Mise en demeure : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
La mise en demeure est une décision de la présidente ou du président de la CNIL qui ordonne à un organisme de se mettre en conformité avec le RGPD dans un délai fixé. Ce n'est pas une sanction, mais son non-respect peut conduire à une sanction.
Ce qu'il faut comprendre
La mise en demeure intervient généralement après un contrôle ou une plainte, lorsque des manquements ont été constatés. Elle détaille les points à corriger et fixe un délai pour le faire et pour en justifier. Elle peut être rendue publique, notamment quand elle vise un secteur ou une pratique répandue.
Si l'organisme se conforme dans le délai, la procédure est clôturée. S'il ne répond pas ou corrige insuffisamment, la CNIL peut saisir sa formation restreinte, qui peut prononcer une amende, une injonction sous astreinte ou une limitation du traitement. La mise en demeure ne s'impose pas toujours : la CNIL peut engager directement une procédure de sanction.
Elle se distingue du rappel à l'ordre, qui est une sanction prononcée par la formation restreinte, et de la « mise en demeure » adressée par un particulier ou un avocat, qui n'a pas la même portée. L'erreur fréquente est d'y répondre tardivement ou partiellement. Il faut fournir des preuves concrètes des corrections.
Exemple concret
À la suite d'une plainte, la CNIL met en demeure une commune dont le site recueille l'adresse électronique des usagers pour les inscriptions périscolaires sans les informer. La commune a quelques mois pour publier des mentions d'information, fixer une durée de conservation et l'inscrire au registre. Elle transmet les captures d'écran et le registre mis à jour : la procédure est close.
Textes de référence
- RGPD, art. 58, 2, d)
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
