APRÈS ART. 23	N°CS1456	
ASSEMBLÉE NATIONALE
23 Mars 2025
___________________________________________________________________
DE SIMPLIFICATION DE LA VIE ÉCONOMIQUE - (N° 481)
Adopté
AMENDEMENT N°CS1456
présenté par
M. Travert, rapporteur
------------
ARTICLE ADDITIONNEL
APRÈS L’ARTICLE 23, insérer l’article suivant:
Le deuxième alinéa del’article 22‑1 de la loi n° 78‑17 du 6 janvier 1978relative à l’informatique, aux fichiers et aux libertés estcomplété par une phrase ainsi rédigée : « Lorsque lechiffre d’affaires annuel mondial du responsable de traitementdépasse la somme de 50 millions d’euros, ces montants sont portés à100 000 € d’amende et 500 € d’astreintejournalière. »
EXPOSÉ SOMMAIRE
La procédure de sanction simplifiéede la Commission nationale de l’informatique et des libertés(CNIL), créée par la loi n° 2022‑52 du 24 janvier 2022, avaitpour objectif de simplifier la procédure de sanction ordinaire eninstaurant une procédure pour traiter les dossiers peu complexes demanière plus rapide et souple, et permettre ainsi à la CNIL demieux agir face aux plaintes de plus en plus nombreuses reçuesdepuis l’entrée en application du RGPD.
Les dossiers étudiés par la CNILsont très variables en termes de gravité, de questions juridiqueset technologiques soulevées, ou encore de conséquences pour lespersonnes. Il était donc important d’avoir une politique répressivedifférenciée, pour pouvoir traiter les différents dossiers de lamanière la plus adaptée au regard de leur nature. Grâce à cettenouvelle procédure, le président de la CNIL peut orienter lesdossiers peu complexes ou de faible gravité vers une procédure desanction simplifiée qui, si elle suit les mêmes étapes que laprocédure de sanction ordinaire pour les délais et la procédurecontradictoire notamment, présente des modalités de mise en œuvreallégées : le président de la formation restreinte (ou unmembre qu’il désigne) statue seul et aucune séance publique n’estorganisée, sauf si l’organisme demande à être entendu, et lerapporteur est un agent de la CNIL.
Les sanctions susceptibles d’êtreprononcées dans ce cadre sont limitées au rappel à l’ordre, à uneamende d’un montant maximum de 20 000 € et à une injonctionavec astreinte plafonnée à 100 € par jour de retard. Cessanctions ne peuvent pas être rendues publiques.
Depuis sa mise en place, laprocédure de sanction simplifiée montre son utilité et connaît unemontée en puissance notable. Entre 2022 et 2023, 28 décisions desanction simplifiée ont été prononcées, avec environ 70 décisionsattendues en 2024 et une cible à 80 décisions en 2025. Ce nombre dedécisions de sanction reste faible par rapport au nombre deplaintes reçues par la CNIL, s’élevant à 16 000 en 2023 :la plupart des dossiers sont clôturés après rejet ou résolution duproblème.
 
La CNIL souhaiterait pouvoirajuster cette procédure de sanction simplifiée à l’égard decertains acteurs qui peuvent être concernés par une telle procéduremais dont la taille (entreprises dont le chiffre d’affaires annueldépasse la somme de 50 millions d’euros) rend non proportionné, auregard de leur chiffre d’affaires très important, le prononcé d’uneamende maximale de 20 000 euros. En effet, certainsdossiers, bien que présentant des questions juridiques simples, nesont pas orientés aujourd’hui vers cette procédure au regard de lasanction maximale pouvant être prononcée d’un montant de 20000 euros, qui n’apparait pas adaptée et significative auregard, par exemple, de l’organisme concerné. Ces dossiers sontdonc orientés vers la procédure de sanction ordinaire, dont lesdélais de mise en œuvre sont beaucoup plus longs, avec une décisionprise en formation collégiale, le plus souvent publique, et leprononcé d’une amende d’un montant maximal de 2 % ou 4 %du chiffre d’affaires annuel mondial.
Or, pour ces cas non complexes etde gravité limitée, la procédure de sanction simplifiée apparaîttout à fait justifiée, mais avec un montant d’amende qui doit êtreadapté et proportionné, et qui ne peut être atteint avec le seuilmaximal de 20 000 euros, qui pourrait être utilementporté pour ces organismes plus importants à 100 000 euroslorsque leur chiffre d’affaires annuel mondial dépasse les 50millions d’euros, ce qui est le seuil de chiffre d’affaires qui estutilisé pour définir les PME.
Cet ajustement ne concernerait doncque les plus gros organismes afin que les amendes prononcées soienteffectives, dissuasives et proportionnées. En revanche, pour lespetits acteurs le montant d’une amende à 20 000 eurosmaximum serait maintenu. Par cohérence, il est aussi proposéd’augmenter le montant de l’astreinte maximale, dans les mêmesproportions.