Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re - 166

6
d'un sous-traitant de données à caractère personnel (avant cette date, seul le Responsable du traitement pouvait
être condamné). Il est condamné à verser 75 000 € (le Responsable du traitement est lui condamné à verser
150 000 €). Le sous-traitant est condamné pour ne pas avoir recherché « les solutions techniques et organisationnelles
les plus appropriées pour assurer la sécurité des données personnelles ».
- Cass. crim., 22 oct. 2014, n° 13-82630. La Cour de cassation confirme la condamnation d'un salarié pour abus
de confiance (v. article 314-1 du Code pénal faisant encourir une sanction de 5 ans de prison et une amende de
375 000 €). Le salarié, chargé de clientèle, avait dupliqué, avant de démissionner plus de 300 fichiers informatiques
à usage interne de son employeur et ce, pour en faire un usage personnel.
373. Quelles sont les sanctions encourues en cas
de non-respect du RGPD par les différents acteurs
collectant et gérant de données personnelles se
rapportant aux salariés ? - Les sanctions encourues
peuvent être présentées comme ci-après. Il est à noter
que la CNIL est en France l'autorité nationale en charge
de veiller au respect des RGPD et est en droit d'en
sanctionner du point de vue civil et financier les violations
constatées.
B. Les sanctions encourues en cas
de non-respect du RGPD ou de la loi
Informatique et libertés
374. Sanctions que peut prononcer la CNIL suite
à une plainte, un signalement ou un contrôle. - Le
rapport annuel de la CNIL publié le 19 mai 2024 pour
ses activités 2023 fait état de 5 640 plaintes reçues.
375. Sanctions administratives financières ou
amendes administratives. - L'article 83 du RGPD
confère aux autorités nationales (en France, la CNIL) le
droit de prononcer des amendes administratives.
376. Procédure ordinaire. - 20 millions d'euros ou
4 % du CA annuel mondial si la violation concerne les
droits des personnes (non-respect du consentement ou
en cas de transfert non autorisé de données personnelles
en dehors de l'Union Européenne)5
. 10 millions d'euros
5. En cas de violation des articles 8, 11, 25 à 39, 41 § 3, 41 et 43 du RGPD.
166
ou 2 % du CA annuel mondial si la violation concerne
une violation par l'entreprise des conditions imposées
concernant le recueil du consentement des enfants ou si
elles ne respectent pas le principe du privacy by design
ou du privacy by default6
.
377. Autres sanctions et peines alternatives. - Il
existe différentes mesures correctrices possibles (en
complément ou à la place des sanctions administratives
financières)7
:
* avertissement ou mise en demeure de l'entreprise avec
rappel du devoir de mise en conformité des traitements
de données sensibles ;
* injonction de cesser la violation (et à défaut, sanctions
administratives) ;
* limitation ou suspension temporaire des traitements
de données.
378. Sanctions civiles. - « Toute personne ayant
subi un dommage matériel ou moral du fait d'une
violation du présent règlement a le droit d'obtenir du
responsable du traitement ou du sous-traitant réparation
du préjudice subi »8
.
379. Sanctions pénales. - Des dispositions pénales
ont été codifiées aux articles 226-16 à 226-24 du Code
6. En cas de violation des articles 5, 6, 7, 9, 12 à 22, 44 à 49, 58 § 1 et
2 du RGPD.
7. V. à ce sujet l'article 58 du RGPD.
8. V. à ce sujet l'article 82 du RGPD.
Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re

Table des matières de la publication Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re
