Sanction de la CNIL : pas d’obligation de mise en demeure préalable confirmée par le Conseil d’Etat
Dans un arrêt du 17 avril 2019, l’autorité administrative suprême a refusé d’infirmer les sanctions prises par la CNIL contre la société OPTICAL CENTER, au motif que ces dernières n’auraient pas été précédées d’une mise en demeure permettant à la société de corriger les problèmes.
En 2017, une enquête de la CNIL initiée suite à plusieurs plaintes concernant OPTICAL CENTER a mis à jour le fait que la simple entrée d’URL dans un navigateur permettait l’accès à de nombreuses factures et bons de commande des clients de la société faute de restriction de l’accès aux données par la connexion à un espace personnel.
La CNIL a pris la décision de sanctionner d’une amende de 250.000 euros cette grave faille de sécurité, qui méconnaissait l’article 34 de la Loi Informatique et Libertés, sans mise en demeure permettant à la société de corriger les errements et alors que cette société avait déjà pris les mesures nécessaires à la correction du problème.
Cette décision a été portée devant le Conseil d’Etat qui, dans son arrêt du 17 avril 2019, a confirmé la décision et rappelé que la mise en demeure n’est pas une étape obligatoire préalable à la sanction et que l’article 45 de la loi du 6 janvier 1978 dispose que « Lorsque le manquement constaté ne peut faire l’objet d’une mise en conformité dans le cadre d’une mise en demeure, la formation restreinte peut prononcer, sans mise en demeure préalable et après une procédure contradictoire, les sanctions prévues ».
Le Conseil en déduit la possibilité pour la CNIL d’outrepasser l’étape de la mise en demeure lorsque cette dernière est clairement inutile ; soit que le manquement incriminé ne puisse être corrigé, soit, comme c’était le cas en l’espèce, qu’il y ait déjà été remédié.
Le Conseil d’État réduit toutefois la sanction d’OPTICAL CENTER, en jugeant que la CNIL, ne tenant pas compte de la promptitude de la société à réagir à ses demandes, a prononcé une sanction disproportionnée ; cette dernière sera donc ramenée à 200.000 euros.
