Les sanctions de la CNIL - Au 1er semestre 2024

Cet article est de niveau ♨️♨️ Intermédiaire : les bases des règles de protection des données personnelles ne sont pas expliquées, de même que la procédure. Certains contenus (liste des sanctions et chiffres, notamment) restent toutefois accessibles sans prérequis.

Guide de lecture

Ce blog a été créé avec l’ambition de pouvoir exprimer le point de vue de sa créatrice et des auteurs-contributeurs sur les enjeux, les connaissances-clés et l’actualité concernant la sécurité de l’information et la protection des données personnelles. Les thématiques des publications sont bien sûr choisies en

Mamori DataJoëlie

🟣 Je ne sais pas vous, mais de mon côté, vu la vitesse à laquelle tout se déroule en ce moment, j’ai du mal à croire que l’on soit déjà à moins de six mois du prochain Privacy Day ! (Oui, bon, chacun ses références… ) Heureusement, l’été s’installe enfin (si, si, c’est léger mais ça arrive), les premiers départs en vacances commencent à vider les bureaux, et on s’accorde quelques minutes pour souffler un peu après la frénésie du mois de juin.

Ça tombe bien, on a tout juste le temps de faire un petit point d’étape sur l’actualité cyber et RGPD de la première moitié de l’année. Je profite du lancement de ma nouvelle série d’articles de blog « En bref » pour passer en revue avec vous plusieurs volets de l’actualité de ce début d’année, et on commence avec l’action répressive de la CNIL.

Vous noterez l’absence de la sanction toute récente de Vinted. D’une part, car c’est l’autorité Lituanienne qui a sanctionné, et non la CNIL ; d’autre part, car la sanction date de juillet, elle est donc hors délai.

Vous voulez savoir à quelle sauce on se fait manger cette année (surtout quand on est une petite structure) et vous informer sur les tendances des sanctions, mais n’avez pas plus de 5min à y consacrer et voulez aller à l’essentiel… cet article est fait pour vous ! Les sanctions de la CNIL au premier semestre 2024 en moins de 1 000 mots… c’est parti !

… Alors, côté CNIL, quoi de neuf ? De nouvelles jurisprudences à se mettre sous la dent pour consolider notre arsenal de mise en conformité au RGPD ? Et bien, peu de décisions publiques pour l’instant (trois en tout), mais une tendance se dégage : celle du recours croissant à la procédure simplifiée ! Allez, je vous débriefe tout ça…

Les sanctions rendues en procédure ordinaire

🟣 L’activité répressive « classique » de la CNIL (c’est-à-dire en suivant la procédure ordinaire et en rendant des sanctions publiques) suit son rythme habituel, avec peu de sanctions publiées au premier semestre 2024.

Pour comparer un peu ces chiffres avec les années précédentes à la même période, on peut dire que 2024 est dans la moyenne haute en nombre de sanctions. En montant cumulé d’amendes, par contre, on a quand-même vu quelques grosses sanctions à la même période dans les années précédentes (notamment les 50 millions de Google en 2019 et les 40 millions de Criteo l’année dernière), donc on reste en-dessous pour le premier semestre 2024.

Les trois sociétés sanctionnées ont été De Particulier à Particulier, Foriou et Hubside.Store. Je vous résume chaque sanction ci-dessous.

L’usage de la procédure simplifiée

🟣 Si vous avez besoin d’un rappel express sur la procédure simplifiée : mise en place en 2022, elle permet à la CNIL de sanctionner des cas simples et à faibles enjeux de façon plus expéditive, avec une procédure écrite et en plafonnant les amendes prononcées à 20 000 €.

On commence ici aussi par quelques chiffres sur le premier semestre 2024.

La comparaison avec l’année dernière ne se fait pas dans la dentelle, puisque sur la totalité de 2023, 24 sanctions avaient été rendues en application de cette procédure, contre le même nombre sur la première moitié 2024. Si l’on n’est pas à l’abri d’un ralentissement pendant le deuxième semestre, l’évolution reste impressionnante ! On peut faire quasiment le même constat pour le montant d’amendes cumulées, pour lequel l’année dernière avait totalisé 222 300 € pour l’application de cette procédure simplifiée.

Dans la liste des manquements sanctionnés, on trouve :

• Des (malheureusement) classiques : défaut de sécurité, non-respect des droits des personnes, manquement à l’information, à la minimisation et concernant les cookies.
• Des manquements que l’on voit de plus en plus souvent : traitements illicites, manque d’encadrement des sous-traitants, non-respect des obligations liés au DPO.
• Un manquement plus rarement constaté ces derniers temps, mais pas nouveau : défaut de coopération avec la CNIL.

La liste comportant les secteurs d’activité des entités sanctionnées n’est pas encore disponible pour 2024, mais si l’on reste dans la tendance précédente, il s’agira surtout de petits commerces, de prestation intellectuelle (dans l’informatique, la communication, mais aussi la médecine ou le droit par exemple), de communes et associations…

En termes d’approche par les risques, cette procédure simplifiée rend le sujet beaucoup plus concret pour les TPE et PME. Elle augmente déjà significativement les probablitiés d’être visé par une sanction si des non-conformités sont constatées lors d’un contrôle... Mais en plus, on voit que son utilisation est de plus en plus fréquente.

🟣 Et voilà, l’action répressive de la CNIL ces six derniers mois, en moins de 1 000 mots !Bon, j’ai dû survoler plein de choses hyper intéressantes, mais je pense que j’ai couvert ce que je voulais. Merci de m’avoir lue en tout cas, et j’espère que ça vous aura éclairé(e) sur la situation actuelle au niveau des risques juridiques liés à la protection des données personnelles !

Si vous avez aimé cet article, et le concept de la série « En bref » de Mamori Data, suivez-moi sur LinkedIn pour être au courant dès que d’autres sortiront !

🎉 PS et btw, on a aussi fêté les 6 mois de Mamori Data en juin !

🎊 J’en profite pour remercier mes premiers clients (si vous passez par là) : merci d’avoir fait le choix de me faire confiance dès le départ, c’est littéralement grâce à vous que Mamori est une entreprise et pas juste une idée dans un coin !

Et un grand merci à toutes les personnes qui m’aident professionnellement et me soutiennent amicalement depuis le début de cette aventure : je peux m'épanouir dans cette nouvelle entreprise et contribuer à rendre le (cyber) monde meilleur grâce à vous !