La CNIL est libre de prononcer directement une sanction sans mise en demeure préalable

À la suite d’un signalement, une mission de contrôle effectuée sur décision du président de la Commission nationale de l’informatique et des libertés (CNIL), en ligne d’abord, le 7 septembre 2018, puis sur place, le 13 septembre suivant, a révélé l’existence d’un défaut de sécurité sur le site internet de la société d’étude et de réalisation de gestion immobilière de construction (SERGIC). À l’issue de la mission de contrôle opérée en ligne, la délégation a informé la société de l’existence de ce manquement, laquelle y a mis définitivement fin dix jours plus tard. Par une délibération du 28 mai 2019, la formation restreinte de la Commission a, sur saisine du président de la CNIL, prononcé à l’encontre de la société une amende administrative d’un montant de 400 000 € et ordonné la publication de la décision pour une durée de deux ans avant son anonymisation. Conformément aux dispositions des articles R. 311-1 (4°) et R. 421-1 du code de justice administrative, la société SERGIC a formé un recours contre la décision, dans le délai de deux mois à partir de sa notification, devant le Conseil d’État.

Parmi les moyens invoqués, la société SERGIC estimait notamment que le président de la CNIL avait méconnu les dispositions du III de l’article 45 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés – devenu l’article 20 en vertu de l’ordonnance n° 2018-1125 du 12 décembre 2018 – en décidant de saisir la formation restreinte sans prononcer de mise en demeure au préalable, alors que les manquements étaient susceptibles d’être régularisés dans le cadre d’une mise en demeure. Il appartenait donc au Conseil d’État de déterminer si ces dispositions obligent effectivement le président de la CNIL à mettre en demeure la société préalablement à toute saisine de la formation restreinte lorsque que le manquement est susceptible de faire l’objet d’une mise...