Une palette de sanctions

La première sanction est l’avertissement avec ou sans publicité. La sanction peut paraître théorique ou sans ampleur. C’est une erreur, car la Cnil n’hésite pas à accompagner l’avertissement non seulement d’une publication sur son site et sur le site legifrance.gouv.fr, le portail service public de la diffusion du droit, mais aussi elle agit par voies de communiqués de presse, d’interviews de son Président se répandant sur le cas sanctionné et l’entreprise concernée. La presse et les sites d’information, les forums publics, Twitter, reprennent généralement ensuite largement les actions de la Cnil. Le buzz qui en découle est souvent dévastateur en terme de chiffre d’affaires pour les entreprises concernées, surtout lorsqu’elles évoluent en BtoC. Le président de la Cnil l’a reconnu : “cet avertissement rendu public est pour nous la manière plus forte de poser le problème” . Ensuite, la Cnil peut prononcer des sanctions pécuniaires pouvant aller jusqu’à 5% du chiffre d’affaires de l’entreprise avec un maximum de 300 000 euros. Enfin, en cas d’urgence “lorsque la mise en oeuvre d’un traitement ou l’exploitation des données traitées entraîne une violation des droits et libertés”, elle peut décider l’interruption du traitement en cause pour une durée maximale de trois mois. C’est la mesure qu’elle a prise le 22 Avril dernier en suspendant un système de vidéosurveillance mis en place au sein d’une entreprise pour lutter contre les “actes de dégradation et de vols commis sur ce site”. Le dispositif avait été installé par la société sans qu’aient été accomplies les formalités préalables auprès de la CNIL .