Décision de la Commission nationale siégeant en formation restreinte sur
l’issue de l’enquête n° […] menée auprès de la Société A
Délibération n° 42FR/2021 du 27 octobre 2021
La Commission nationale pour la protection des données siégeant en formation restreinte,
composée de Madame Tine A. Larsen, présidente, et de Messieurs Thierry Lallemang et Marc
Lemmer, commissaires;
Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif
à la protection des personnes physiques à l’égard du traitement des données à caractère
personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE;
Vu la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection
des données et du régime général sur la protection des données, notamment son article 41;
Vu le règlement d’ordre intérieur de la Commission nationale pour la protection des données
adopté par décision n°3AD/2020 en date du 22 janvier 2020, notamment son article 10, point
2;
Vu le règlement de la Commission nationale pour la protection des données relatif à la
procédure d’enquête adopté par décision n°4AD/2020 en date du 22 janvier 2020, notamment
son article 9;
Considérant ce qui suit :
I. Faits et procédure
1. Vu l’impact du rôle du délégué à la protection des données (ci-après : le « DPD ») et
l’importance de son intégration dans l’organisme, et considérant que les lignes directrices
concernant les DPD sont disponibles depuis décembre 20161, soit 17 mois avant l’entrée
en application du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27
avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des
1 Les lignes directrices concernant les DPD ont été adoptées par le groupe de travail « Article 29 » le 13
décembre 2016. La version révisée (WP 243 rev. 01) a été adoptée le 5 avril 2017.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
1/13
données à caractère personnel et à la libre circulation de ces données, et abrogeant la
directive 95/46/CE (règlement général sur la protection des données) (ci-après : le « RGPD
»), la Commission nationale pour la protection des données (ci-après : la « Commission
nationale » ou la « CNPD ») a décidé de lancer une campagne d’enquête thématique sur
la fonction du DPD. Ainsi, 25 procédures d’audit ont été ouvertes en 2018, concernant tant
le secteur privé que le secteur public.
2. En particulier, la Commission nationale a décidé par délibération n°[…] du 14 septembre
2018 d’ouvrir une enquête sous la forme d’audit sur la protection des données auprès de
la Société A située […], L-[…] et enregistrée au registre du commerce et des sociétés
luxembourgeois sous le n°[…](ci-après : le « contrôlé ») et de désigner M. Christophe
Buschmann comme chef d’enquête. Ladite délibération précise que l’enquête porte sur la
conformité du contrôlé avec la section 4 du chapitre 4 du RGPD.
3. […] le contrôlé [est actif dans le commerce de détail en magasin non spécialisé à
prédominance alimentaire].
4. Par courrier du 17 septembre 2018, le chef d’enquête a envoyé un questionnaire
préliminaire au contrôlé auquel ce dernier a répondu par courriel du 8 octobre 2018. Une
visite sur place a eu lieu le 27 février 2019 et une réunion téléphonique a eu lieu le 22
février 2021.
5. Dans le cadre de cette campagne d’audit, afin de vérifier la conformité de l’organisme avec
la section 4 du chapitre 4 du RGPD, le chef d’enquête a défini onze objectifs de contrôle
repris dans le compte-rendu de la visite du 27 février 2019, à savoir :
1) S’assurer que l'organisme soumis à l'obligation de désigner un DPD l'a bien fait ;
2) S'assurer que l'organisme a publié les coordonnées de son DPD ;
3) S'assurer que l'organisme a communiqué les coordonnées de son DPD à la CNPD ;
4) S'assurer que le DPD dispose d'une expertise et de compétences suffisantes pour
s'acquitter efficacement de ses missions ;
5) S'assurer que les missions et les tâches du DPD n'entraînent pas de conflit d'intérêt ;
6) S'assurer que le DPD dispose de ressources suffisantes pour s'acquitter efficacement
de ses missions ;
7) S'assurer que le DPD est en mesure d'exercer ses missions avec un degré suffisant
d'autonomie au sein de son organisme ;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
2/13
8) S'assurer que l'organisme a mis en place des mesures pour que le DPD soit associé à
toutes les questions relatives à la protection des données ;
9) S'assurer que le DPD remplit sa mission d'information et de conseil auprès du
responsable du traitement et des employés ;
10) S'assurer que le DPD exerce un contrôle adéquat du traitement des données au sein
de son organisme ;
11) S'assurer que le DPD assiste le responsable du traitement dans la réalisation des
analyses d'impact en cas de nouveaux traitements de données.
6. Par courrier du 15 mars 2021 (ci-après : la « communication des griefs »), le chef
d’enquête a informé le contrôlé des manquements aux obligations prévues par le RGPD
qu’il a relevés lors de son enquête ainsi que des mesures correctrices et sanctions qu’il
propose à la Commission nationale siégeant en formation restreinte (ci-après : la
« formation restreinte ») d’adopter.
7. En particulier, le chef d’enquête a relevé dans la communication des griefs un
manquement à l’obligation de désigner un DPD2 et a proposé à la formation restreinte
d’adopter une mesure correctrice ainsi que d’infliger une amende administrative d’un
montant de 80.000 euros.
8. Par courrier du 12 avril 2021, le contrôlé a fait parvenir au chef d’enquête ses observations
quant à la communication des griefs.
9. Par courrier du 2 juin 2021, la présidente de la CNPD a informé le contrôlé de la date de
la séance au cours de laquelle était inscrite l'affaire le concernant et de la faculté qui lui
était offerte d'y être entendu. Par courrier du 29 juin 2021, le contrôlé a informé la
présidente de la CNPD qu’il n’y assisterait pas.
10. L’affaire a été à l’ordre du jour de la séance de la formation restreinte du 14 juillet 2021.
Conformément à l’article 10.2.b) du règlement d’ordre intérieur de la Commission
nationale, le chef d’enquête a présenté des observations orales sur l’affaire et a répondu
aux questions posées par la formation restreinte.
2 Objectif n°1
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
3/13
II. En droit
A. Sur le manquement à l’obligation de désigner un DPD
1. Sur les principes
11. Selon l’article 37.1 du RGPD, « Le responsable du traitement et le sous-traitant désignent
en tout état de cause un délégué à la protection des données lorsque:
a) le traitement est effectué par une autorité publique ou un organisme public, à
l'exception des juridictions agissant dans l'exercice de leur fonction juridictionnelle;
b) les activités de base du responsable du traitement ou du sous-traitant consistent en
des opérations de traitement qui, du fait de leur nature, de leur portée et/ou de leurs
finalités, exigent un suivi régulier et systématique à grande échelle des personnes
concernées; ou
c) les activités de base du responsable du traitement ou du sous-traitant consistent en
un traitement à grande échelle de catégories particulières de données visées à l'article
9 et de données à caractère personnel relatives à des condamnations pénales et à des
infractions visées à l'article 10. »
12. Le groupe de travail « Article 29 » sur la protection des données a adopté le 13 décembre
2016 des lignes directrices concernant les DPD qui ont été reprises et réapprouvées par
le Comité européen de la protection des données en date du 25 mai 20183. Ces lignes
directrices apportent des précisions concernant les notions d’« activités de base » et de
« grande échelle » qui se trouvent à l’article 37.1.b) et c) du RGPD ainsi que concernant
la notion de « suivi régulier et systématique » qui se trouve à l’article 37.1.b) du RGPD.
13. En ce qui concerne la notion d’« activités de base », les lignes directrices précisent que
« [l]es «activités de base» peuvent être considérées comme les opérations essentielles
pour atteindre les objectifs du responsable du traitement ou du sous-traitant. Elles
comprennent également toutes les activités pour lesquelles le traitement de données fait
partie intégrante de l’activité du responsable du traitement ou du sous-traitant »4.
3 WP 243 v.01, version révisée et adoptée le 5 avril 2017
4 WP 243 v.01, version révisée et adoptée le 5 avril 2017, p. 24
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
4/13
14. Quant à la notion de « grande échelle », il est recommandé dans les lignes directrices de
prendre en considération les facteurs suivants :
« - le nombre de personnes concernées, soit en valeur absolue, soit en valeur relative par
rapport à la population concernée;
- le volume de données et/ou le spectre des données traitées;
- la durée, ou la permanence, des activités de traitement des données;
- l’étendue géographique de l’activité de traitement »5.
15. Enfin, pour ce qui est de la notion de « suivi régulier et systématique », les lignes
directrices précisent que le suivi ne se limite pas à « l’environnement en ligne » 6. Le terme
« régulier », d’après les lignes directrices, recouvre « une ou plusieurs des significations
suivantes:
- continu ou se produisant à intervalles réguliers au cours d’une période donnée;
- récurrent ou se répétant à des moments fixes;
- ayant lieu de manière constante ou périodique. »
Quant au terme « systématique », il recouvre « une ou plusieurs des significations
suivantes:
- se produisant conformément à un système;
- préétabli, organisé ou méthodique;
- ayant lieu dans le cadre d’un programme général de collecte de données;
- effectué dans le cadre d’une stratégie. » 7
2. En l’espèce
16. Dans le cadre de cette campagne d’audit, pour que le chef d’enquête considère l’objectif
1 comme rempli par le contrôlé, il s’attend à ce que l’organisme ait désigné un DPD au 25
mai 2018 si ses traitements entrent dans le champ d’application de l’article 37.1 du RGPD.
17. Il convient de relever que le contrôlé a réalisé une analyse documentée, tel que cela est
recommandé par les lignes directrices concernant les DPD8, par laquelle il est arrivé à la
conclusion qu’il n’était pas dans l’obligation de désigner un DPD. Cette analyse a été
5 WP 243 v.01, version révisée et adoptée le 5 avril 2017, p.25
6
WP 243 v.01, version révisée et adoptée le 5 avril 2017, p.25
7
WP 243 v.01, version révisée et adoptée le 5 avril 2017, p.26
8
WP 243 v.01, version révisée et adoptée le 5 avril 2017, p. 7
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
5/13
transmise par le contrôlé avec ses réponses au questionnaire préliminaire par courriel du
8 octobre 2018.
18. Il ressort en particulier de cette analyse que le contrôlé « considère que si [ses] activités
peuvent parfois comporter une dimension de grande échelle ou de suivi régulier […] [ses]
activités ne comportent pas les deux éléments conjointement. » Il y est aussi indiqué que
le contrôlé « n’effectue pas de suivi régulier pour les activités client (pas de profilage). Les
achats sont parfois enregistrés sur la carte client (à la volonté du client) mais ne sont pas
utilisées à des fins de marketing direct. Ces données sont traitées uniquement à des fins
de restockage, de relation client lorsque celui-ci appelle ou pour le calcul de ses points et
pour remplir des obligations légales. »
19. Dans la communication des griefs, le chef d’enquête évoque cette analyse en page 5, « [i]l
ressort de l'enquête que [le contrôlé] n’a pas désigné de DPD. Les agents de la CNPD
prennent bonne note que, conformément aux lignes directrices relatives au DPD du groupe
de travail « article 29 » sur la protection des données [le contrôlé] a documenté une analyse
interne en collaboration avec ses consultants (…) afin de déterminer si, oui ou non, il y a
lieu de désigner un DPD. Sur base de cette analyse interne, la position [du contrôlé] est
qu’un DPD ne semble pas nécessaire au regard des activités menées. »
20. Le chef d’enquête relève ensuite que le contrôlé « offre un service de cartes de fidélité à
ses clients et qu’il existe plus de […] cartes clients actives (c’est à dire utilisées dans
l’année). Dans le cadre de la gestion de ces cartes clients, [le contrôlé] effectue des
traitements de données incluant les historiques d’achats et les points de fidélité. Les cartes
de fidélités (…) fonctionnent dans l’ensemble des magasins [du contrôlé], ainsi que dans
d’autres magasins partenaires. » D’après le chef d’enquête, « la proposition d’un
programme de fidélité fait partie intégrante de l’activité [du contrôlé] » ; il s’agirait par
conséquent d’une « activité de base » du contrôlé compte tenu des précisions apportées
dans les lignes directrices concernant les DPD au sujet de cette notion9.
21. Quant à la question de savoir si le contrôlé effectue un suivi systématique et régulier sur
base des données collectées via la carte de fidélité, le chef d’enquête considère qu’« [i]l
ressort des éléments de l’enquête que la carte [de fidélité] permet de suivre les achats
d’une personne par le biais de point fidélité. Le suivi est organisé, se produit conformément
9
WP 243 v.01, version révisée et adoptée le 5 avril 2017, p. 24
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
6/13
à un système ([…]) et est effectué dans le cadre d’une stratégie, ici une stratégie de
fidélisation. L’argument selon lequel le titulaire de la carte l’utilise « à sa volonté » est
inopérent. En effet, (…) le programme de fidélité s’inscrit dans une stratégie qui incite le
détenteur de la carte à l’utiliser afin de cumuler des points. Dès lors qu’un client entre dans
le programme de fidélité, il entre dans un sytème de suivi sytématique et régulier. Bien que
la finalité de « suivi » puisse ne pas être poursuivie en tant que telle par le responsable de
traitement, il n’en reste pas moins que pour atteindre les finalités poursuivies (restockage,
relation client, etc…), le responsable de traitement a mis en place un système de suivi
systématique et régulier. »
22. Pour ce qui est de la notion de « grande échelle », le chef d’enquête relève d’abord « qu’il
existe plus de […] cartes [de fidélité] actives » […]. Ensuite, en ce qui concerne l’étendue
géographique, il constate que ladite carte « est utilisable sur l'ensemble des magasins [du
contrôlé] du pays ainsi que dans de nombreuses autres enseignes partenaires. » Enfin,
concernant la durée du traitement, le chef d’enquête constate que la carte de fidélité
permet « de retracer les achats de son titulaire sur une période de deux ans ». Le chef
d’enquête en conclut que « [c]ompte tenu du nombre de personnes concernées, de
l'étendue géographique de l'activité de traitement, ainsi que de sa durée (…) la carte [de
fidélité] doit (…) être considéré comme un traitement de grande échelle au sens de l'article
37 paragraphe (1) du RGPD. »
23. Compte tenu des critères examinés par le chef d’enquête afin de déterminer si le contrôle
était et reste dans l’obligation de désigner un DPD, la formation restreinte déduit que ce
sont ceux de l’article 37.1.b) du RGPD, ce qui n’est toutefois pas explicitement mentionné
dans la communication des griefs, laquelle fait seulement référence à l’article 37.1 du
RGPD. La formation restreinte constate aussi que c’est essentiellement sur la base de
l’analyse du traitement « gestion des cartes clients » (ou « carte [de fidélité] ») que le chef
d’enquête est arrivé à la conclusion que le contrôlé était et reste dans l’obligation de
désigner un DPD au titre de l’article 37.1.b) du RGPD.
24. Dans sa prise de position du 12 avril 2021, le contrôlé revient d’ailleurs en particulier sur
le traitement en question et soutient qu’il ne constitue pas un suivi systématique,
considérant que « l’enregistrement des données peut éventuellement être considéré
comme systématique (après chaque achat et présentation de la carte) mais en aucun cas
le suivi. La finalité du traitement de la carte n'est pas le suivi des achats ni des
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
7/13
comportements de ses clients. (…) un simple enregistrement ne saurait être considéré
comme un suivi. »
25. Le contrôlé soutient en outre que le traitement n’est pas régulier, considérant que le
traitement « gestion des carte clients » ne relève d’aucune des significations du terme
« régulier » retenues par les lignes directrices concernant les DPD10.
26. Le contrôlé indique par ailleurs que l’identification de l’utilisateur de la carte de fidélité n’est
pas nécessaire pour utiliser celle-ci et qu’«[i]l n'est pas rare que des personnes partagent
leur carte rendant tout suivi, qui n'est pas ici le cas, inopérant et ineffectif. »
27. Tel que cela est mentionné au point 23 de la présente décision, c’est essentiellement sur
la base de l’analyse du traitement « gestion des cartes clients » (ou « carte [de fidélité] »)
que le chef d’enquête est arrivé à la conclusion que le contrôlé était et reste dans
l’obligation de désigner un DPD au titre de l’article 37.1.b) du RGPD. Il y a donc lieu
d’examiner si le traitement en question recouvre chacun des critères posés par l’article
37.1.b) du RGPD.
28. Quant à la question de savoir si la « gestion des cartes clients » (ou « carte [de fidélité] »)
constitue une activité de base du responsable du traitement, compte tenu du fait que les
lignes directrices concernant les DPD précisent que les activités de base « comprennent
(…) toutes les activités pour lesquelles le traitement de données fait partie intégrante de
l’activité du responsable du traitement »11, la formation restreinte se rallie à l’appréciation
du chef d’enquête selon laquelle « la proposition d’un programme de fidélité fait partie
intégrante de l’activité [du contrôlé] » et constitue par conséquent une activité de base de
ce dernier.
29. Quant à la notion de « grande échelle », à la lumière des recommandations formulées
dans les lignes directrices concernant les DPD au sujet de cette notion12, et en particulier
compte tenu du fait que le nombre de personnes concernées « en valeur relative par
rapport à la population concernée », que « l’étendue géographique de l’activité de
traitement » et que la durée du traitement constituent des facteurs qui devraient être pris
10
WP 243 v.01, version révisée et adoptée le 5 avril 2017, p.26
11
WP 243 v.01, version révisée et adoptée le 5 avril 2017, p.24
12
WP 243 v.01, version révisée et adoptée le 5 avril 2017, p.25
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
8/13
en considération, la formation restreinte se rallie à l’appréciation du chef d’enquête selon
laquelle « la carte [de fidélité] doit (…) être considéré comme un traitement de grande
échelle au sens de l'article 37 paragraphe (1) du RGPD. »
30. Il convient enfin d’examiner si le traitement « gestion des cartes clients » (ou « carte [de
fidélité] ») constitue un « suivi régulier et systématique » des personnes concernées.
31. La formation restreinte admet que le traitement « gestion des cartes clients » (ou « carte
[de fidélité] ») est effectué « conformément à un système ». Elle relève néanmoins, compte
tenu notamment des précisions apportées par le contrôlé dans sa prise de position du 12
avril 2021, référencées aux points 24, 25 et 26 de la présente décision concernant les
différents aspects de ce traitement, qu’il ne ressort pas du dossier d’enquête que ledit
traitement aurait pour finalité un suivi régulier des personnes concernées ni qu’un tel suivi
serait effectivement réalisé par le contrôlé.
32. Dès lors, il convient de constater qu’il ne ressort pas du dossier d’enquête que le contrôlé
se trouve, en raison du traitement « gestion des cartes clients » (ou « carte [de fidélité] »),
dans l’obligation de désigner un DPD au titre de l’article 37.1.b) du RGPD.
33. Au vu de ce qui précède, la formation restreinte conclut que le manquement à l'article 37.1
du RGPD n’est pas constitué.
III. Sur les mesures correctrices et l’amende
A. Les principes
34. Conformément à l’article 12 de la loi du 1er août 2018 portant organisation de la
Commission nationale pour la protection des données et du régime général sur la
protection des données, la Commission nationale dispose des pouvoirs prévus à l’article
58.2 du RGPD :
a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de
traitement envisagées sont susceptibles de violer les dispositions du présent
règlement;
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
9/13
b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les
opérations de traitement ont entraîné une violation des dispositions du présent
règlement;
c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes
présentées par la personne concernée en vue d'exercer ses droits en application du
présent règlement;
d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de
traitement en conformité avec les dispositions du présent règlement, le cas échéant,
de manière spécifique et dans un délai déterminé;
e) ordonner au responsable du traitement de communiquer à la personne concernée une
violation de données à caractère personnel;
f) imposer une limitation temporaire ou définitive, y compris une interdiction, du
traitement;
g) ordonner la rectification ou l'effacement de données à caractère personnel ou la
limitation du traitement en application des articles 16, 17 et 18 et la notification de ces
mesures aux destinataires auxquels les données à caractère personnel ont été
divulguées en application de l'article 17, paragraphe 2, et de l'article 19;
h) retirer une certification ou ordonner à l'organisme de certification de retirer une
certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de
certification de ne pas délivrer de certification si les exigences applicables à la
certification ne sont pas ou plus satisfaites;
i) imposer une amende administrative en application de l'article 83, en complément ou à
la place des mesures visées au présent paragraphe, en fonction des caractéristiques
propres à chaque cas;
j) ordonner la suspension des flux de données adressés à un destinataire situé dans un
pays tiers ou à une organisation internationale. »
35. L’article 83 du RGPD prévoit que chaque autorité de contrôle veille à ce que les amendes
administratives imposées soient, dans chaque cas, effectives, proportionnées et
dissuasives, avant de préciser les éléments qui doivent être pris en compte pour décider
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
10/13
s'il y a lieu d'imposer une amende administrative et pour décider du montant de cette
amende :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou
de la finalité du traitement concerné, ainsi que du nombre de personnes concernées
affectées et le niveau de dommage qu'elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le
dommage subi par les personnes concernées ;
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte
tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des
articles 25 et 32 ;
e) toute violation pertinente commise précédemment par le responsable du traitement ou
le sous-traitant ;
f) le degré de coopération établi avec l'autorité de contrôle en vue de remédier à la violation
et d'en atténuer les éventuels effets négatifs ;
g) les catégories de données à caractère personnel concernées par la violation ;
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si,
et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la
violation ;
i) lorsque des mesures visées à l'article 58, paragraphe 2, ont été précédemment
ordonnées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le
même objet, le respect de ces mesures ;
j) l'application de codes de conduite approuvés en application de l'article 40 ou de
mécanismes de certification approuvés en application de l'article 42 ; et
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de
l'espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou
indirectement, du fait de la violation ».
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
11/13
B. En l’espèce
1. Quant à l’imposition d’une amende administrative
36. Dans la communication des griefs du 15 mars 2021, le chef d’enquête propose à la
formation restreinte de prononcer à l’encontre du contrôlé une amende administrative
portant sur le montant de 80.000 euros « pour manquement aux obligations découlant du
RGPD en relation avec la désignation du Délégué à la Protection des Données ».
37. Le manquement à l’article 37.1 du RGPD n’étant pas constitué, il n’y pas lieu de prononcer
à l’encontre du contrôlé l’amende administrative proposée par le chef d’enquête.
2. Quant à la prise de mesures correctrices
38. Dans la communication des griefs du 15 mars 2021, le chef d’enquête propose à la
formation restreinte de prendre la mesure correctrice suivante, en précisant qu’elle devrait
être implémentée « dans un délai de 6 mois, sous peine d'astreinte à hauteur de 1.000,-
Euros par jour de retard » :
« Ordonner au responsable du traitement de désigner un Délégué à la Protection des Données
conformément à l'article 37, paragraphes (1) du RGPD. »
39. Le manquement à l’article 37.1 du RGPD n’étant pas constitué, il n’y pas lieu d’examiner
la mesure correctrice y afférente.
Compte tenu des développements qui précèdent, la Commission nationale siégeant
en formation restreinte et délibérant à l'unanimité des voix décide :
- de clôturer l’enquête ouverte par la délibération n°[…] du 14 septembre 2018 de la
Commission nationale pour la protection des données auprès de la Société A située […], L-
[…] et enregistrée au registre du commerce et des sociétés luxembourgeois sous le n°[…], en
l’absence de manquement retenu à son encontre.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
12/13
Ainsi décidé à Belvaux en date du 27 octobre 2021.
La Commission nationale pour la protection des données siégeant en formation restreinte
Tine A. Larsen Thierry Lallemang Marc Lemmer
Présidente Commissaire Commissaire
Indication des voies de recours
La présente décision administrative peut faire l'objet d'un recours en réformation dans les trois
mois qui suivent sa notification. Ce recours est à porter devant le tribunal administratif et doit
obligatoirement être introduit par le biais d’un avocat à la Cour d’un des Ordres des avocats.
________________________________________________________________________
Décision de la Commission nationale siégeant en formation restreinte sur l’issue de
l’enquête n°[…] menée auprès de la Société A
13/13