Quels contrôles la CNPD peut-elle exercer sur les canaux de signalement ?
Réponse courte
La Commission nationale pour la protection des données intervient sur le canal de signalement à deux titres distincts, que l'on confond souvent. Comme autorité de contrôle des données personnelles, elle vérifie le traitement mis en œuvre, l'article 23 de la loi du 16 mai 2023 renvoyant expressément au RGPD et à la loi du 1er août 2018.
Mais elle figure aussi, au point 6° de l'article 18 (1), parmi les 23 autorités compétentes habilitées à recevoir les signalements externes dans leur domaine. À ce titre, elle vérifie auprès des entités relevant de son champ l'établissement effectif des canaux internes et peut leur demander toutes les informations nécessaires.
Ce second titre emporte un pouvoir de sanction propre. La CNPD relève des autorités énumérées à l'article 18 (3), qui prononcent elles-mêmes l'amende administrative de 1 500 à 250 000 euros, sans passer par l'Office des signalements — montant dont le maximum peut être doublé en cas de récidive dans les cinq ans.
Définition
La CNPD est l'autorité nationale de contrôle en matière de protection des données à caractère personnel. La loi du 16 mai 2023 lui ajoute une seconde casquette en l'inscrivant dans la liste limitative des autorités compétentes de l'article 18 (1), aux côtés de la CSSF, de l'ITM ou de l'Administration des contributions directes.
Ces deux qualités reposent sur des fondements séparés : l'une découle du renvoi de l'article 23 au droit des données, l'autre de la désignation nominative opérée par l'article 18. Les pouvoirs, les manquements visés et les voies de recours diffèrent selon le titre invoqué.
Conditions d’exercice
Le déclenchement du contrôle ne suit pas la même logique selon la casquette : la vérification des canaux internes est une mission permanente confiée aux autorités compétentes par l'article 6 (7).
| Élément | Détail |
|---|---|
| Titre de contrôle des données | Tout traitement effectué en vertu de la loi obéit au RGPD et à la loi du 1er août 2018 (art. 23 (1)) |
| Titre d'autorité compétente | La CNPD figure au point 6° de la liste des 23 autorités habilitées à recevoir les signalements externes (art. 18 (1)) |
| Vérification des canaux | Les autorités compétentes vérifient auprès des entités privées de leur champ l'établissement des canaux internes (art. 6 (7)) |
| Demande de renseignements | Communication écrite de tous les renseignements jugés nécessaires, en veillant à la confidentialité de l'identité de l'auteur (art. 18 (2)) |
| Langues de saisine | Les trois langues administratives ou toute autre langue admise par l'autorité (art. 18 (1)) |
Modalités pratiques
Les cinq manquements sanctionnés par l'amende administrative ne relèvent pas du droit des données mais de la loi sur les lanceurs d'alerte, ce qui rend la double qualification de la CNPD particulièrement concrète.
| Aspect | Détail |
|---|---|
| Manquements sanctionnés | Entrave ou tentative d'entrave à un signalement ; refus de renseignements ou renseignements faux ou incomplets ; atteinte à la confidentialité ; refus de remédier à la violation constatée ; absence de canaux et procédures conformes (art. 18 (3)) |
| Montant | De 1 500 à 250 000 euros, maximum doublé en cas de récidive dans les 5 ans à partir de la dernière sanction devenue définitive (art. 18 (5)) |
| Autorité qui prononce | La CNPD elle-même, son point 6° figurant dans la liste de l'art. 18 (3) — sans intervention de l'Office des signalements |
| Recours | Recours en réformation devant le tribunal administratif dans le mois de la notification (art. 18 (7)) |
| Données non pertinentes | Non collectées ou effacées sans retard injustifié si elles l'ont été accidentellement (art. 23 (2)) |
Pratiques et recommandations
L'entreprise qui prépare un contrôle de la CNPD assemble en général un dossier de conformité RGPD : registre, analyse d'impact, mesures de sécurité. Ce dossier ne répond à aucune des cinq questions de l'article 18 (3), qui portent sur l'existence du canal, la conformité de la procédure, la confidentialité effective et les suites données aux signalements.
Le refus de fournir les renseignements demandés au titre de l'article 18 (2), ou leur caractère incomplet, constitue par lui-même un manquement sanctionnable. Répondre partiellement à une demande écrite pour gagner du temps expose donc au même risque financier que le manquement de fond que l'on cherchait à masquer.
L'Office des signalements ne joue aucun rôle ici : la sanction par substitution ne vise que les onze autorités de l'article 18 (4), dont l'ITM mais non la CNPD. Le contester devant l'Office revient à saisir une instance sans compétence, pendant que court le délai d'un mois du recours en réformation.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 6 (7) de la loi du 16 mai 2023 | Vérification par les autorités compétentes de l'établissement des canaux de signalement interne |
| Art. 18 (1), point 6° de la loi du 16 mai 2023 | Inscription de la CNPD parmi les 23 autorités compétentes |
| Art. 18 (2) de la loi du 16 mai 2023 | Demande écrite de renseignements à l'entité visée par le signalement |
| Art. 18 (3) de la loi du 16 mai 2023 | Cinq manquements passibles de l'amende administrative, prononcée par la CNPD elle-même |
| Art. 18 (4) de la loi du 16 mai 2023 | Sanction par substitution de l'Office pour les onze autorités dépourvues de pouvoir propre |
| Art. 18 (5) et (7) de la loi du 16 mai 2023 | Amende de 1 500 à 250 000 euros, doublée en récidive ; recours en réformation devant le tribunal administratif dans un mois |
| Art. 23 (1) et (2) de la loi du 16 mai 2023 | Renvoi au RGPD et à la loi du 1er août 2018 ; effacement des données non pertinentes |
Note
La CNPD contrôle le canal de signalement à la fois comme autorité de protection des données et comme autorité compétente au sens de l'article 18. Un dossier de conformité limité au RGPD laisse donc sans réponse les manquements spécifiques que la loi de 2023 lui donne le pouvoir de sanctionner.