsable du traitement ou le sous-traitant n’ait pas respecté
l’obligation de diligence qui lui incombe en vertu de la législation27.
La Formation Restreinte considère que le contrôlé ne pouvait pas ignorer l’existence de
l’obligation violée28. Elle se rallie au chef d’enquête qui a estimé que la violation résulte « d’une
mauvaise exécution de cette obligation ainsi que d’un manque de vérification adéquate par le
[c]ontrôlé »29.
Au vu de ce qui précède, la Formation Restreinte est d’avis que les faits et le manquement
constaté ne traduisent pas une intention délibérée de violer le RGPD dans le chef du contrôlé.
Néanmoins, elle retient que le manquement a été commis par négligence.
55. Quant aux catégories de données à caractère personnel concernées (article 83
(2) g) du RGPD), la Formation Restreinte retient que le registre des traitements ne contient
pas de données à caractère personnelle.
26
Dans un arrêt du 5 décembre 2023, la CJUE (grande chambre) a jugé qu’une amende administrative en
application de l’article 83 du RGPD peut être imposée « uniquement s’il est établi que le responsable du traitement,
qui est à la fois une personne morale et une entreprise, a commis, délibérément ou par négligence, une violation
visée aux paragraphes 4 à 6 de cet article ». A cet égard, la CJUE a précisé « qu’un responsable du traitement
peut être sanctionné pour un comportement entrant dans le champ d’application du RGPD dès lors que ce
responsable du traitement ne pouvait ignorer le caractère infractionnel de son comportement, qu’il ait eu ou non
conscience d’enfreindre les dispositions du RGPD […] » (Arrêts du 5 décembre 2023 (grande chambre), Deutsche
Wohnen, C-807/21, ECLI:EU:C:2023:950, point 76).
27 Lignes directrices sur l’application et la fixation des amendes, pages 11 à 12.
28
Arrêts du 5 décembre 2023 (grande chambre), Deutsche Wohnen, C-807/21, ECLI:EU:C:2023:950, point 76 et
Nacionalinis visuomenės sveikatos centras, C‑683/21, ECLI:EU:C:2023:949, point 81.
29
Communication des griefs, point 91.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
16/22
56. Compte tenu de son évaluation des critères pertinents de l’article 83 (2) a), b)
et g) du RGPD ci-dessus, la Formation Restreinte estime que la classification du degré de
gravité des violations est à considérer comme faible.
2.1.2.3. Le chiffre d’affaires de l’entreprise
57. Pour finir l’étape 2, la Formation Restreinte prend en compte le chiffre d’affaires
de l’entreprise conformément aux Lignes directrices sur le calcul des amendes30.
58. La Formation Restreinte rappelle que conformément au droit de l’Union
européenne et à la jurisprudence de la CJUE, c’est dans le contexte spécifique du calcul des
amendes administratives qu’il y a lieu d’appréhender le renvoi, effectué au considérant (150)
du RGPD, à la notion d’« entreprise » au sens des articles 101 et 102 du TFUE31. Dès lors, la
notion « entreprise » est définie comme l’ « unité économique », qui consiste en une
organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon
durable un but économique déterminé, même si, du point de vue juridique, cette unité
économique est constituée de plusieurs personnes physiques ou morales32.
59. Ainsi, elle considère qu’en l’espèce l’unité économique à prendre en compte,
au regard de la violation en cause, est le groupe de sociétés dirigé par la société […], une
société de droit […], qui détient de façon indirecte 100% du capital du contrôlé33.
60. Elle note que le chiffre d’affaires net consolidé de la société […] pour l’année
2023 s’élevait à EUR [entreprise dont le chiffre d’affaires est supérieur à 500 millions
d’euros]34.
Par ailleurs, le chiffre d’affaires net du contrôlé pour l’année 2023 s’élevait à EUR […] avec un
bénéfice net de EUR […] selon les comptes annuels de l’année 2023.
2.1.3. Étape 3 : Apprécier les circonstances aggravantes et atténuantes
61. Conformément aux Lignes directrices sur le calcul des amendes, l’autorité de
contrôle doit, en troisième lieu, apprécier si des circonstances aggravantes ou atténuantes
30
Cf. Lignes directrices sur le calcul des amendes, chapitre 4.3, points 63 à 69.
31
Le traité sur le fonctionnement de l'Union européenne (TFUE).
32
Arrêt du 5 décembre 2023, Deutsche Wohnen, C-807/21, ECLI:EU:C:2023:950, points 56 et 57 ; voir également
Lignes directrices sur l’application et la fixation des amendes, page 6 et Lignes directrices sur le calcul des
amendes, point 118. et s.
33
Cf. Communication des griefs, point 7 et Pièces n° 2 et 5.
34
Communication des griefs, point 7 et Pièces n° 6, 7 et 8.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
17/22
sont applicables aux circonstances de l’espèce35. Les lignes directrices précisent que l’autorité
de contrôle doit prendre qu’une seule fois en considération chaque critère prévu à l’article 83
(2) du RGPD. Ainsi, après avoir évalué, à l’étape 2, la nature, la gravité, et la durée de la
violation (article 83 (2) a) du RGPD), de même que son caractère délibéré ou négligent
(article 83 (2) b) du RGPD), et les catégories de données à caractère personnel concernées
(article 83 (2) g) du RGPD), la Formation Restreinte va évaluer les autres circonstances
aggravantes et atténuantes au titre de l’article 83 (2) du RGPD (article 83 (2) points c), d), e),
f), h), i), j) et k) du RGPD)36.
62. Quant aux mesures prises par le contrôlé pour atténuer le dommage subi par
les personnes concernées (article 83 (2) c) du RGPD), la Formation Restreinte estime, dans
un premier temps, que les personnes concernées n’ont subi aucun dommage (cf. point 52 de
la présente décision). Ensuite, elle note, sans préjuger du caractère satisfaisant des mesures
prises par le contrôlé, que le contrôlé a envoyé en date du 12 novembre 2024 une copie de
son registre des traitements modifié en vue de remédier aux manquements soulevés par le
chef d’enquête dans sa communication de griefs. Elle note qu’il s’agit de mesures qui ont été
mises en place après l’envoi de la communication des griefs. Ces mesures seront analysées
au chapitre II.2., section 2.2. de la présente décision. En résumé, elle constate que toutes les
mesures prises par le contrôlé n’ont été prises qu’après le début de l’enquête. Dès lors, la
Formation Restreinte est d’avis que ces circonstances sont à considérer comme neutres.
63. Quant au degré de coopération établi avec la CNPD, en vue de remédier à la
violation, et d'en atténuer les éventuels effets négatifs (article 83 (2) f) du RGPD), la Formation
Restreinte note qu’au vu du dossier d’enquête et, notamment, des réponses délivrées par le
contrôlé pendant la procédure d’enquête, il y a lieu de retenir que la coopération du contrôlé
était bonne. Toutefois, elle rappelle que le contrôlé est soumis à une obligation générale de
coopération en vertu de l’article 31 du RGPD. Dès lors, elle est d’avis que ces circonstances
sont à considérer comme neutres.
64. Quant à toute autre circonstance aggravante ou atténuante applicable aux
circonstances de l'espèce (article 83 (2) k) du RGPD), le chef d’enquête a relevé « à titre de
circonstances aggravantes, qu’en l’espèce, il pouvait raisonnablement être attendu du
[c]ontrôlé, compte tenu de sa taille et de ses ressources, qu’il mette en place un [r]egistre des
35 Lignes directrices sur le calcul des amendes, Chapitre 5.
36 Lignes directrices sur le calcul des amendes, points 70 à 72.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
18/22
traitements conforme aux prescrits du RGPD et qu’il effectue des revues régulières »37 dudit
registre.
A titre de circonstances atténuantes, le chef d’enquête a relevé que le contrôlé serait « allé
au-delà des obligations imposées par l’article 30.1 du RGPD en incluant dans le [r]egistre des
traitements des informations supplémentaires telles que la base de licéité des traitements »38.
La Formation Restreinte tient compte des éléments susmentionnés et se rallie à l’avis du chef
d’enquête.
65. La Formation Restreinte constate que les autres critères de l’article 83 (2) du
RGPD ne sont ni pertinents, ni susceptibles d’influer sur sa décision, quant à l’imposition d’une
amende administrative et son montant et que, partant, elle ne les analysera pas39.
66. Dès lors, compte tenu de l’évaluation des critères pertinents de l’article 83 (2)
du RGPD, la Formation Restreinte considère que l’imposition d’une amende administrative se
justifie pour le manquement retenu à l’article 30 (1) a), c) et f) du RGPD.
2.1.4. Étape 4 : Déterminer le montant maximal légal applicable
67. Conformément aux Lignes directrices sur le calcul des amendes, l’autorité de
contrôle doit, en quatrième lieu, déterminer les montants maximaux légaux applicables40. Les
lignes directrices rappellent que le RGPD n’attribue pas de montants fixes à des violations
spécifiques, mais que le RGPD prévoit des montants maximaux généraux. Dès lors, il y a lieu
de s’assurer que ces montants maximaux ne sont pas dépassés41.
68. La Formation Restreinte a déjà relevé que chiffre d’affaires net consolidé de la
société […] pour l’année 2023 s’élevait à EUR [entreprise dont le chiffre d’affaires est supérieur
à 500 millions d’euros] (cf. point 60 de la présente décision).
69. La Formation Restreinte constate que dans la mesure où le manquement
unique reproché au contrôlé (notamment le manquement à l’article 30 (1) a), c) et f) du RGPD)
est classé dans la disposition de l’article 83 (4) du RGPD, le montant maximal de l’amende
pouvant être retenu s’élève à 10 millions d’euros ou à 2% du chiffre d’affaires annuel de
37
Communication des griefs, point 51.
38
Communication des griefs, point 52.
39
Lignes directrices sur le calcul des amendes, point 6.
40 Lignes directrices sur le calcul des amendes, Chapitre 6.
41 Lignes directrices sur le calcul des amendes, points 112. et 113.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
19/22
l’entreprise, « le montant le plus élevé étant retenu », conformément à article 83 (4) du RGPD.
Dès lors, la Formation retient qu’en l’espèce le montant maximal d’une amende administrative
s’élève à EUR […] (c’est-à-dire, 2% du chiffre d’affaires annuel de l’entreprise)42.
70. En l’espèce, compte tenu des étapes 1 à 4 de la présente décision (cf. points
41 à 69), et plus particulièrement du fait qu’un manquement unique a été retenu en l’espèce,
de la classification du manquement retenu au titre de l’article 83 (4) du RGPD, de sa gravité
faible et de l’appréciation des circonstances aggravantes et atténuantes en l’espèce, la
Formation Restreinte considère que l’amende administrative à imposer devrait s’élever à un
montant de 7.000 (sept mille) euros.
2.1.5. Étape 5 : Déterminer si le montant final de l’amende calculée est bien effectif,
proportionné et dissuasif
71. Conformément aux Lignes directrices sur le calcul des amendes, l’autorité de
contrôle doit, en cinquième lieu, veiller à ce que l’amende administrative imposée pour la ou
les violations du RGPD visées à l’article 83 (4) à (6) soit, dans chaque cas, effective,
proportionnée et dissuasive, tel que l’exige l’article 83 (1) du RGPD43. Selon le CEPD, il revient
à l’autorité de contrôle de vérifier si le montant de l’amende retenue répond à ces exigences
ou si d’autres ajustements du montant sont nécessaires44.
72. La Formation Restreinte considère que le montant de l’amende apparaît à la
fois effectif, proportionné et dissuasif, conformément aux exigences de l’article 83 (1) du
RGPD.
2.2. Quant à la prise de mesures correctrices
73. Dans la communication des griefs, le chef d’enquête a également proposé à la
Formation Restreinte d’adopter les mesures correctrices suivantes (hors amende
administrative) :
• « rappeler à l'ordre le Contrôlé quant à la nécessité d'inclure dans le Registre des
traitements les informations requises au titre de l'article 30.1 a), c) et f) du RGPD ;
42
Selon la fourchette évolutive précisée au point 115 et s. des Lignes directrices sur le calcul des amendes.
43 Lignes directrices sur le calcul des amendes, Chapitre 7.
44 Lignes directrices sur le calcul des amendes, point 132.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
20/22
• prononcer à l'encontre du Contrôlé, et lui donner pour s'y conformer un délai de 1 mois
à compter de la notification de la décision sur l'issue de l'enquête, une injonction de
mettre en conformité le Registre des traitements avec les dispositions de l'article 30.1
a), c) et du RGPD et plus précisément de compléter le Registre des traitements comme
suit :
- en indiquant le nom et les coordonnées du responsable du traitement ainsi que les
coordonnées du délégué à la protection des données,
- en renseignant les descriptions de chaque catégorie de données traitées, par
exemple, en listant, au sein de chaque catégorie, des exemples des types de
données traitées,
- en indiquant, de façon déterminée ou déterminable, les délais prévus pour
l'effacement des différentes catégories de données traitées,
ainsi que de communiquer tout justificatif à même de rapporter la preuve du respect de
la présente injonction; […] ».45
74. Quant aux mesures correctrices proposées par le chef d’enquête et par
référence au point 36 de la présente décision, la Formation Restreinte prend en compte les
démarches effectués par le contrôlé afin de se conformer aux dispositions du RGPD, telles
que détaillées dans son courrier du 12 novembre 2024. Plus particulièrement, elle prend note
des faits suivants :
75. Quant au rappel à l’ordre (cf. point 73 premier point de la présente décision)
proposé par le chef d’enquête pour le manquement retenu en vertu de l’article 30 (1) a), c) et
f) du RGPD, la Formation Restreinte considère les mesures de mise en conformité prises par
le contrôlé en l’espèce et estime qu’il n’y a pas lieu de prononcer la mesure correctrice
proposée par le chef d’enquête à cet égard.
76. Quant à l’ordre de mise en conformité du traitement (cf. point 73 deuxième point
de la présente décision) proposé par le chef d’enquête pour le manquement retenu en vertu
de l’article 30 (1) a), c) et f) du RGPD, la Formation Restreinte note que le contrôlé, dans sa
réponse à la communication de griefs, a envoyé un registre des traitements modifié (ci-après :
le « nouveau registre des traitements »). Il a mentionné dans son courrier du 12 novembre
45
Communication des griefs, point 63.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
21/22
2024 que toutes les informations manquantes ou imprécises et relevées par le chef d’enquête
dans sa communication des griefs auraient été complétées et/ou corrigées. La Formation
Restreinte constate que le nouveau registre des traitements contient en effet toutes les
informations prévues par l'article 30 (1) du RGPD.
En considération des mesures de mise en conformité suffisantes prises par le contrôlé en
l’espèce, la Formation Restreinte estime dès lors qu’il n’y a pas lieu de prononcer la mesure
correctrice proposée par le chef d’enquête à cet égard.
Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte, après en avoir délibéré, décide :
- de retenir le manquement à l’article 30 (1) a), c) et f) du RGPD ;
- de prononcer à l’encontre de la Société A une amende administrative d’un montant de
7.000 (sept mille) euros au regard du manquement à l’article 30 (1) a), c) et f) du RGPD.
Belvaux, le 30 avril 2025.
La Commission nationale pour la protection des données siégeant en formation restreinte
Tine A. Larsen Marc Lemmer Marc Hemmerling
Présidente Commissaire Membre suppléant
Indication des voies de recours
La présente décision administrative peut faire l'objet d'un recours en réformation dans les trois
mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif et doit
obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des avocats.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
22/22