Actu
Non-désignation d’un délégué à la protection des données : clôture de la procédure à l’encontre de la commune de KOUROU
novembre 2024 par CNIL
Le 7 novembre 2024, la CNIL a clos la procédure d’injonction prononcée à l’encontre de la commune de KOUROU. Cette dernière s’est en effet conformée à son obligation de désigner un délégué à la protection des données après avoir payé deux amendes.
Le contexte
La commune de KOUROU, comme toute autorité publique, a pour obligation de désigner un délégué à la protection des données (article 37 du RGPD). La CNIL lui avait rappelé cette obligation à plusieurs reprises, successivement par une mise en demeure puis par une décision de sanction simplifiée.
En raison de la persistance des manquements (absence de désignation de DPO et défaut de réponse à la CNIL), une procédure de sanction ordinaire avait été engagée.
Ainsi, dans une décision du 12 décembre 2023, la formation restreinte – organe de la CNIL chargé des sanctions – avait prononcé une amende de 5 000 euros et enjoint à la commune de désigner un délégué à la protection des données.
La formation restreinte avait assorti l’injonction d’une astreinte, c’est-à-dire une somme d’argent à payer en cas de non-respect d’une décision, de 150 euros par jour de retard à l’issue d’un délai de deux mois.
Le 22 juillet 2024, constatant que la commune de KOUROU n’avait toujours pas désigné un délégué à la protection des données, la formation restreinte avait alors procédé à la liquidation de l’astreinte (c’est-à-dire l’amende pour les jours de retard) pour un montant de 6 900 euros, correspondant à la période du 19 février 2024 au 4 avril 2024. Elle avait rendu cette décision publique, sans que cela mette fin à l’injonction.
La clôture de la procédure
Après la décision de liquidation d’astreinte du 22 juillet 2024, la commune de KOUROU a désigné un délégué à la protection des données et s’est ainsi mise en conformité. La formation restreinte a donc décidé de clore la procédure le 7 novembre 2024.
Cette décision vient donc clore la procédure ouverte à l’encontre de la commune de KOUROU.
La décision
Pour approfondir
Les procédures de sanction
Le délégué à la protection des données (DPO)
Désigner un délégué à la protection des données dans une collectivité
La CNIL met en demeure vingt-deux communes de désigner un délégué à la protection des données
Désignation d’un délégué à la protection des données : bilan des mises en demeure prononcées à l’encontre de 22 communes
Non-désignation d’un délégué à la protection des données : la CNIL sanctionne la commune de Kourou
Non-désignation d’un délégué à la protection des données : la commune de KOUROU devra encore payer 6 900 euros
Textes de référence
Article 31 du RGPD (coopération avec l’autorité de protection des données)
Articles 37 à 39 du RGPD (désignation d’un DPO)
Article 44 du décret d’application de la loi Informatique et Libertés (Procédure de liquidation d’astreinte) – Légifrance
Documents de référence
Délibération de la formation restreinte no SAN-2023-018 du 12 décembre 2023 concernant la commune de KOUROU - Légifrance
Délibération SAN-2024-009 du 22 juillet 2024 - Légifrance
