La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, M. Bertrand du MARAIS, membres ;

Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ;

Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment son article 22-1 ;

Vu le décret n° 2019-536 du 29 mai 2019 modifié pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ;

Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ;

Vu la délibération n° SAN-2023-018 du 12 décembre 2023 adoptée par la formation restreinte à l’encontre de la commune de x;

Vu la délibération n°SAN-2024-009 du 22 juillet 2024 adoptée par la formation restreinte à l’encontre de la commune de x;

Vu la désignation d’un délégué à la protection des données par la commune de x le 17 septembre 2024 ;

La formation restreinte a adopté la décision suivante :

I. FAITS ET PROCÉDURE

1. La commune de de x (ci-après " la commune "), est une collectivité territoriale de x habitants, [...]

2. Par courrier du 2 juin 2021, dans le cadre des missions définies à l’article 8 de la loi n°78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, la Présidente de la Commission nationale de l’informatique et des libertés (ci-après " la CNIL " ou " la Commission ") a alerté la commune de x sur l’absence de désignation d’un délégué à la protection des données (ou " DPD ") en son sein.

3. Le 25 avril 2022, la Présidente de la CNIL a mis en demeure la commune, sous un délai de quatre mois à compter de la notification de cette décision et sous réserve des mesures qu’elle aurait déjà pu adopter, de procéder à la désignation d’un DPD. Cette décision, rendue publique après délibération du bureau de la CNIL du 5 mai 2022, a été notifiée à la commune le 19 mai 2022.

4. La commune de x n’ayant pas procédé à la désignation d’un DPD, le président de la formation restreinte a prononcé le 8 février 2023, dans le cadre d’une procédure de sanction simplifiée, une amende à l’encontre de la commune d’un montant de cinq mille euros pour les manquements aux articles 31 et 37-1-a) du RGPD et une injonction de désigner un délégué à la protection des données dans un délai de trois mois suivant la notification de ladite décision, intervenue le 25 février 2023.

5. La commune de x n’ayant toujours pas procédé à la désignation d’un DPD, la formation restreinte a prononcé le 12 décembre 2023 à l’encontre de la commune, dans le cadre d’une procédure de sanction ordinaire, une amende administrative d’un montant de cinq mille euros au regard des manquements constitués aux articles 31 et 37 du RGPD, une injonction de désigner un délégué à la protection des données assortie d’une astreinte de cent cinquante euros par jour de retard à l’issue d’un délai de deux mois suivant la notification de la décision. La formation restreinte a rendu publique cette décision et a ordonné à la commune de publier sur son site officiel un message d’information quant à la décision rendue.

6. Par délibération du 22 juillet 2024, la commune de x n’ayant pas satisfait à l’injonction de désigner un délégué à la protection des données, la formation restreinte a procédé à la liquidation de l’astreinte prononcée à l’encontre de la commune pour un montant de six mille neuf cents euros au titre de la période du 19 février 2024 au 4 avril 2024 et en a prononcé la publicité.

7. Le 17 septembre 2024, la commune a procédé auprès des services de la CNIL à la désignation d’un délégué à la protection des données.

II. MOTIFS DE LA DECISION

A. Sur les motifs de la clôture

8. Il ressort des éléments déclarés par la commune le 17 septembre 2024 à la CNIL, que cette dernière a procédé à la désignation d’un délégué à la protection des données.

9. La formation restreinte considère dès lors que la commune a satisfait à l’injonction, de sorte qu’il n’y a pas lieu à une nouvelle liquidation d’astreinte.

10. Il convient en conséquence de clore la présente procédure.

B. Sur la publicité

11. Il convient de rendre publique la présente délibération afin d’informer des suites données au prononcé de l’injonction de la sanction n°SAN-2023-018 du 12 décembre 2023 et à la liquidation d’astreinte prononcée à l’encontre de la commune au titre de la période du 19 février 2024 au 4 avril 2024 par délibération n°SAN-2024-009 du 22 juillet 2024, elles-mêmes publiées.

PAR CES MOTIFS

La formation restreinte de la Commission nationale de l’informatique et des libertés, décide :

- qu'il n’y a pas lieu à une nouvelle liquidation d’astreinte à l’égard de la commune de x;

- de rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération, qui n’identifiera plus nommément la commune de x à l’expiration d’un délai d’un an à compter de sa publication.

Le président

Philippe-Pierre CABOURDIN

Cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’État dans un délai de trois mois à compter de sa notification.