C’est une première : la Commission nationale pour la protection des données (CNPD) vient de publier 18 de ses décisions prises suite à ses enquêtes. Elle n’a cependant presque pas fait de mal aux contrevenants.
Ce sont les confrères de Paperjam qui ont découvert cette nouveauté en premier : une nouvelle page sur le site de la CNPD où celle-ci annonce ses « premières décisions sur l’issue d’enquêtes ». Un peu plus tard, la commission a elle-même envoyé un communiqué de presse à travers l’extranet du gouvernement (ce qui est un peu bizarre pour une autorité indépendante), faisant la même annonce.
Est-ce pour corriger son image de tigre de papier, doublée de la réputation d’incompétence notoire dont souffre la commission, pas uniquement depuis qu’elle est attaquée par l’ONG autrichienne noyb, qu’elle s’est mise en avant de cette façon ? C’est possible, même si pour ces 18 premières décisions prises depuis la mise en place du fameux RGPD, qu’elle est censée protéger comme le Saint Graal, elle ne s’est tout de même pas trop avancée.
D’abord, tous les contrevenants analysés profitent de l’anonymat, et puis décision prise ne veut pas dire automatiquement sanction. En effet, sur les 18 enquêtes ouvertes par la commission, seuls six cas ont donné lieu à des amendes, d’un montant de 1.000 euros pour quatre cas où il y a eu des problèmes avec une installation de vidéosurveillance. Pour les deux autres, un cas manque à l’appel sur le site (comme l’a noté Paperjam) et l’autre a donné lieu à une amende de 18.000 euros pour une défaillance majeure concernant la mise en place d’un-e délégué-e à la protection des données dans l’entreprise – une obligation prévue par le RGPD.
Même si l’entreprise est anonyme, elle ne devrait pas pâtir de cette amende, contre laquelle elle peut toujours se pourvoir en appel. En effet, en lisant la délibération, on pourrait en conclure qu’il s’agit d’une multinationale : « le risque que le DPD (délégué à la protection des données, ndlr) n’ait pas suffisamment de ressources au niveau local à Luxembourg, les ressources étant concentrées au niveau du groupe, mais ne semblant pas suffisamment déployées au niveau local », note la CNPD, qui ajoute aussi que le DPD ne disposait que « d’un point de contact local qui était par ailleurs l’unique juriste du contrôlé ».
La CNPD a donc mis trois ans à prendre des décisions basées sur le RGPD, sans même nommer les organisations qu’elle a contrôlées. Certes, c’est un petit pas en avant, mais il reste encore du chemin à parcourir.