Article 58 - Pouvoirs
1. Chaque autorité de contrôle dispose de tous les pouvoirs d'enquête suivants:- a) ordonner au responsable du traitement et au sous-traitant, et, le cas échéant, au représentant du responsable du traitement ou du sous-traitant, de lui communiquer toute information dont elle a besoin pour l'accomplissement de ses missions;
- b) mener des enquêtes sous la forme d'audits sur la protection des données;
- c)procéder à un examen des certifications délivrées en application de l'article 42, paragraphe 7;
- d)notifier au responsable du traitement ou au sous-traitant une violation alléguée du présent règlement;
- e) obtenir du responsable du traitement et du sous-traitant l'accès à toutes les données à caractère personnel et à toutes les informations nécessaires à l'accomplissement de ses missions;
- f) obtenir l'accès à tous les locaux du responsable du traitement et du sous-traitant, notamment à toute installation et à tout moyen de traitement, conformément au droit de l'Union ou au droit procédural des États membres.
- a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du présent règlement;
- b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les opérations de traitement ont entraîné une violation des dispositions du présent règlement;
- c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits en application du présent règlement;
- d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé;
- e) ordonner au responsable du traitement de communiquer à la personne concernée une violation de données à caractère personnel;
- f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement;
- g) ordonner la rectification ou l'effacement de données à caractère personnel ou la limitation du traitement en application des articles 16, 17 et 18 et la notification de ces mesures aux destinataires auxquels les données à caractère personnel ont été divulguées en application de l'article 17, paragraphe 2, et de l'article 19;
- h) retirer une certification ou ordonner à l'organisme de certification de retirer une certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de certification de ne pas délivrer de certification si les exigences applicables à la certification ne sont pas ou plus satisfaites;
- i) imposer une amende administrative en application de l'article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas;
- j) ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale.
- a) conseiller le responsable du traitement conformément à la procédure de consultation préalable visée à l'article 36;
- b) émettre, de sa propre initiative ou sur demande, des avis à l'attention du parlement national, du gouvernement de l'État membre ou, conformément au droit de l'État membre, d'autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel;
- c) autoriser le traitement visé à l'article 36, paragraphe 5, si le droit de l'État membre exige une telle autorisation préalable;
- d) rendre un avis sur les projets de codes de conduite et les approuver en application de l'article 40, paragraphe 5;
- e) agréer des organismes de certification en application de l'article 43;
- f) délivrer des certifications et approuver des critères de certification conformément à l'article 42, paragraphe 5;
- g) adopter les clauses types de protection des données visées à l'article 28, paragraphe 8, et à l'article 46, paragraphe 2, point d);
- h) autoriser les clauses contractuelles visées à l'article 46, paragraphe 3, point a);
- i) autoriser les arrangements administratifs visés à l'article 46, paragraphe 3, point b);
- j) approuver les règles d'entreprise contraignantes en application de l'article 47.
5. Chaque État membre prévoit, par la loi, que son autorité de contrôle a le pouvoir de porter toute violation du présent règlement à l'attention des autorités judiciaires et, le cas échéant, d'ester en justice d'une manière ou d'une autre, en vue de faire appliquer les dispositions du présent règlement.
6. Chaque État membre peut prévoir, par la loi, que son autorité de contrôle dispose de pouvoirs additionnels à ceux visés aux paragraphes 1, 2 et 3. L'exercice de ces pouvoirs n'entrave pas le bon fonctionnement du chapitre VII.
En savoir plus...
L'article 58 du RGPD normalise les pouvoirs que les autorités de contrôle peuvent utiliser dans l'accomplissement de leurs tâches au titre de l'article 57 du RGPD. Cette disposition comprend un catalogue complet de pouvoirs d'enquête, de correction et de conseil. Ces pouvoirs découlent directement du RGPD et n'ont donc pas besoin d'être mis en œuvre par la législation des États membres. En vertu de l'article 70, paragraphe 1, point k), du RGPD, l'EDPB devrait en principe adopter des lignes directrices concernant l'application concrète et cohérente de ces pouvoirs. À cet égard, tous les pouvoirs de l'autorité de contrôle sont importants. Toutefois, en vertu de l'article 83, paragraphe 5, point e), du RGPD, le non-respect d'une injonction ou d'une limitation temporaire ou définitive du traitement ou la suspension des flux de données par l'autorité en vertu de l'article 58, paragraphe 2, du RGPD ou l'absence d'accès en violation de l'article 58, paragraphe 1, du RGPD, peuvent donner lieu aux amendes les plus élevées possibles. Il semble donc que le législateur considère que certains des pouvoirs décrits à l'article 58 du RGPD sont cruciaux pour le fonctionnement des autorités de contrôle et, par conséquent, de l'ensemble du système RGPD.Le RGPD prévoit-il une amende en cas d'infraction à cet article ?
Bien que cela ne soit pas toujours pertinent, cela reste théoriquement possible en vertu de l'article 84 du RGPD, qui permet aux Etats Membres de prévoir des sanctions supplémentaires (sous certaines conditions).
Considérants pertinents
129. Afin de veiller à faire appliquer le présent règlement et à contrôler son application de manière cohérente dans l'ensemble de l'Union, les autorités de contrôle devraient avoir, dans chaque État membre, les mêmes missions et les mêmes pouvoirs effectifs, y compris les pouvoirs d'enquête, le pouvoir d'adopter des mesures correctrices et d'infliger des sanctions, ainsi que le pouvoir d'autoriser et d'émettre des avis consultatifs, notamment en cas de réclamation introduite par des personnes physiques, et, sans préjudice des pouvoirs des autorités chargées des poursuites en vertu du droit d'un État membre, le pouvoir de porter les violations du présent règlement à l'attention des autorités judiciaires et d'ester en justice. Ces pouvoirs devraient également inclure celui d'imposer une limitation temporaire ou définitive au traitement, y compris une interdiction. Les États membres peuvent préciser d'autres missions liées à la protection des données à caractère personnel en application du présent règlement. Les pouvoirs des autorités de contrôle devraient être exercés conformément aux garanties procédurales appropriées prévues par le droit de l'Union et le droit des État membres, d'une manière impartiale et équitable et dans un délai raisonnable. Toute mesure devrait notamment être appropriée, nécessaire et proportionnée en vue de garantir le respect du présent règlement, compte tenu des circonstances de l'espèce, respecter le droit de chacun à être entendu avant que soit prise toute mesure individuelle susceptible de lui porter atteinte et éviter les coûts superflus ainsi que les désagréments excessifs pour les personnes concernées. Les pouvoirs d'enquête en ce qui concerne l'accès aux installations devraient être exercés conformément aux exigences spécifiques du droit procédural des États membres, telle que l'obligation d'obtenir une autorisation judiciaire préalable. Toute mesure juridiquement contraignante prise par l'autorité de contrôle devrait être présentée par écrit, être claire et dénuée d'ambiguïté, indiquer quelle autorité de contrôle a pris la mesure et à quelle date, porter la signature du chef ou d'un membre de l'autorité de contrôle qu'il a autorisé, exposer les motifs qui sous-tendent la mesure et mentionner le droit à un recours effectif. Cela ne devrait pas exclure des exigences supplémentaires prévues par le droit procédural des États membres. Si une décision juridiquement contraignante est adoptée, elle peut donner lieu à un contrôle juridictionnel dans l'État membre dont relève l'autorité de contrôle qui l'a adoptée.
[Activités de sensibilisation et mesures spécifiques]
132. Les activités de sensibilisation organisées par les autorités de contrôle à l'intention du public devraient comprendre des mesures spécifiques destinées aux responsables du traitement et aux sous-traitants, y compris les micro, petites et moyennes entreprises, ainsi qu'aux personnes physiques, notamment dans le cadre éducatif.
[Obligations de confidentialité des autorités de contrôle]
164. En ce qui concerne les pouvoirs qu'ont les autorités de contrôle d'obtenir du responsable du traitement ou du sous-traitant l'accès aux données à caractère personnel et l'accès à leurs locaux, les États membres peuvent adopter par la loi, dans les limites du présent règlement, des règles spécifiques visant à garantir l'obligation de secret professionnel ou d'autres obligations de secret équivalentes, dans la mesure où cela est nécessaire pour concilier le droit à la protection des données à caractère personnel et l'obligation de secret professionnel. Cela s'entend sans préjudice des obligations existantes incombant aux États membres en matière d'adoption de règles relatives au secret professionnel lorsque le droit de l'Union l'impose.
Droit souple
Lignes directrices et recommandations
Guides pratiques
Documents anciens
Références
Cet article cite...
Cet article est cité par...
Jurisprudence
Cliquez sur une ligne pour obtenir tous les détails.
Note importante : cette base de données n'est pas achevée ; par ailleurs, le développement du "RGPD annoté" implique sa re-structuration complète: il est donc possible que la partie soit vide, ou que certains résultats soient peu pertinents ou soient manquants. Veuillez ne pas hésiter à me le signaler !
Actualités
Profitez de nos actualités en lien avec cet article !Note importante : Le flux RSS correpondant à cet article semble vide. Nous avons très récemment re-structuré la partie 'veille' afin de vous proposer des actualités plus précises sur le RGPD annoté, mais il va falloir un peu de temps pour 'remplir' la partie actualité de chaque article. En attendant, nous vous proposons le flux ci-dessous, qui utilise une catégorie plus large.
ICO 2024 – une année en revue Alors que 2024 s’achève, l’Information Commissioner’s Office (ICO) se penche sur une année fructueuse de changements visant à protéger les droits à l’information des personnes et à guider les organisations pour qu’elles s’améliorent continuellement afin de respecter leurs obligations légales. L’ICO est le régulateur indépendant du Royaume-Uni dont […]
950 000 euros d’amende pour le Sambla Group, fournisseur de services de comparaison de prêts, en raison de négligences en matière de sécurité des données L’autorité finlandaise a annoncé aujourd’hui avoir imposé une amende de 950 000 euros au Sambla Group, fournisseur de services de comparaison de prêts, en raison de sa faible sécurité des […]
En Italie, OpenAI condamné à réaliser une campagne d’information de six mois et payer une amende de 15 millions d’euros. L’autorité italienne a annoncé aujourd’hui avoir adopté une décision corrective et sanctionnatrice à l’encontre d’OpenAI en lien avec la gestion du service ChatGPT. La décision, qui constate les violations précédemment reprochées à la société californienne, […]
Ordre du jour de la séance plénière du 19 décembre 2024 La Commission nationale de l’informatique et des libertés s’est réunie le jeudi 19 décembre 2024 à 9 h 30 avec l’ordre du jour suivant : Partie I (avec débats): * Communication relative à la collecte d’identifiants de connexion pour accéder aux comptes utilisateurs de personnes […]
30 000 euros d’amende pour un médecin ayant publié des photographies médicales sur un réseau social L’autorité hellénique a publié aujourd’hui une décision de sanction à l’encontre d’un médecin, avec 30 000 euros d’amende à la clé, pour avoir publié des photographies d’une partie du corps de la plaignante sur un réseau social géré par […]
Réponse de l’ICO au changement de politique de Google concernant le fingerprinting Stephen Almond, directeur exécutif des risques réglementaires de l’ICO : « Hier, Google a annoncé aux organisations qui utilisent ses produits publicitaires qu’à partir du 16 février 2025, il ne leur interdirait plus d’utiliser des techniques d’empreintes digitales. Notre réponse est claire : les […]
Aspiration de données : sanction de 200 000 euros à l’encontre de la société KASPR Le 5 décembre 2024, la CNIL a prononcé une amende de 200 000 euros à l’encontre de la société KASPR, notamment pour avoir collecté sur LinkedIn les coordonnées d’utilisateurs qui avaient pourtant choisis d’en limiter la visibilité. La société KASPR […]
Un hôpital polonais condamné à une amende de 6900 euros pour ne pas avoir notifié sa violation de données dans les délais … alors qu’il ne l’avait pas découverte Le Président de l’UODO, Mirosław Wróblewski, a aujourd’hui annoncé avoir infligé une amende de 29 648 PLN (environ 6900 euros) à l’Hôpital de district de Września […]
Amende de 4,75 millions d’euros pour Netflix pour ne pas avoir correctement informé ses clients L’autorité néerlandaise a aujourd’hui annoncé avoir condamné Netflix à payer une amende de 4,75 millions d’euros pour des manquements en matière d’information. En effet, une enquêtelancée par l’autorité en 2019 (faisant suite à une plainte de NOYB) a permis de […]
La Commission irlandaise de protection des données inflige une amende de 251 millions d’euros à Meta La Commission irlandaise de protection des données (DPC) a annoncé aujourd’hui ses décisions finales à la suite de deux enquêtes sur Meta Platforms Ireland Limited. Ces enquêtes ont été lancées par la DPC à la suite d’une violation de […]
