Chapitre 7 - Sanctions
Section 1 - Sanctions administratives
Art. 67
La mise en demeure, prévue par l’article 29 de la loi sur les données à caractère personnel, précise le ou les manquements constatés, fixe le délai au terme duquel le responsable du traitement est tenu d’avoir fait cesser le ou les manquements constatés.
Si le responsable du traitement a son domicile dans un pays tiers, la Commission en tiendra compte et devra saisir les autorités administratives compétentes.
Ce délai court à compter du jour de la réception, par lettre recommandée, par le responsable du traitement, de la mise en demeure.
Section 2 - Sanctions pécuniaires
Art. 68
La Commission des données personnelles peut prononcer, à l’égard de tout responsable d’un traitement n’ayant pas respecté ses obligations, une sanction pécuniaire, dans les conditions prévues par l’article 30 de la loi sur les données à caractère personnel, à l’exception des cas où le traitement est mis en œuvre par l’Etat, par une personne morale de droit privé gérant un service public.
Art. 69
La sanction pécuniaire prononcée par la Commission des données personnelles au titre de l’article 68 du présent décret est motivée et notifiée au responsable du traitement.
Art. 70
Lorsque la Commission des données personnelles prononce une sanction pécuniaire devenue définitive avant que le juge pénal statue définitivement sur les mêmes faits, celui-ci peut ordonner que la sanction pécuniaire prononcée s’ajoute ou s’impute sur l’amende qu’il prononce.
Section 3 - Dispositions communes relatives aux sanctions
Art. 71
Lorsque la Commission des données personnelles constate que la mise en œuvre d’un traitement de données à caractère personnel, entraîne une violation des droits et libertés fondamentaux mentionnés à l’article 1er de la loi sur les données à caractère personnel, son Président peut interpeller, par tout moyen, le responsable dudit traitement.
Art. 72
Lorsqu’un traitement est effectué pour le compte de l’Etat, d’une personne morale de droit public ou d’une personne morale de droit privé gérant un service public, le Président de la Commission des données personnelles informe, dans les meilleurs délais, le Premier Ministre de la violation constatée.
Art. 73
La Commission des données personnelles peut demander aux juridictions compétentes d’ordonner toute mesure de sécurité nécessaire.
En cas d’urgence, conformément à l’article 31 de la loi sur les données à caractère personnel, le Président de la Commission des données personnelles peut demander, par la voie du référé, à la juridiction compétente d’ordonner, le cas échéant sous astreinte, toute mesure de sécurité nécessaire à la sauvegarde des droits et libertés protégés.
Art. 74
En cas de risque de sanctions autre que l’avertissement, le responsable du traitement est informé de la date de la séance de la Commission des données personnelles à l’ordre du jour de laquelle est inscrite l’affaire le concernant et de la faculté qui lui est offerte d’y être entendu, lui-même ou son représentant.
La convocation du responsable du traitement, effectuée selon les modalités de l’article 28 du présent décret, doit lui parvenir au moins quinze jours avant la date mentionnée à l’alinéa précédent.
En cas d’urgence, la convocation du responsable du traitement doit lui être parvenue au plus tard huit jours avant la date de son audition devant la Commission des données personnelles.
Art. 75
Toute décision de sanction prononcée par la Commission des données personnelles énonce les considérations de droit, de fait sur lesquels elle est fondée ainsi que les voies et délais de recours.
La publication au Journal officiel de la décision de sanction intervient dans le délai d’un mois à compter du jour où la sanction est devenue définitive.
