Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re - 167

RESPECT DU RGPD PAR LA RH
pénal dans une section intitulée « Des atteintes aux
droits de la personne résultant des fichiers ou des traitements
informatiques ».
L'article 226-16 du Code pénal condamne, de 5 ans de
prison et 300 000 € d'amende, y compris du fait d'une
simple négligence, le fait de procéder ou faire procéder
à des traitements de données à caractère personnel
sans qu'aient été respectées les formalités préalables à
leur mise en œuvre9
.
L'article R. 625-10 du Code pénal prévoit une amende
de 1 500 € par infraction constatée en cas de noninformation
de la personne concernée relative à la collecte
de ses données personnelles.
L'article R. 625-12 du Code pénal prévoit une amende
de 1 500 € par infraction constatée en cas de nonsuite
donnée à une personne demande d'exercer son
droit de rectification ou d'effacement de ses données
personnelles.
380. Quelles sont les différentes procédures
possibles devant la CNIL ? - Depuis 2022, deux procédures
sont possibles devant la CNIL : celle dite ordinaire,
et celle dite simplifiée. Cette dernière a été mise
en place récemment (v. article 22-1 de la loi Informatique
et Libertés modifiée par la loi n° 2022-52 du 24 janvier
2022).
C. Deux procédures possibles
devant la CNIL
381. Procédure ordinaire. - Elle concerne les
dossiers considérés comme complexes ou d'une certaine
gravité. Les sanctions encourues sont le rappel à
l'ordre, l'obligation de se mettre en conformité assortie
d'une astreinte pouvant aller jusqu'à 100 000 € par
jour de retard, l'amende administrative, la limitation
9. L'article 84 du RGPD permet aux États membres d'adopter des sanctions
complémentaires à celles administratives en particulier pour les violations
ne faisant pas l'objet d'amendes administratives.
temporaire ou définitive du traitement, la suspension
des flux de données, ou encore l'ordre de satisfaire
aux demandes d'exercice des droits des personnes
(y compris sous astreinte). Les sanctions peuvent être
rendues publiques.
382. Procédure simplifiée. - Elle concerne les
dossiers considérés peu complexes10
ou de faible gravité.
Les sanctions encourues sont : le rappel à l'ordre,
l'obligation de se mettre en conformité assortie d'une
astreinte pouvant aller jusqu'à 100 € par jour de retard, et
enfin, l'amende administrative d'au maximum 20 000 €.
Les sanctions ne peuvent être rendues publiques.
D. Les différents acteurs responsables
de la collecte, de la détention
et de la gestion de données personnelles
se rapportant aux salariés
Si, de manière évidente, c'est l'entreprise qui est
responsable au premier chef de la collecte, de la
détention et de la gestion de données personnelles se
rapportant aux salariés, d'autres acteurs le sont aussi.
Il s'agit en particulier des responsables des traitements
et de leurs sous-traitants (1) mais aussi des partenaires
sociaux et des salariés eux-mêmes (2).
1. Les responsabilités respectives
des responsables des traitements
et de leurs sous-traitants
383. De quelles façons se conjuguent les responsabilités
respectives
des responsables de
traitement des données personnelles et de leurs
sous- traitants ? - Après une période longue, jusqu'en
2021, pendant laquelle les responsables des traitements
des données personnelles étaient non seulement
10. Du fait d'une jurisprudence établie par la formation restreinte, un nombre
important des plaintes reçues et traitées sous ce mode concerne la
question de l'utilisation de la vidéosurveillance dans le cadre du travail.
167
Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re

Table des matières de la publication Guides pro de l’entreprise - Ressources humaines et outils digitaux - 1re
