Article 63 :
A l’issue des missions de vérifications et de contrôles prévues à l’article 57 de la présente loi, la CIL peut prononcer à l’encontre des contrevenants, sans préjudice des poursuites pénales, les sanctions administratives suivantes :
– l’avertissement ;
– la mise en demeure ;
– l’injonction de cesser le traitement de données effectué ;
– le verrouillage de certaines données à caractère personnel ;
– l’amende forfaitaire ;
– le retrait de l’autorisation.
Article 64 :
Les sanctions prévues à l’article 63 ci-dessus sont prononcées sur la base d’un rapport établi par l’un des membres de la CIL, désigné par le Président. Ce rapport est notifié au responsable de traitement, qui peut déposer des observations et se faire représenter ou assister lors d’une audition devant la CIL.
Les décisions administratives prises par la CIL, notamment au titre du chapitre 1 du titre IV de la présente loi sont motivées et notifiées au responsable du traitement. Les décisions prononçant une sanction peuvent faire l’objet d’un recours devant la juridiction administrative compétente.
Article 65 :
Le montant de l’amende forfaitaire prévue par la présente loi est proportionné à la gravité des manquements commis et aux avantages tirés de ce manquement.
Lors du premier manquement, le montant de l’amende est de un pour cent du chiffre d’affaires hors taxes du dernier exercice clos.
En cas de récidive, le montant de l’amende est de cinq pour cent du chiffre d’affaires hors taxes du dernier exercice clos.
Les amendes forfaitaires sont recouvrées comme créances de l’Etat.
Article 66 :
En cas d’atteinte grave et immédiate aux droits des personnes mentionnées au chapitre 2 du titre II de la présente loi, le Président de la CIL ou la personne dont les droits et les libertés sont violés, peut demander par voie de référé, à la juridiction compétente, d’ordonner, le cas échéant et sous astreinte, toute mesure nécessaire à la sauvegarde de ces droits.
Les personnes concernées ou leurs représentants peuvent demander et obtenir réparation des dommages moraux ou matériels subis conformément à la législation en vigueur.
Constituent des manquements graves, le fait:
– de procéder à une collecte déloyale des données à caractère personnel ;
– de communiquer à un tiers non autorisé des données à caractère personnel ;
– de procéder à la collecte des données sensibles, sans respecter les conditions légales ;
– procéder à la collecte ou à l’utilisation des données à caractère personnel ayant pour conséquence de provoquer une atteinte grave aux libertés et droits fondamentaux, y compris à l’intimité de la vie privée de la personne concernée ;
– d’empêcher les services de la CIL d’effectuer une mission de contrôle sur place ou faire preuve d’obstruction lors de la réalisation d’une telle mission.
Article 67 :
La CIL peut prononcer à l’encontre de tout responsable de traitement, une amende allant de cinq millions (5 000 000) à dix millions (10 000 000) de francs pour entrave à son action, soit en :
– s’opposant à l’exercice des missions confiées à ses membres ou aux agents habilités ;
– refusant de communiquer à ses membres ou aux agents habilités en application de l’article 57 de la présente loi, les renseignements et documents utiles à leur mission, ou en dissimulant lesdits documents ou renseignements, ou en les faisant disparaître ;
– communiquant des informations qui ne sont pas conformes au contenu des enregistrements tels qu’ils étaient au moment où la demande a été formulée ou qui ne les présentent pas sous une forme directement intelligible.
Article 68 :
La CIL peut prononcer à l’encontre de tout responsable de traitement une amende allant de cinq millions (5 000 000) à vingt millions (20 000 000) de francs, pour le fait de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la présente loi.
Article 69 :
La CIL peut prononcer à l’encontre de tout responsable de traitement une amende allant de cinq millions (5 000 000) à vingt millions (20 000 000) de francs, pour le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans prendre toutes les précautions utiles pour préserver la sécurité desdites données, notamment empêcher qu’elles soient déformées, endommagées ou communiquées à des tiers non autorisés.
La CIL peut prononcer à l’encontre de tout responsable de traitement une amende allant d’un million (1 000 000) à dix millions (10 000 000) de francs, pour le fait de communiquer à des tiers non autorisés ou d’accéder intentionnellement sans autorisation ou de façon illicite à des fichiers contenant des données à caractère personnel.
Article 70 :
La CIL peut prononcer à l’encontre de tout responsable de traitement une amende allant de cinq millions (5 000 000) à cent millions (100 000 000) de francs, pour détournement de finalité d’une collecte ou d’un traitement de données à caractère personnel.
Article 71 :
La CIL peut prononcer à l’encontre de tout responsable de traitement une amende allant de cinq millions (5 000 000) à cent millions (100 000 000) de francs pour le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite.
Elle peut également sanctionner tout responsable de traitement pour le fait de procéder à un traitement de données à caractère personnel sans respecter les prescriptions de l’article 36 de la présente loi en cas de traitement de données à caractère personnel ayant pour fin la recherche dans le domaine de la santé.
Article 72 :
La CIL peut prononcer à l’encontre de tout responsable de traitement une amende allant de deux millions (2 000 000) à cinq millions (5 000 000) de francs pour le fait de procéder à un traitement de données à caractère personnel concernant une personne physique, malgré son opposition, lorsque cette opposition est fondée sur des raisons légitimes.
Article 73 :
La CIL peut prononcer à l’encontre de tout responsable de traitement une amende allant de dix millions (10 000 000) à cent millions (100 000 000) de francs, pour le fait, hors les cas prévus par la présente loi, de mettre ou conserver en mémoire informatisée, sans l’accord exprès de la personne concernée des données à caractère personnel qui, directement ou indirectement, font apparaître les origines raciales ou ethniques, les opinions politiques, philosophiques ou religieuses, les appartenances syndicales ou les mœurs des personnes.
Elle peut également sanctionner tout responsable de traitement, hors les cas prévus par la présente loi, qui met ou conserve, en mémoire informatisée des données à caractère personnel concernant des infractions, des condamnations ou des mesures de sûreté.
Article 74 :
La CIL peut prononcer une amende allant de cinq millions (5 000 000) à vingt millions (20 000 000) de francs à l’encontre de tout responsable de traitement qui, sans l’accord de la CIL, conserve des données à caractère personnel sous forme identifiable directement ou indirectement au-delà de la durée prévue dans la déclaration, la demande d’autorisation préalable à la mise en œuvre du traitement, à l’exception des traitements mis en œuvre par l’Etat.
Article 75 :
La CIL peut prononcer à l’encontre de tout responsable de traitement une amende allant de cinq millions (5 000 000) à vingt millions (20 000 000) de francs, qui recueille, à l’occasion de leur enregistrement, de leur classement, de leur transmission ou d’une autre forme de traitement, des données à caractère personnel dont la divulgation aurait pour effet de porter atteinte à l’honneur et à la considération de la personne concernée ou à l’intimité de sa vie privée et les porte, sans son autorisation, à la connaissance d’un tiers qui n’a pas qualité pour les recevoir.
La divulgation prévue à l’alinéa précédent est sanctionnée d’une amende de deux millions (2 000 000) à cinq millions (5 000 000) de francs lorsqu’elle a été commise par imprudence ou négligence.
Article 76 :
La CIL peut en outre prononcer la confiscation de tous supports matériels des données à caractère personnel objet de la violation de la règlementation, tels que des fichiers manuels, disques et bandes magnétiques ou tout support de stockage,ou ordonner l’effacement de ces données.
La confiscation ou l’effacement peut être ordonné, même si les supports matériels des données à caractère personnel n’appartiennent pas à la personne sanctionnée.
Lorsque la CIL prononce une sanction au titre des articles 67 à 75 de la présente loi, elle peut en outre interdire au responsable de traitement condamné de gérer, personnellement ou par personne interposée et pour deux ans au maximum, tout traitement de données à caractère personnel.
Article 77 :
Lorsque la CIL prononce une sanction au titre des articles 63 à 75 de la présente loi, elle peut, en outre, ordonner l’insertion de la décision intégralement ou des extraits, dans un ou plusieurs journaux, dans les conditions qu’elle détermine, aux frais du condamné.