Les sanctions de la CNIL ne doivent pas être excessives.
La Commission Nationale de l'Informatique et des Libertés ("CNIL") dispose d'un pouvoir de sanction qui sera d'ailleurs bientôt renforcé, après l'intégration en droit interne du nouveau règlement européen sur la protection des données personnelles.
La CNIL en fait largement usage : les contrôles, les mises en demeure, ainsi que les sanctions financières se multiplient. Mais cela ne doit pas relever d'un arbitraire : les pouvoirs de la CNIL sont contrôlés par le juge administratif, comme en témoigne un arrêt du Conseil d'Etat du 28 septembre 2016.
Les faits de l’espèce étaient les suivants : le directeur d’un théâtre national rennais avait envoyé un e-mail aux abonnés de la newsletter de ce théâtre, non pour les tenir informés de l’actualité culturelle du lieu mais pour valoriser le bilan de la politique culturelle du maire de la ville. Certains destinataires de l’e-mail s’en étaient plaints et le théâtre avait reçu une sanction de la CNIL par une délibération du 12 février 2015, en raison du détournement de la finalité du traitement de données. Un traitement déclaré à des fins de prospection commerciale ne peut pas, en effet, être utilisé à des fins politiques.
Cette sanction, assortie d'une mesure de publication non anonyme sur le site de la CNIL et le site Legifrance, a été contestée par le théâtre devant la juridiction administrative. Sur le fond, la mesure a été confirmée par le Conseil d’Etat, de même que la sanction accessoire consistant à publier la décision sur internet.
En revanche, le Conseil d’Etat a reproché à la CNIL de n’avoir pas fixé de limite temporelle à cette publication. En cela, selon le juge administratif, la CNIL a manqué au principe de proportionnalité.
Ce principe de proportionnalité est énoncé par l’article 8 de la Déclaration des droits de l’homme et du citoyen de 1789, selon lequel « la loi ne doit établir que des peines strictement et évidemment nécessaires ». Ce principe s’applique également aux décisions de la CNIL : selon l’arrêt, « lorsque la CNIL prononce une sanction complémentaire de publication de sa décision de sanction, celle-là se trouve nécessairement soumise, et alors même que la loi ne le prévoirait pas expressément, au respect du principe de proportionnalité ». Le juge contrôle donc que les peines prononcées (quelle qu’en soit la nature, pénale ou administrative) soient équilibrées au regard de la faute.
C’est précisément ce qui a été reproché à la CNIL dans l’arrêt du 28 septembre 2016 : en ne fixant pas de limite temporelle à la publication de la sanction, laquelle n'était pas anonyme mais laissait apparaître le nom du théâtre, la CNIL a prononcé une sanction « excessive ». Le juge a ainsi ordonné à la CNIL de fixer une durée de publication de la condamnation. L'Etat a également été condamné à payer 2.000 euros de frais de procédure au profit du théâtre.