Dernier volet de notre étude sur la nouvelle loi n° 1.565 du 3 décembre 2024 relative à la protection des données personnelles, les sanctions prévues par cette dernière.
- Sanctions administratives
Lorsqu’une mise en demeure adressée par l’Autorité de Protection des Données Personnelles (A.P.D.P), est infructueuse ou que le manquement n’est pas susceptible d’être corrigé, une procédure contradictoire se met en place et l’A.P.D.P invite le responsable du traitement ou le sous-traitant à s’expliquer (article 51).
Les sanctions suivantes peuvent être prononcées :
- Un avertissement
- Une obligation de mise en conformité, assortie éventuellement d’une astreinte pouvant aller jusqu’à 10.000 € par jour de retard
- La limitation, définitive ou temporaire, ou l’interdiction de procéder au traitement en cause
- Le retrait de tout agrément ou de la certification applicable
- La suspension, totale ou partielle, de la décision visant à l’approbation des règles d’entreprise contraignantes
- La suspension des flux de données adressées à une entité hors de la Principauté
- Une amende administrative
Cette amende administrative peut aller jusqu’à 5.000.000 € (article 53), ou jusqu’à 4% du chiffres d’affaires annuel mondial total de l’exercice précédent dans les cas suivants :
- La désignation d’un délégué à la protection des données est obligatoire et il n’y a pas été pourvu
- S’il n’a pas été procédé à la désignation d’un représentant lorsque c’est nécessaire
- S’il n’est pas établi un registre des traitements
- S’il n’est pas procédé à l’étude d’impact (ou si l’A.P.D.P n’a pas été consultée en amont de cette étude),
C’est le montant le plus élevé des deux qui est retenu.
En présence d’une violation des obligations relatives notamment au respect des droits des personnes, l’amende administrative peut aller jusqu’à 10.000.000 euros (article 54) ou, dans le cas d’une personne morale, jusqu’à 4% du chiffre d’affaires annuel mondial total de l’exercice précèdent – là encore, il y a lieu de retenir le montant le plus élevé.
Des mesures conservatoires telles que des suspensions de traitement peuvent être prises lorsque le manquement entraîne une violation des droits et libertés fondamentaux.
Les décisions de l’A.P.D.P sont susceptibles de recours devant le Tribunal de Première Instance, lequel devra être introduit dans un délai de deux mois suivant leur notification.
- Sanctions pénales
Aux termes de l’article 104 de la loi, il est créé une nouvelle Section XII dans le Livre III, Titre II, Chapitre 1er du Code Pénal, intitulée « Protection des données personnelles » créant un nouvel article 308-7 dans ledit Code prévoyant les sanctions suivantes :
- Un emprisonnement entre un et six mois et/ou une amende allant de 9.000 à 18.000 € en cas d’entrave aux investigations opérées pour le respect de la loi (incluant la non-communication d’éléments sollicités), en cas de non-tenue d’un registre des activités de traitements, en cas de manquement à la sécurité des données par négligence ou imprudence ou de divulgation de données portant atteinte à la réputation, la vie privée et familiale, en cas d’absence de mesures appropriées pour protéger les droits des personnes, en cas d’absence de notification d’une violation portant atteinte aux droits et libertés, et enfin en cas de transfert de données sans respecter la loi
- Un emprisonnement de trois mois à un an et/ou une amende allant de 18.000 à 90.000 € en cas de collecte de données à fins de vidéosurveillance sans autorisation du Ministre d’Etat, en cas de collecte de données par un moyen frauduleux, déloyal ou illicite, en cas de détournement de données pour d’autres fins que celles pour lesquelles elles ont été collectées, en cas de collecte ou de conservation malgré l’opposition de la personne lorsqu’il n’existe pas un autre but légitime au traitement, en cas de collecte par une entité autre que les autorités compétentes de données à caractère pénal, et enfin en cas de collecte de données sensibles hors les cas permis par la loi.
Pour le cas où il y aurait une récidive, les peines d’emprisonnement seront a minima doublées, sans pouvoir cependant dépasser le double du maximum de la peine encourue (article 104).
Une condamnation prononcée en application de ces dispositions entraîne de plein droit la suppression des traitements, voire la confiscation et la destruction des supports et une interdiction de procéder à des traitements pendant un délai allant de six mois à trois ans.
Le Tribunal peut également ordonner que le gérant de la personne morale de droit privé qui fait l’objet d’une condamnation soit tenu solidairement au paiement des amendes prononcées à l’encontre de l’entreprise.
N’hésitez pas à contacter notre Etude pour davantage de précisions ou pour vous accompagner dans vos démarches.
Commentaires récents