Décision de la Commission nationale siégeant en formation restreinte sur
l’issue de l’enquête n° […] menée auprès de la Société A
Délibération n° 20FR/2021 du 11 juin 2021
La Commission nationale pour la protection des données siégeant en formation restreinte,
composée de Madame Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif
à la protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE;
Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection
des données et du régime général sur la protection des données, notamment son article 41;
Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des données
adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son article 10, point 2;
Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020, notamment
son article 9;
Considérant ce qui suit :
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
1/25
I. Faits et procédure
1. Vu l’impact du rôle du délégué à la protection des données (ci-après : le « DPD ») et
l’importance de son intégration dans l’organisme, et considérant que les lignes directrices
concernant les DPD sont disponibles depuis décembre 20161, soit 17 mois avant l’entrée
en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27
avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des
données à caractère personnel et à la libre circulation de ces données, et abrogeant la
directive 95/46/CE (règlement général sur la protection des données) (ci-après : le «
RGPD »), la Commission nationale pour la protection des données (ci-après : la
« Commission nationale » ou la « CNPD ») a décidé de lancer une campagne d’enquête
thématique sur la fonction du DPD. Ainsi, 25 procédures d’audit ont été ouvertes en 2018,
concernant tant le secteur privé que le secteur public.
2. En particulier, la Commission nationale a décidé par délibération n° […] du 14 septembre
2018 d’ouvrir une enquête sous la forme d’audit sur la protection des données auprès de
la Société A établie au […] L- […] et enregistrée au registre du commerce et des sociétés
sous le numéro […] (ci-après : le « contrôlé ») et de désigner Monsieur Christophe
Buschmann comme chef d’enquête. Ladite délibération précise que l’enquête porte sur la
conformité du contrôlé avec la section 4 du chapitre 4 du RGPD.
3. […] le contrôlé [est actif dans le domaine des transports] […].
4. Le contrôlé compte environ […] collaborateurs et pour ce qui est de ses activités […].
5. Par courrier du 17 septembre 2018, le chef d’enquête a envoyé un questionnaire
préliminaire au contrôlé auquel ce dernier a répondu par courrier du 9 octobre 2018. Des
visites sur place ont eu lieu les 4 février et 2 mai 2019. Suite à ces échanges, le chef
d’enquête a établi le rapport d’audit n° […] (ci-après : le « rapport d’audit »).
6. Il ressort du rapport d’audit qu’afin de vérifier la conformité de l’organisme avec la section
4 du chapitre 4 du RGPD, le chef d’enquête a défini onze objectifs de contrôle, à savoir :
1) S’assurer que l'organisme soumis à l'obligation de désigner un DPD l'a bien fait ;
1 Les lignes directrices concernant les DPD ont été adoptées par le groupe de travail « Article 29 » le 13
décembre 2016. La version révisée (WP 243 rev. 01) a été adoptée le 5 avril 2017.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
2/25
2) S'assurer que l'organisme a publié les coordonnées de son DPD ;
3) S'assurer que l'organisme a communiqué les coordonnées de son DPD à la CNPD ;
4) S'assurer que le DPD dispose d'une expertise et de compétences suffisantes pour
s'acquitter efficacement de ses missions ;
5) S'assurer que les missions et les tâches du DPD n'entraînent pas de conflit d'intérêt ;
6) S'assurer que le DPD dispose de ressources suffisantes pour s'acquitter efficacement
de ses missions ;
7) S'assurer que le DPD est en mesure d'exercer ses missions avec un degré suffisant
d'autonomie au sein de son organisme ;
8) S'assurer que l'organisme a mis en place des mesures pour que le DPD soit associé à
toutes les questions relatives à la protection des données ;
9) S'assurer que le DPD remplit sa mission d'information et de conseil auprès du
responsable du traitement et des employés ;
10) S'assurer que le DPD exerce un contrôle adéquat du traitement des données au sein
de son organisme ;
11) S'assurer que le DPD assiste le responsable du traitement dans la réalisation des
analyses d'impact en cas de nouveaux traitements de données.
7. Par courrier du 7 novembre 2019 (ci-après : la « communication des griefs »), le chef
d’enquête a informé le contrôlé des manquements aux obligations prévues par le RGPD
qu’il a relevés lors de son enquête. Le rapport d’audit était joint audit courrier.
8. En particulier, le chef d’enquête a relevé dans la communication des griefs des
manquements à :
l’obligation d'associer le DPD à toutes les questions relatives à la protection des
données à caractère personnel2 ;
l’obligation de garantir l’autonomie du DPD3 ;
la mission de contrôle du DPD4 ;
la mission d’information et de conseil du DPD5.
9. Par courrier du 4 décembre 2019, le contrôlé a adressé au chef d’enquête sa prise de
position quant aux manquements relevés dans la communication des griefs.
2 Objectif n°8
3 Objectif n°7
4 Objectif n°10
5 Objectif n°9
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
3/25
10. Le 10 août 2020, le chef d’enquête a adressé au contrôlé un courrier complémentaire à la
communication des griefs (ci-après : le « courrier complémentaire à la communication des
griefs ») par lequel il informe le contrôlé sur les mesures correctrices et l’amende
administrative qu’il propose à la Commission nationale siégeant en formation restreinte (ci-
après : la « formation restreinte ») d’adopter. Dans ce courrier, le chef d’enquête a proposé
à la formation restreinte d’adopter trois mesures correctrices différentes, ainsi que d’infliger
au contrôlé une amende administrative d’un montant de 15.000 euros.
11. Par courrier du 17 septembre 2020, le contrôlé a fait parvenir au chef d’enquête ses
observations quant au courrier complémentaire à la communication des griefs.
12. L’affaire a été à l’ordre du jour de la séance de la formation restreinte du 13 novembre
2020. Conformément à l’article 10.2. b) du règlement d’ordre intérieur de la Commission
nationale, le chef d’enquête et le contrôlé ont exposé leurs observations orales à l’appui
de leurs observations écrites et ont répondu aux questions posées par la formation
restreinte. Le contrôlé a eu la parole en dernier.
II. En droit
A. Sur le manquement à l’obligation d’associer le DPD à toutes les questions relatives à
la protection des données à caractère personnel
1. Sur les principes
13. Selon l’article 38.1 du RGPD, l’organisme doit veiller à ce que le DPD soit associé, d’une
manière appropriée et en temps utile, à toutes les questions relatives à la protection des
données à caractère personnel.
14. Les lignes directrices concernant les DPD précisent qu’« [i]l est essentiel que le DPD, ou
son équipe, soit associé dès le stade le plus précoce possible à toutes les questions
relatives à la protection des données. […] L’information et la consultation du DPD dès le
début permettront de faciliter le respect du RGPD et d’encourager une approche fondée
sur la protection des données dès la conception; il devrait donc s’agir d’une procédure
habituelle au sein de la gouvernance de l’organisme. En outre, il importe que le DPD soit
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
4/25
considéré comme un interlocuteur au sein de l’organisme et qu’il soit membre des groupes
de travail consacrés aux activités de traitement de données au sein de l’organisme »6.
15. Les lignes directrices concernant les DPD fournissent des exemples sur la manière
d’assurer cette association du DPD, tels que :
d’inviter le DPD à participer régulièrement aux réunions de l’encadrement
supérieur et intermédiaire ;
de recommander la présence du DPD lorsque des décisions ayant des implications
en matière de protection des données sont prises ;
de prendre toujours dûment en considération l’avis du DPD ;
de consulter immédiatement le DPD lorsqu’une violation de données ou un autre
incident se produit.
16. Selon les lignes directrices concernant les DPD, l’organisme pourrait, le cas échéant,
élaborer des lignes directrices ou des programmes en matière de protection des données
indiquant les cas dans lesquels le DPD doit être consulté.
2. En l’espèce
17. Il ressort du rapport d’audit que, pour que le chef d’enquête considère l’objectif 8 comme
rempli par le contrôlé dans le cadre de cette campagne d’audit, il s’attend à ce que le DPD
participe de manière formalisée et sur base d’une fréquence définie au Comité de
Direction, aux comités de coordination de projet, aux comités de nouveaux produits, aux
comités sécurité ou tout autre comité jugé utile dans le cadre de la protection des données.
18. Selon la communication des griefs, page 3, « le DPD participe au comité des directeurs sur
invitation ou sur demande, mais pas de manière systématique (…) La participation du DPD
aux réunions de projet ayant un impact sur la protection des données est prévue, mais pas
encore en place de manière systématique. La communication des griefs indique ensuite
que « Le fait que l'intervention du DPD au sein des différentes réunions pertinentes au
regard de la protection des données personnelles ne soit pas systématique n'est pas de
nature à garantir une implication appropriée du DPD, ni à établir son positionnement en
tant qu'interlocuteur au sein de l'organisme. »
6 WP 243 v.01, version révisée et adoptée le 5 avril 2017, p. 16
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
5/25
19. En outre, le chef d’enquête, prenant en considération la politique en matière de protection
des données qui, pendant l’enquête, était en cours d’élaboration par le contrôlé, relève
dans la communication des griefs, page 3, que « si l'existence d'une politique de protection
des données précisant la nécessité d'intégrer le DPD dans toutes les questions liées à la
protection des données est un élément important de gouvernance, elle ne suffit pas à
garantir l'implication appropriée et en temps utile du DPD au niveau opérationnel. Des
procédures internes précisant concrètement de quelle manière le DPD doit être impliqué,
l'invitation systématique du DPD aux réunions ou encore sa désignation en tant que
membre permanent d'un comité seraient, par exemple, des éléments permettant de
démontrer son implication opérationnelle. »
20. Dans sa prise de position du 4 décembre 2019, page 2, le contrôlé indique qu’« [i]l est
important (…) de tenir compte des particularités de chaque organisation ainsi que de son
fonctionnement décisionnel et organisationnel afin d'apprécier de quelle « manière
appropriée » le responsable du traitement, avec le sous-traitant, doit associer le DPD « à
toutes les questions relatives à la protection des données »» et soutient que « Ni le RGPD,
ni les lignes directrices ne prévoient une obligation pour le responsable du traitement de
rendre le DPD membre permanent d'un comité décisionnel quelconque ». Aussi, d’après
le contrôlé « l'exigence formulée dans le rapport consistant à ce que le DPD soit membre
permanent du Comité des directeurs […] n'est ni conforme à ces textes, ni nécessaire à
l'exercice des missions du DPD. »
21. Le contrôlé rappelle en outre que des mesures ont été prises « afin d’aider le DPD à
exercer ses missions », y compris en nommant pour chaque service, « un ou plusieurs
« correspondants GDPR » dont les missions sont notamment de relayer les objectifs de la
politique de protection des données au sein de leur service et de coordonner les opérations
de mise en conformité sous la responsabilité du chef de service concerné et du DPD. Ils
ont un accès direct à celui-ci. »
22. La formation restreinte constate que le RGPD ne précise pas quelles sont les mesures qui
devraient être prises par le responsable du traitement pour assurer l’association du DPD
à toutes les questions relatives à la protection des données. Quant aux lignes directrices
concernant les DPD, celles-ci formulent des recommandations et des bonnes pratiques,
afin de guider les responsables du traitement dans la mise en conformité à l’égard de leur
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
6/25
gouvernance en fournissant notamment des exemples sur la manière d’assurer cette
association.
23. Néanmoins, la formation restreinte relève qu’il est précisé à juste titre en page 2 de la
communication des griefs (sous « remarques préliminaires ») que « [l]es exigences du
RGPD ne sont pas toujours strictement définies. Dans une telle situation, il revient aux
autorités de contrôle de vérifier la proportionnalité des mesures mises en place par les
responsables de traitement au regard de la sensibilité des données traitées et des risques
encourus par les personnes concernées. »
24. A cet égard, la formation restreinte constate que le contrôlé compte environ […]
collaborateurs (d’après le dossier d’enquête), qu’il dispose d’un service interne de […].
[…]. Il s’ensuit néanmoins que les activités du contrôlé impliquent des traitements de
données à caractère personnel qui touchent potentiellement un nombre important de
personnes concernées. Or, si le contrôlé a mis en place, préalablement au début de
l’enquête, certaines mesures organisationnelles facilitant l’association du DPD, en
particulier en nommant pour chaque service des « correspondants GDPR », la formation
restreinte considère néanmoins que la participation formalisée et systématique du DPD
aux réunions pertinentes, telle qu’elle est attendue par le chef d’enquête, est une mesure
proportionnée afin d’assurer l’association du DPD à toutes les questions relatives à la
protection des données personnelles.
25. La formation restreinte prend note du fait que dans son courrier du 17 septembre 2020, le
contrôlé indique qu’il a été décidé de « formaliser des réunions mensuelles entre le DPD
et les chefs de service qui traitent le plus de données personnelles (principalement
informatique, ressources humaines et […]) (…) ainsi que des réunions biannuelles avec
les autres chefs de services » et d’ajouter « en annexe à la politique générale de gestion
de données, une fiche permettant à chaque personne en charge d'un projet de traiter avec
le DPO la question de la protection des données ». Si ces mesures devraient permettre
d’assurer l’association du DPD à toutes les questions relatives à la protection des données,
il convient de constater que celles-ci ont été décidées en cours d’enquête par le contrôlé.
La formation restreinte se rallie par conséquent au constat du chef d’enquête selon lequel,
au début de l’enquête, le contrôlé n'a pas été en mesure de démontrer que le DPD était
associé de manière approprié, à toutes les questions relatives à la protection des données
personnelles.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
7/25
26. La formation restreinte constate en outre qu’elle ne dispose pas de la documentation qui
permettrait de démontrer la prise de telles mesures par le contrôlé.
27. Au vu de ce qui précède, la formation restreinte conclut que l’article 38.1 du RGPD n’a pas
été respecté par le contrôlé.
B. Sur le manquement à l’obligation de garantir l’autonomie du DPD
1. Sur les principes
28. Aux termes de l’article 38.3 du RGPD, l’organisme doit veiller à ce que le DPD « ne reçoive
aucune instruction en ce qui concerne l'exercice des missions ». Par ailleurs, le DPD « fait
directement rapport au niveau le plus élevé de la direction » de l’organisme.
29. Le considérant (97) du RGPD indique en outre que les DPD « devraient être en mesure
d'exercer leurs fonctions et missions en toute indépendance ».
30. Selon les lignes directrices concernant les DPD7, l’article 38.3 du RGPD « prévoit certaines
garanties de base destinées à faire en sorte que les DPD soient en mesure d’exercer leurs
missions avec un degré suffisant d’autonomie au sein de leur organisme. […] Cela signifie
que, dans l’exercice de leurs missions au titre de l’article 39, les DPD ne doivent pas
recevoir d’instructions sur la façon de traiter une affaire, par exemple, quel résultat devrait
être obtenu, comment enquêter sur une plainte ou s’il y a lieu de consulter l’autorité de
contrôle. En outre, ils ne peuvent être tenus d’adopter un certain point de vue sur une
question liée à la législation en matière de protection des données, par exemple, une
interprétation particulière du droit. […] Si le responsable du traitement ou le sous-traitant
prend des décisions qui sont incompatibles avec le RGPD et l’avis du DPD, ce dernier
devrait avoir la possibilité d’indiquer clairement son avis divergent au niveau le plus élevé
de la direction et aux décideurs. À cet égard, l’article 38, paragraphe 3, dispose que le
DPD « fait directement rapport au niveau le plus élevé de la direction du responsable du
traitement ou du sous-traitant ». Une telle reddition de compte directe garantit que
l’encadrement supérieur (par ex., le conseil d’administration) a connaissance des avis et
recommandations du DPD qui s’inscrivent dans le cadre de la mission de ce dernier
7 WP 243 v.01, version révisée et adoptée le 5 avril 2017, p. 17 et 18
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
8/25
consistant à informer et à conseiller le responsable du traitement ou le sous-traitant.
L’élaboration d'un rapport annuel sur les activités du DPD destiné au niveau le plus élevé
de la direction constitue un autre exemple de reddition de compte directe. »
2. En l’espèce
31. Il ressort du rapport d’audit que, pour que le chef d’enquête considère l’objectif 7 comme
rempli par le contrôlé dans le cadre de cette campagne d’audit, il s’attend à ce que le DPD
soit « rattaché au plus haut niveau de la direction afin de garantir au maximum son
autonomie ».
32. Selon la communication des griefs, page 3, « « Il ressort de l'enquête que le […] indique
que le DPD fait directement rapport au niveau le plus élevé de la Société, en l'occurrence
le Conseil d'administration et la Direction générale. Toutefois, la Société A n'[a] pas été en
mesure de démontrer l'existence d'un tel rapport direct au niveau le plus élevé de la
direction, par exemple, par le biais d'un rapport d'activité. S'agissant du rattachement
hiérarchique, le DPD était initialement rattaché au directeur juridique, lui-même rattaché
au directeur administratif et financier. »
33. Pour ce qui est de l’établissement d’un rapport d’activité, le chef d’enquête relève en page
4 de la communication des griefs qu’une modification est intervenue en cours d’enquête
dans le sens d’une mise en conformité, le DPD établissant désormais un rapport mensuel
à l’attention du Directeur général. Le chef d’enquête relève toutefois que le DPD devrait
pouvoir déterminer de manière autonome le contenu de ce rapport mensuel qui est d’abord
discuté avec le Directeur administratif et financier.
34. En ce qui concerne le rattachement hiérarchique, le chef d’enquête rappelle en page 4 de
la communication des griefs que « l'existence de plusieurs niveaux hiérarchiques entre le
DPD et le niveau le plus élevé de la direction n'est pas de nature à garantir son
autonomie. » et souligne que lors de l’enquête, le contrôlé a indiqué « que le rattachement
hiérarchique du nouveau DPD était incertain ».
35. Dans sa prise de position du 4 décembre 2019, page 3, le contrôlé fait valoir que le DPD
précédemment en fonctions « faisait régulièrement un rapport auprès du Directeur
Administratif et Financier en 2018 » et qu’un contexte particulier pour ce qui est du
recrutement du DPD actuel a eu pour conséquence que ce dernier « a fait rapport au
Directeur administratif et financier de manière informelle (…) jusqu’en mars 2019 ». Le
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
9/25
contrôlé précise ensuite que depuis le 15 mars 2019, le service juridique et le DPD font
partie du […], placé sous la responsabilité du Directeur Général et que depuis mai 2019,
un « rapport d'activité formel » est établi chaque mois.
36. Quant au contenu du rapport établi par le DPD, le contrôlé précise en page 4 de sa prise
de position du 4 décembre 2019 que « Le rapport d'activité mensuel est (…) transmis au
Directeur Général sans que le contenu du rapport ait été modifié, si ce n'est complété du
compte rendu de la réunion avec le Directeur Administratif et Financier ».
37. Dans sa prise de position du 4 décembre 2019, le contrôlé fait par ailleurs valoir, en page
3, que « Le rapport cite […] de la Société A pour relever un manquement en faisant une
citation parcellaire : « le délégué à la protection des données fait directement rapport au
niveau le plus élevé de la Société, en l'occurrence le Conseil d'Administration et la
Direction Générale ». Cependant, la CNPD a omis la partie du texte de […] précisant que
le DPD fait rapport au Conseil d'Administration et à la Direction Générale « pour tout
problème significatif survenant ou relevé dans le cadre de ses fonctions ».
38. Le contrôlé poursuit en indiquant que « Le RGPD et les lignes directrices ne précisant pas
quelle doit être la nature du rapport fait au plus haut niveau de la hiérarchie, la Société A
a estimé, au vue de la taille et de l'organisation de la Société A, qu'il était préférable de
discuter à un niveau inférieur des problématiques de protection des données (chefs de
service qui ont les délégations de pouvoir pour prendre les décisions voire les directeurs
selon la nature de la problématique) afin de les résoudre de la manière la plus efficace et
d'en faire ensuite rapport au Directeur Général. Bien entendu, dans le cas où le DPD
constaterait un blocage significatif, il a l'opportunité de s'adresser directement à la Direction
Générale et au Conseil d'Administration. »
39. Sur ce point, la formation restreinte relève que le rapport direct au plus haut niveau de la
direction est, selon […], conditionné à l’existence d’un « problème significatif » (ou
« blocage significatif », suivant la prise de position du contrôlé du 4 décembre 2019). Outre
la question de savoir quels sont les critères qui permettent de déterminer, en pratique,
l’existence d’un tel problème, la formation restreinte émet des réserves quant à cette
condition qui pourrait constituer un obstacle à l’accès direct du DPD au plus haut niveau
de la direction, en ce que le DPD pourrait se trouver dans la position de devoir justifier
l’existence d’un tel « problème significatif » avant d’intervenir auprès du plus haut niveau
de la direction. Or, la formation restreinte considère que le DPD devrait pouvoir contourner
les niveaux hiérarchiques intermédiaires dès qu’il l’estime nécessaire.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
10/25
40. La formation restreinte relève d’ailleurs à cet égard, que dans son courrier du 17 septembre
2020, le contrôlé a informé le chef d’enquête de mesures décidées en ce sens, à savoir
qu’il sera ajouté, dans sa « politique générale de gestion des données à caractère
personnel », l’indication suivante : « le DPO s'il estime nécessaire peut directement
prendre contact avec le Directeur Général de la Société A afin de lui remonter toute
problématique ».
41. Si des mesures ont été décidées en cours d’enquête par le contrôlé dans le sens d’une
mise en conformité, la formation restreinte se rallie néanmoins au constat du chef
d’enquête selon lequel, au début de l’enquête, le contrôlé n'a pas été en mesure de
démontrer que le DPD pouvait agir sans recevoir d'instruction en ce qui concerne l'exercice
de ses missions ou qu'il faisait directement rapport au niveau le plus élevé de la direction.
42. La formation restreinte constate qu’elle ne dispose pas de la documentation qui permettrait
de démontrer que les mesures décrites au point 40 de la présente décision ont été prises
par le contrôlé.
43. Au vu de ce qui précède, la formation restreinte conclut que l’article 38.3 du RGPD n’a pas
été respecté par le contrôlé.
C. Sur le manquement relatif à la mission d’information et de conseil du DPD
1. Sur les principes
44. En vertu de l’article 39.1. a) du RGPD, l’une des missions du DPD est d’« informer et
conseiller le responsable du traitement ou le sous-traitant ainsi que les employés qui
procèdent au traitement sur les obligations qui leur incombent en vertu du présent
règlement et d'autres dispositions du droit de l'Union ou du droit des États membres en
matière de protection des données ».
2. En l’espèce
45. Il ressort du rapport d’audit que, pour que le chef d’enquête considère l’objectif 9 comme
rempli par le contrôlé dans le cadre de cette campagne d’audit, il s’attend à ce que
« l'organisme dispose d'un reporting formel des activités du DPD vers le Comité de
Direction sur base d'une fréquence définie. Concernant l'information aux employés, il est
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
11/25
attendu que l'organisme ait mis en place un dispositif de formation adéquat du personnel
en matière de protection des données ».
46. Sur ces deux points, selon la communication des griefs, page 4, « Il ressort de l'enquête
que le personnel de la Société A a été sensibilisé par le DPD seul ou accompagné du
CISO. Des formations spécifiques ont été effectuées vis-à-vis des cadres dirigeants, des
ressources humaines et du département informatique. A l'égard du responsable de
traitement, le DPD émet des recommandations de manière ad-hoc (13 entre le 25 mai
2018 et le 4 février 2019). Dans une logique de gestion quotidienne de la protection des
données et compte tenu du volume de données traitées, de la sensibilité des certaines de
ces données ou de la complexité des opérations de traitement (voir remarques
préliminaires), il est attendu que les missions d'information et de conseil à l'égard du
responsable de traitement soient mieux formalisées, par exemple avec un rapport
d'activité. » Il est ensuite précisé qu’au cours de l’enquête « les agents de la CNPD ont été
informés qu'il existe maintenant un reporting mensuel à l'attention du Directeur général ».
La formation restreinte constate néanmoins qu’elle ne dispose pas de la documentation
qui permettraient de démontrer que cette mesure a été mise en place. Ceci étant précisé,
il est retenu dans la communication des griefs, page 5, qu’au début de l'enquête, « le
responsable de traitement n'a pas été en mesure de démontrer que le DPD exerce ses
missions d'information et de conseil à l'égard du responsable de traitement. »
47. Dans sa prise de position du 4 décembre 2019, le contrôlé soutient d’abord « que ni le
RGPD ni les lignes directrices n'imposent un quelconque formalisme concernant la façon
dont le DPD effectue ses missions d'information et de conseil » et « que l'absence de
rapport d'activité formel de manière régulière ne suffit pas à démontrer que le DPD n'a pas
effectué ses missions d'information et de conseil. » Le contrôlé décrit ensuite de quelle
façon le délégué à la protection des données réalise ses missions d'information et de
conseil « au travers notamment, de la revue des contrats (prestation de service, contrat de
sous-traitance, etc.), des analyses d'impact relative à la protection des données (DPIA) ou
encore de réponses aux sollicitations de la part des différents correspondants GDPR ou
services » et précise que « le DPD est confronté tous les jours à des demandes et des
problématiques liées à la protection des données pour lesquelles il émet un avis soit
informel (téléphone par exemple) soit formel (courriel le plus souvent ou compte rendu). »
48. Pour ce qui est de la mission d’information des employés sur les obligations qui leur
incombent en vertu du RGPD, le contrôlé indique dans sa prise de position du 4 décembre
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
12/25
2021 que « [c]omme l'a souligné la CNPD, le DPD exerce également ses missions
d'information et de conseil lors de sessions de formation et de sensibilisation. »
49. A cet égard, la formation restreinte constate que le manquement relevé par le chef
d’enquête ne concerne en effet que la mission d’information et de conseil du DPD à l’égard
du responsable de traitement, et non pas la mission d’information et de conseil du DPD à
l’égard des employés.
50. La formation restreinte relève que l’article 39.1 du RGPD énumère les missions que le
DPD doit au moins se voir confier, dont la mission d’informer et de conseiller l’organisme
ainsi que les employés, sans toutefois préciser si des mesures spécifiques doivent être
mises en place pour assurer que le DPD puisse accomplir sa mission d’information et de
conseil. Les lignes directrices concernant les DPD, qui formulent des recommandations et
des bonnes pratiques pour guider les responsables de traitement dans la mise en
conformité à l’égard de leur gouvernance, n’abordent également que succinctement la
mission de conseil et d’information du DPD. Ainsi, elles précisent que la tenue du registre
des activités de traitement visé à l’article 30 du RGPD peut être confiée au DPD et que
« [c]e registre doit être considéré comme l’un des outils permettant au DPD d’exercer ses
missions de contrôle du respect du RGPD ainsi que d’information et de conseil du
responsable du traitement ou du sous-traitant.8 »
51. En l’espèce, la formation restreinte relève qu’il ressort du dossier d’enquête que le DPD a
été impliqué dans l’établissement du registre des activités de traitement et qu’il assure un
suivi de ce registre9.
52. La formation restreinte constate en outre que dans sa prise de position du 4 décembre
2019, le contrôlé a fourni des éléments afin de décrire de quelle façon le DPD réalise en
pratique ses missions d'information et de conseil à l’égard du responsable du traitement.
53. Néanmoins, la formation restreinte rappelle qu’elle a déjà constaté au point 23 de la
présente décision qu’il est précisé à juste titre en page 2 de la communication des griefs
(sous « remarques préliminaires ») que « [l]es exigences du RGPD ne sont pas toujours
strictement définies. Dans une telle situation, il revient aux autorités de contrôle de vérifier
la proportionnalité des mesures mises en place par les responsables de traitement au
8 WP 243 v.01, version révisée et adoptée le 5 avril 2017, p. 22
9 Compte-rendu de visite du 4 février 2019, p. 5
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
13/25
regard de la sensibilité des données traitées et des risques encourus par les personnes
concernées. »
54. Or, compte tenu du fait qu’il a déjà été constaté au point 24 de la présente décision que
les activités du contrôlé impliquent des traitements de données à caractère personnel qui
touchent potentiellement un nombre important de personnes concernées, la formation
restreinte considère qu’un reporting formel des activités du DPD auprès de la direction, sur
la base d'une fréquence définie, constitue une mesure proportionnée afin de démontrer
que le DPD exerce ses missions d’information et de conseil à l’égard du responsable du
traitement.
55. La formation restreinte constate que le contrôlé a indiqué qu’un reporting formel, sur une
base mensuelle, a été mis en place en cours d’enquête, mais se rallie néanmoins au
constat du chef d’enquête selon lequel, au début de l'enquête, le responsable de traitement
n'a pas été en mesure de démontrer que le DPD exerce ses missions d'information et de
conseil à l'égard du responsable de traitement.
56. La formation restreinte rappelle en outre qu’elle ne dispose pas de la documentation qui
permettrait de démontrer que cette mesure a été mise en place par le contrôlé.
57. Au vu de ce qui précède, la formation restreinte conclut que l’article 39.1. a) du RGPD n’a
pas été respecté par le contrôlé.
D. Sur le manquement relatif à la mission de contrôle du DPD
1. Sur les principes
58. Selon l’article 39.1. b) du RGPD, le DPD a, entre autres, la mission de « contrôler le respect
du présent règlement, d'autres dispositions du droit de l'Union ou du droit des États
membres en matière de protection des données et des règles internes du responsable du
traitement ou du sous-traitant en matière de protection des données à caractère personnel,
y compris en ce qui concerne la répartition des responsabilités, la sensibilisation et la
formation du personnel participant aux opérations de traitement, et les audits s'y
rapportant ». Le considérant (97) précise que le DPD devrait aider l’organisme à vérifier le
respect, au niveau interne, du RGPD.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
14/25
59. Il résulte des lignes directrices concernant les DPD10 que, dans le cadre de sa mission de
contrôle, le DPD peut notamment :
recueillir des informations permettant de recenser les activités de traitement;
analyser et vérifier la conformité des activités de traitement;
informer et conseiller le responsable du traitement ou le sous-traitant et formuler des
recommandations à son intention.
2. En l’espèce
60. Il ressort du rapport d’audit que, pour que le chef d’enquête considère l’objectif 10 comme
rempli par le contrôlé dans le cadre de cette campagne d’audit, il s’attend à ce que
« l'organisme dispose d'un plan de contrôle formalisé en matière de protection des
données (même s'il n'est pas encore exécuté) ».
61. Selon la communication des griefs, page 5, « Il ressort de l'enquête que l'organisme
effectue les contrôles de manière ad hoc dans le cadre de projets auxquels le DPD
participe. Dans une logique de gestion quotidienne de la protection des données, et
compte tenu du volume de données traitées, de la sensibilité des certaines de ces données
ou de la complexité des opérations de traitement (voir remarques préliminaires), il est
attendu que les missions de contrôle du DPD soient mieux formalisées, par exemple avec
l'instauration d'un plan de contrôle. »
62. Dans sa prise de position du 4 décembre 2019, le contrôlé fait valoir « que ce n'est pas
parce qu'il n'y a pas de plan de contrôle formalisé qu'aucun contrôle adéquat du traitement
des données au sein de l'organisme n'est effectué. D'ailleurs, ce contrôle se fait souvent
implicitement dans le cadre de projets pour lesquels le DPD intervient. En effet, par le biais
de la revue du registre des traitements, des DPIA, des problématiques soulevées, le DPD
contrôle l'application du règlement et remonte l'information au besoin à la hiérarchie afin
de régulariser la situation. »
63. La formation restreinte constate que l’article 39.1 du RGPD énumère les missions que le
DPD doit au moins se voir confier, dont la mission de contrôler le respect du RGPD , sans
toutefois exiger que l’organisme mette en place des mesures spécifiques pour assurer que
le DPD puisse accomplir sa mission de contrôle. Ainsi, les lignes directrices concernant
10 WP 243 v.01, version révisée et adoptée le 5 avril 2017, p. 20
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
15/25
les DPD précisent notamment que la tenue du registre des activités de traitement visé à
l’article 30 du RGPD peut être confiée au DPD et que « [c]e registre doit être considéré
comme l’un des outils permettant au DPD d’exercer ses missions de contrôle du respect
du RGPD ainsi que d’information et de conseil du responsable du traitement ou du sous-
traitant.11 »
64. La formation restreinte a déjà relevé au point 51 de la présente décision qu’il ressort du
dossier d’enquête que le DPD a été impliqué dans l’établissement du registre des activités
de traitement et qu’il assure un suivi de ce registre12. Le contrôlé, dans sa prise de position
du 4 décembre 2019, fait d’ailleurs valoir que le DPD contrôle l’application du RGPD
notamment « par le biais de la revue du registre des traitements ».
65. Néanmoins, comme cela a déjà été rappelé aux points 23 et 53 ci-avant, il est précisé à
juste titre en page 2 de la communication des griefs (sous « remarques préliminaires »)
que « [l]es exigences du RGPD ne sont pas toujours strictement définies. Dans une telle
situation, il revient aux autorités de contrôle de vérifier la proportionnalité des mesures
mises en place par les responsables de traitement au regard de la sensibilité des données
traitées et des risques encourus par les personnes concernées. »
66. Or, compte tenu du fait qu’il a déjà été constaté au point 24 de la présente décision que
les activités du contrôlé impliquent des traitements de données à caractère personnel qui
touchent potentiellement un nombre important de personnes concernées, la formation
restreinte considère que la mission de contrôle effectuée par le DPD auprès du contrôlé
devrait être davantage formalisée, par exemple par un plan de contrôle en matière de
protection des données, afin de pouvoir démontrer que le DPD effectue sa mission de
contrôle du respect du RGPD de manière adéquate.
67. La formation restreinte prend note du fait que dans son courrier du 17 septembre 2020, le
contrôlé indique qu’il a été décidé « de mettre en place une stratégie d'audit et de contrôle
par l'élaboration en 2020 d'un plan de contrôle ». Néanmoins, cette décision étant
intervenue en cours d’enquête, la formation restreinte se rallie au constat du chef
d’enquête selon lequel le contrôlé n'a pas été en mesure de démontrer que le DPD exerce
ses missions de contrôle du respect du RGPD.
11 WP 243 v.01, version révisée et adoptée le 5 avril 2017, p. 22
12 Compte-rendu de visite du 4 février 2019, p. 5
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
16/25
68. La formation restreinte constate qu’elle ne dispose pas de la documentation qui permettrait
de démontrer que cette mesure a été mise en place par le contrôlé.
69. Au vu de ce qui précède, la formation restreinte conclut que l’article 39.1. b) du RGPD n’a
pas été respecté par le contrôlé.
III. Sur les mesures correctrices et l’amende
A. Les principes
70. Conformément à l’article 12 de la loi du 1er août 2018 portant organisation de la
Commission nationale pour la protection des données et du régime général sur la
protection des données, la Commission nationale dispose des pouvoirs prévus à l’article
58.2 du RGPD:
a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent
règlement;
b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent
règlement;
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant,
de manière spécifique et dans un délai déterminé;
e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel;
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du
traitement;
g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
17/25
mesures aux destinataires auxquels les données à caractère personnel ont été
divulguées en application de l'article 17, paragraphe 2, et de l'article 19;
h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la
certification ne sont pas ou plus satisfaites;
i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas;
j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »
71. L’article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les amendes
administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette
amende :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou
de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des
articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
18/25
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la
violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».
72. La formation restreinte tient à préciser que les faits pris en compte dans le cadre de la
présente décision sont ceux constatés au début de l’enquête. Les éventuelles
modifications relatives à l’objet de l’enquête intervenues ultérieurement, même si elles
permettent d’établir entièrement ou partiellement la conformité, ne permettent pas
d’annuler rétroactivement un manquement constaté.
73. Néanmoins, les démarches effectuées par le contrôlé pour se mettre en conformité avec
le RGPD en cours de la procédure d’enquête ou pour remédier aux manquements relevés
par le chef d’enquête dans la communication des griefs, sont prises en compte par la
formation restreinte dans le cadre des éventuelles mesures correctrices à prononcer.
B. En l’espèce
1. Quant à l’imposition d’une amende administrative
74. Dans son courrier complémentaire à la communication des griefs du 10 août 2020, le chef
d’enquête propose à la formation restreinte de prononcer à l’encontre du contrôlé une
amende administrative portant sur le montant de 15.000 euros.
75. Dans son courrier du 17 septembre 2020, le contrôlé soutient « que la sanction proposée
à la Formation Restreinte n'est pas en adéquation avec les griefs invoqués ».
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
19/25
76. Afin de décider s’il y a lieu d’imposer une amende administrative et pour décider, le cas
échéant, du montant de cette amende, la formation restreinte analyse les critères posés
par l’article 83.2 du RGPD :
- Quant à la nature et la gravité de la violation [article 83.2 a) du RGPD], en ce qui concerne
les manquements aux articles 38.1, 38.3, 39.1 a) et 39.1 b) du RGPD, la formation
restreinte relève que la nomination d’un DPD par un organisme ne saurait être efficiente
et efficace, à savoir faciliter le respect du RGPD par l’organisme, que dans le cas où le
DPD est associé dès le stade le plus précoce possible à toutes les questions relatives à la
protection des données, exerce ses fonctions et missions en toute indépendance, exerce
de façon effective ses missions, dont la mission d’information et de conseil du responsable
du traitement et la mission de contrôle du respect du RGPD.
- Quant au critère de durée [article 83.2.a) du RGPD], la formation restreinte relève que le
contrôlé a indiqué, dans son courrier du 17 septembre 2020 :
(1) Qu’il a été décidé de prendre des mesures en septembre 2020 afin de formaliser
l’association du DPD à toutes les questions relatives à la protection des données. Le
manquement à l’article 38.1 du RGPD a donc duré dans le temps, à tout le moins entre
le 25 mai 2018 et septembre 2020 ;
(2) Que le DPD est rattaché au […] depuis mars 2019 et qu’il a été décidé de prendre
des mesures en septembre 2020 afin de formaliser la possibilité pour le DPD, s'il
estime nécessaire, de « directement prendre contact avec le Directeur Général afin de
lui remonter toute problématique ». Le manquement à l’article 38.3 du RGPD a donc
duré à tout le moins entre le 25 mai 2018 et septembre 2020.
(3) Qu’il a été décidé de mettre en place « une stratégie d'audit et de contrôle par
l'élaboration en 2020 d'un plan de contrôle. » Le manquement à l’article 39.1. b) du
RGPD a donc duré dans le temps, à tout le moins entre le 25 mai 2018 et septembre
2020.
Pour ce qui est de la mission d’information et de conseil, la formation restreinte relève
qu’il ressort du rapport d’audit que le contrôlé a indiqué qu’un reporting formel a été
mis en place en mai 2019. Le manquement à l’article 39.1.a) du RGPD a donc duré à
tout le moins entre le 25 mai 2018 et mai 2019.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
20/25
- Quant au nombre de personnes concernées affectées par la violation et le niveau de
dommage qu’elles ont subi [article 83.2 a) du RGPD], la formation restreinte rappelle les
constatations faites au point 24 de la présente décision, à savoir que le contrôlé compte
environ […] collaborateurs (d’après le dossier d’enquête), […].
- Quant au degré de coopération établi avec l’autorité de contrôle [article 83.2 f) du RGPD],
la formation restreinte tient compte de l’affirmation du chef d’enquête selon laquelle le
contrôlé a fait preuve d’une participation constructive tout au long de l’enquête.
- Quant aux catégories de données à caractère personnel concernées par la violation
[article 83.2 g) du RGPD], la formation restreinte tient compte du fait que le contrôlé
dispose d’un service interne [… ].
77. La formation restreinte constate que les autres critères de l’article 83.2 du RGPD ne sont
ni pertinents, ni susceptibles d’influer sur sa décision quant à l’imposition d’une amende
administrative et son montant.
78. La formation restreinte relève que si plusieurs mesures ont été décidées par le contrôlé
afin de remédier en totalité ou en partie à certains manquements, celles-ci n’ont été
décidées qu’à la suite du lancement de l’enquête par les agents de la CNPD en date du
17 septembre 2018 (voir aussi le point 72 de la présente décision).
79. Dès lors, la formation restreinte considère que le prononcé d’une amende administrative
est justifié au regard des critères posés par l’article 83.2 du RGPD pour manquement aux
articles 38.1, 38.3, 39.1 a) et 39.1 b) du RGPD.
80. S’agissant du montant de l’amende administrative, la formation restreinte rappelle que
l’article 83.3 du RGPD prévoit qu’en cas de violations multiples, comme c’est le cas en
l’espèce, le montant total de l’amende ne peut excéder le montant fixé pour la violation la
plus grave. Dans la mesure où un manquement aux articles 38.1, 38.3, 39.1 a) et 39.1 b)
du RGPD est reproché au contrôlé, le montant maximum de l’amende pouvant être retenu
s’élève à 10 millions d’euros ou 2% du chiffre d’affaires annuel mondial, le montant le plus
élevé étant retenu.
81. Au regard des critères pertinents de l’article 83.2 du RGPD évoqués ci-avant, la formation
restreinte considère que le prononcé d’une amende de 15.000 euros apparaît à la fois
effectif, proportionné et dissuasif, conformément aux exigences de l’article 83.1 du RGPD.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
21/25
2. Quant à la prise de mesures correctrices
82. Dans son courrier complémentaire à la communication des griefs, le chef d’enquête
propose à la formation restreinte de prendre les mesures correctrices suivantes :
« a) Ordonner la mise en place de mesures assurant l'association formalisée et
documentée du DPD à toutes les questions relatives à la protection des données,
conformément aux exigences de l'article 38 paragraphe 1 du RGPD et du principe d'
«accountability ». Bien que plusieurs manières puissent être envisagées pour parvenir à
ce résultat, une des possibilités pourrait être d'analyser, avec le DPD, tous les
comités/groupes de travail pertinents au regard de la protection des données et de
formaliser par écrit les modalités de son intervention (information antérieure de l'agenda
des réunions, invitation, fréquence, statut de membre permanent, etc....). Il est à rappeler
que la présence du DPD aux différents comités/groupes de travail doit lui permettre d'être
directement et pleinement informé, mais que cette présence ne signifie pas que le DPD ait
nécessairement un rôle décisionnaire.
b) Ordonner la mise en place et le maintien d'un mécanisme formel garantissant
l'autonomie du DPD conformément aux exigences de l'article 38 paragraphe 3 du RGPD.
Plusieurs manières peuvent être envisagées pour parvenir à ce résultat, telles que
rattacher le DPD au plus haut niveau de la direction afin de garantir au maximum son
autonomie ou de créer une ligne formalisée et régulière de reporting direct, ainsi qu'un
mécanisme d'escalade d'urgence formel à la direction permettant de contourner le(s)
niveau(x) hiérarchique(s) intermédiaire(s) sur initiative du DPD.
c) Ordonner le déploiement formel et documenté de la mission de contrôle du DPD
conformément à l'article 39 paragraphe 1 b) du RGPD et du principe d'« accountability ».
Bien que plusieurs manières puissent être mises en œuvre pour parvenir à ce résultat, le
DPD devrait documenter ses contrôles sur l'application des règles et procédures internes
en matière de protection des données (deuxième ligne de défense). Cette documentation
pourrait prendre la forme d'un plan de contrôle suivi de rapports de contrôle et d'audit. »
83. Quant aux mesures correctrices proposées par le chef d’enquête et par référence au point
73 de la présente décision, la formation restreinte prend en compte les démarches
effectuées par le contrôlé afin de se conformer aux dispositions des articles 38.1, 38.3, et
39.1 b) du RGPD, telles que détaillées dans son courrier 17 septembre 2020. Plus
particulièrement, elle prend note des faits suivants :
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
22/25
- En ce qui concerne la violation de l’article 38.1 du RGPD, des mesures ont été
décidées par le contrôlé afin d’assurer l’association du DPD à toutes les questions
relatives à la protection des données. En effet, le contrôlé a décidé de « formaliser des
réunions mensuelles entre le DPD et les chefs de service qui traitent le plus de données
personnelles […] (…) ainsi que des réunions biannuelles avec les autres chefs de
services » et d’ajouter « en annexe à la politique générale de gestion de données, une
fiche permettant à chaque personne en charge d'un projet de traiter avec le DPO la
question de la protection des données ». Néanmoins, la formation restreinte ne dispose
pas de la documentation permettant de démontrer la prise de telles mesures de mise
en conformité par le contrôlé. La formation restreinte considère dès lors qu’il y a lieu
de prononcer la mesure correctrice proposée par le chef d’enquête sous a).
- En ce qui concerne la violation de l’article 38.3 du RGPD, le contrôlé rappelle que le
DPD est rattaché au […] depuis mars 2019 et indique que l’indication suivante sera
ajoutée dans la politique générale de gestion des données à caractère personnel de la
Société A : « le DPO s'il estime nécessaire peut directement prendre contact avec le
Directeur Général de la Société A afin de lui remonter toute problématique » La
formation restreinte considère qu’une telle mesure permettrait au DPD, s’il estime
nécessaire, contourner les niveaux hiérarchiques intermédiaires. Néanmoins, la
formation restreinte ne dispose pas de la documentation permettant de démontrer que
cette mesure de mise en conformité a été prise par le contrôlé. La formation restreinte
considère dès lors qu’il y a lieu de prononcer la mesure correctrice proposée par le
chef d’enquête sous b).
- En ce qui concerne la violation de l’article 39.1 b) du RGPD, le contrôlé indique qu’il
a été décidé « de mettre en place une stratégie d'audit et de contrôle par l'élaboration
en 2020 d'un plan de contrôle ». Néanmoins, la formation restreinte ne dispose pas de
la documentation permettant de démontrer la mise en œuvre de cette mesure de mise
en conformité par le contrôlé. La formation restreinte considère dès lors qu’il y a lieu
de prononcer la mesure correctrice proposée par le chef d’enquête sous c).
84. En ce qui concerne la violation de l’article 39.1 a) du RGPD, compte tenu des constatations
faites aux points 55 et 56 de la présente décision, la formation restreinte considère qu’il y
lieu d’ordonner la mise en place de mesures correctrices permettant d’assurer que le DPD
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
23/25
exerce, de façon formelle et documentée, sa mission d'information et de conseil à l'égard
du responsable de traitement.
Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte et délibérant à l'unanimité des voix décide :
- de retenir les manquements aux articles 38.1, 38.3, 39.1 a) et 39.1 b) du RGPD ;
- de prononcer à l’encontre de la Société A une amende administrative d’un montant de quinze
mille euros (15.000 euros) au regard de la violation des articles 38.1, 38.3, 39.1 a) et 39.1 b)
du RGPD ;
- de prononcer à l’encontre de la Société A, une injonction de se mettre en conformité avec
l’article 38.1 du RGPD, dans un délai de quatre mois suivant la notification de la décision de
la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la
formation restreinte au plus tard dans ce délai, en particulier :
s’assurer de l'association formalisée et documentée du DPD à toutes les questions relatives à
la protection des données ;
- de prononcer à l’encontre de la Société A, une injonction de se mettre en conformité avec
l’article 38.3 du RGPD, dans un délai de quatre mois suivant la notification de la décision de
la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la
formation restreinte au plus tard dans ce délai, en particulier :
s’assurer de la mise en place et du maintien d'un mécanisme formel garantissant l'autonomie
du DPD ;
- de prononcer à l’encontre de la Société A, une injonction de se mettre en conformité avec
l’article 39.1 b) du RGPD, dans un délai de quatre mois suivant la notification de la décision
de la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la
formation restreinte au plus tard dans ce délai, en particulier :
s’assurer du déploiement formel et documenté de la mission de contrôle du DPD ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
24/25
- de prononcer à l’encontre de la Société A, une injonction de se mettre en conformité avec
l’article 39.1 a) du RGPD, dans un délai de quatre mois suivant la notification de la décision
de la formation restreinte, les justificatifs de la mise en conformité devant être adressés à la
formation restreinte au plus tard dans ce délai, en particulier :
s’assurer que le DPD exerce, de façon formelle et documentée, sa mission d’information et de
conseil à l’égard du responsable du traitement.
Ainsi décidé à Belvaux en date du 11 juin 2021.
Pour la Commission nationale pour la protection des données siégeant en formation restreinte
Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire
Indication des voies de recours
La présente décision administrative peut faire l'objet d'un recours en réformation dans les trois
mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif et doit
obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des avocats.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n° […] menée auprès de la Société A
25/25