Article
En savoir plus...
Jurisprudence
Actualités
Article 58 - Pouvoirs
1. Chaque autorité de contrôle dispose de tous les pouvoirs d'enquête suivants:- a) ordonner au responsable du traitement et au sous-traitant, et, le cas échéant, au représentant du responsable du traitement ou du sous-traitant, de lui communiquer toute information dont elle a besoin pour l'accomplissement de ses missions;
- b) mener des enquêtes sous la forme d'audits sur la protection des données;
- c) procéder à un examen des certifications délivrées en application de l'article 42, paragraphe 7;
- d) notifier au responsable du traitement ou au sous-traitant une violation alléguée du présent règlement;
- e) obtenir du responsable du traitement et du sous-traitant l'accès à toutes les données à caractère personnel et à toutes les informations nécessaires à l'accomplissement de ses missions;
- f) obtenir l'accès à tous les locaux du responsable du traitement et du sous-traitant, notamment à toute installation et à tout moyen de traitement, conformément au droit de l'Union ou au droit procédural des États membres.
- a) avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du présent règlement;
- b) rappeler à l'ordre un responsable du traitement ou un sous-traitant lorsque les opérations de traitement ont entraîné une violation des dispositions du présent règlement;
- c) ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes présentées par la personne concernée en vue d'exercer ses droits en application du présent règlement;
- d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé;
- e) ordonner au responsable du traitement de communiquer à la personne concernée une violation de données à caractère personnel;
- f) imposer une limitation temporaire ou définitive, y compris une interdiction, du traitement;
- g) ordonner la rectification ou l'effacement de données à caractère personnel ou la limitation du traitement en application des articles 16, 17 et 18 et la notification de ces mesures aux destinataires auxquels les données à caractère personnel ont été divulguées en application de l'article 17, paragraphe 2, et de l'article 19;
- h) retirer une certification ou ordonner à l'organisme de certification de retirer une certification délivrée en application des articles 42 et 43, ou ordonner à l'organisme de certification de ne pas délivrer de certification si les exigences applicables à la certification ne sont pas ou plus satisfaites;
- i) imposer une amende administrative en application de l'article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas;
- j) ordonner la suspension des flux de données adressés à un destinataire situé dans un pays tiers ou à une organisation internationale.
- a) conseiller le responsable du traitement conformément à la procédure de consultation préalable visée à l'article 36;
- b) émettre, de sa propre initiative ou sur demande, des avis à l'attention du parlement national, du gouvernement de l'État membre ou, conformément au droit de l'État membre, d'autres institutions et organismes ainsi que du public, sur toute question relative à la protection des données à caractère personnel;
- c) autoriser le traitement visé à l'article 36, paragraphe 5, si le droit de l'État membre exige une telle autorisation préalable;
- d) rendre un avis sur les projets de codes de conduite et les approuver en application de l'article 40, paragraphe 5;
- e) agréer des organismes de certification en application de l'article 43;
- f) délivrer des certifications et approuver des critères de certification conformément à l'article 42, paragraphe 5;
- g) adopter les clauses types de protection des données visées à l'article 28, paragraphe 8, et à l'article 46, paragraphe 2, point d);
- h) autoriser les clauses contractuelles visées à l'article 46, paragraphe 3, point a);
- i) autoriser les arrangements administratifs visés à l'article 46, paragraphe 3, point b);
- j) approuver les règles d'entreprise contraignantes en application de l'article 47.
5. Chaque État membre prévoit, par la loi, que son autorité de contrôle a le pouvoir de porter toute violation du présent règlement à l'attention des autorités judiciaires et, le cas échéant, d'ester en justice d'une manière ou d'une autre, en vue de faire appliquer les dispositions du présent règlement.
6. Chaque État membre peut prévoir, par la loi, que son autorité de contrôle dispose de pouvoirs additionnels à ceux visés aux paragraphes 1, 2 et 3. L'exercice de ces pouvoirs n'entrave pas le bon fonctionnement du chapitre VII.
En savoir plus...
L'article 58 du RGPD dresse la liste des pouvoirs dont disposent les autorités de contrôle pour faire respecter le RGPD. Elles disposent, en particulier, de pouvoirs d’enquête (audits, accès aux locaux, demandes d’informations), de mesures correctrices (avertissements, sanctions, interdictions de traitement, amendes), et de pouvoirs consultatifs et d’autorisation (avis, certifications, approbation de codes de conduite, etc.). Ces actions doivent respecter les garanties procédurales, et les États membres peuvent leur conférer des pouvoirs supplémentaires, sans compromettre la cohérence européenne.Le RGPD prévoit-il une amende en cas d'infraction à cet article ?
Le RGPD ne mentionne pas la possibilité, pour une autorité de contrôle, de prononcer une amende aux contrevenants à cet article.
Bien que cela ne soit pas toujours pertinent, cela reste théoriquement possible en vertu de l'article 84 du RGPD, qui permet aux Etats Membres de prévoir des sanctions supplémentaires (sous certaines conditions).
Bien que cela ne soit pas toujours pertinent, cela reste théoriquement possible en vertu de l'article 84 du RGPD, qui permet aux Etats Membres de prévoir des sanctions supplémentaires (sous certaines conditions).
Considérants pertinents
[Missions et pouvoirs des autorités de contrôle]
129. Afin de veiller à faire appliquer le présent règlement et à contrôler son application de manière cohérente dans l'ensemble de l'Union, les autorités de contrôle devraient avoir, dans chaque État membre, les mêmes missions et les mêmes pouvoirs effectifs, y compris les pouvoirs d'enquête, le pouvoir d'adopter des mesures correctrices et d'infliger des sanctions, ainsi que le pouvoir d'autoriser et d'émettre des avis consultatifs, notamment en cas de réclamation introduite par des personnes physiques, et, sans préjudice des pouvoirs des autorités chargées des poursuites en vertu du droit d'un État membre, le pouvoir de porter les violations du présent règlement à l'attention des autorités judiciaires et d'ester en justice. Ces pouvoirs devraient également inclure celui d'imposer une limitation temporaire ou définitive au traitement, y compris une interdiction. Les États membres peuvent préciser d'autres missions liées à la protection des données à caractère personnel en application du présent règlement. Les pouvoirs des autorités de contrôle devraient être exercés conformément aux garanties procédurales appropriées prévues par le droit de l'Union et le droit des État membres, d'une manière impartiale et équitable et dans un délai raisonnable. Toute mesure devrait notamment être appropriée, nécessaire et proportionnée en vue de garantir le respect du présent règlement, compte tenu des circonstances de l'espèce, respecter le droit de chacun à être entendu avant que soit prise toute mesure individuelle susceptible de lui porter atteinte et éviter les coûts superflus ainsi que les désagréments excessifs pour les personnes concernées. Les pouvoirs d'enquête en ce qui concerne l'accès aux installations devraient être exercés conformément aux exigences spécifiques du droit procédural des États membres, telle que l'obligation d'obtenir une autorisation judiciaire préalable. Toute mesure juridiquement contraignante prise par l'autorité de contrôle devrait être présentée par écrit, être claire et dénuée d'ambiguïté, indiquer quelle autorité de contrôle a pris la mesure et à quelle date, porter la signature du chef ou d'un membre de l'autorité de contrôle qu'il a autorisé, exposer les motifs qui sous-tendent la mesure et mentionner le droit à un recours effectif. Cela ne devrait pas exclure des exigences supplémentaires prévues par le droit procédural des États membres. Si une décision juridiquement contraignante est adoptée, elle peut donner lieu à un contrôle juridictionnel dans l'État membre dont relève l'autorité de contrôle qui l'a adoptée.
[Activités de sensibilisation et mesures spécifiques]
132. Les activités de sensibilisation organisées par les autorités de contrôle à l'intention du public devraient comprendre des mesures spécifiques destinées aux responsables du traitement et aux sous-traitants, y compris les micro, petites et moyennes entreprises, ainsi qu'aux personnes physiques, notamment dans le cadre éducatif.
[Obligations de confidentialité des autorités de contrôle]
164. En ce qui concerne les pouvoirs qu'ont les autorités de contrôle d'obtenir du responsable du traitement ou du sous-traitant l'accès aux données à caractère personnel et l'accès à leurs locaux, les États membres peuvent adopter par la loi, dans les limites du présent règlement, des règles spécifiques visant à garantir l'obligation de secret professionnel ou d'autres obligations de secret équivalentes, dans la mesure où cela est nécessaire pour concilier le droit à la protection des données à caractère personnel et l'obligation de secret professionnel. Cela s'entend sans préjudice des obligations existantes incombant aux États membres en matière d'adoption de règles relatives au secret professionnel lorsque le droit de l'Union l'impose.
129. Afin de veiller à faire appliquer le présent règlement et à contrôler son application de manière cohérente dans l'ensemble de l'Union, les autorités de contrôle devraient avoir, dans chaque État membre, les mêmes missions et les mêmes pouvoirs effectifs, y compris les pouvoirs d'enquête, le pouvoir d'adopter des mesures correctrices et d'infliger des sanctions, ainsi que le pouvoir d'autoriser et d'émettre des avis consultatifs, notamment en cas de réclamation introduite par des personnes physiques, et, sans préjudice des pouvoirs des autorités chargées des poursuites en vertu du droit d'un État membre, le pouvoir de porter les violations du présent règlement à l'attention des autorités judiciaires et d'ester en justice. Ces pouvoirs devraient également inclure celui d'imposer une limitation temporaire ou définitive au traitement, y compris une interdiction. Les États membres peuvent préciser d'autres missions liées à la protection des données à caractère personnel en application du présent règlement. Les pouvoirs des autorités de contrôle devraient être exercés conformément aux garanties procédurales appropriées prévues par le droit de l'Union et le droit des État membres, d'une manière impartiale et équitable et dans un délai raisonnable. Toute mesure devrait notamment être appropriée, nécessaire et proportionnée en vue de garantir le respect du présent règlement, compte tenu des circonstances de l'espèce, respecter le droit de chacun à être entendu avant que soit prise toute mesure individuelle susceptible de lui porter atteinte et éviter les coûts superflus ainsi que les désagréments excessifs pour les personnes concernées. Les pouvoirs d'enquête en ce qui concerne l'accès aux installations devraient être exercés conformément aux exigences spécifiques du droit procédural des États membres, telle que l'obligation d'obtenir une autorisation judiciaire préalable. Toute mesure juridiquement contraignante prise par l'autorité de contrôle devrait être présentée par écrit, être claire et dénuée d'ambiguïté, indiquer quelle autorité de contrôle a pris la mesure et à quelle date, porter la signature du chef ou d'un membre de l'autorité de contrôle qu'il a autorisé, exposer les motifs qui sous-tendent la mesure et mentionner le droit à un recours effectif. Cela ne devrait pas exclure des exigences supplémentaires prévues par le droit procédural des États membres. Si une décision juridiquement contraignante est adoptée, elle peut donner lieu à un contrôle juridictionnel dans l'État membre dont relève l'autorité de contrôle qui l'a adoptée.
[Activités de sensibilisation et mesures spécifiques]
132. Les activités de sensibilisation organisées par les autorités de contrôle à l'intention du public devraient comprendre des mesures spécifiques destinées aux responsables du traitement et aux sous-traitants, y compris les micro, petites et moyennes entreprises, ainsi qu'aux personnes physiques, notamment dans le cadre éducatif.
[Obligations de confidentialité des autorités de contrôle]
164. En ce qui concerne les pouvoirs qu'ont les autorités de contrôle d'obtenir du responsable du traitement ou du sous-traitant l'accès aux données à caractère personnel et l'accès à leurs locaux, les États membres peuvent adopter par la loi, dans les limites du présent règlement, des règles spécifiques visant à garantir l'obligation de secret professionnel ou d'autres obligations de secret équivalentes, dans la mesure où cela est nécessaire pour concilier le droit à la protection des données à caractère personnel et l'obligation de secret professionnel. Cela s'entend sans préjudice des obligations existantes incombant aux États membres en matière d'adoption de règles relatives au secret professionnel lorsque le droit de l'Union l'impose.
Droit souple
Lignes directrices et recommandations
Guides pratiques
Documents anciens
Rien trouvé ? N'hésitez pas à consulter la documentation sectorielle et transversale !
Références
Cet article cite...
> Article 16 - Droit de rectification
> Article 17 - Droit à l'effacement («droit à l'oubli»)
> Article 18 - Droit à la limitation du traitement
> Article 19 - Obligation de notification en ce qui concerne la rectification ou l'effacement de données à caractère personnel ou la limitation du traitement
> Article 28 - Sous-traitant
> Article 36 - Consultation préalable
> Article 40 - Codes de conduite
> Article 42 - Certification
> Article 43 - Organismes de certification
> Article 46 - Transferts moyennant des garanties appropriées
> Article 47 - Règles d'entreprise contraignantes
> Article 83 - Conditions générales pour imposer des amendes administratives
Cet article est cité par...
> Article 36 - Consultation préalable
> Article 41 - Suivi des codes de conduite approuvés
> Article 42 - Certification
> Article 43 - Organismes de certification
> Article 57 - Missions
> Article 59 - Rapports d'activité
> Article 70 - Missions du comité
> Article 83 - Conditions générales pour imposer des amendes administratives
> Article 90 - Obligations de secret
En savoir plus...
Droit souple (sectoriel ou transversal)
Lignes directrices et recommandations
> CNIL – Recommandations – Applications mobiles
8 avril 2025
> CNIL РRecommandations РUtilisation des donn̩es de localisation des v̩hicules connect̩s
25 mars 2025 (Projet, Ouvert à consultation publique)
> EDPB – Lignes directrices 2/2023 – Champ d’application technique de l’article 5,3 de la directive ePrivacy (2002/58/CE)
7 octobre 2024 (v2.0)
> CNIL РRecommandations РR̩utilisateurs de donn̩es publi̩es sur Internet
12 juin 2024
> CNIL РRecommandations РDispositifs de vid̩osurveillance au sein des chambres des Ehpads
29 février 2024
> CNIL – Recommandations – Utilisation des interfaces de programmation applicatives (API)
7 juillet 2023
> CNIL РRecommandations РT̩l̩surveillance pour les examens en ligne
8 juin 2023
> EDPB – Lignes directrices 02/2021 – Assistants vocaux virtuels
7 juillet 2021 (v2.0)
> EDPB РLignes directrices 8/2020 РLe ciblage des utilisateurs de m̩dias sociaux
13 avril 2021 (v2.0)
> EDPB – Lignes directrices 01/2020 – Véhicules connectés et applications liées à la mobilité
9 mars 2021 (v2.0)
> EDPB – Lignes directrices 6/2020 – L’interaction entre la deuxième directive sur les services de paiement et le RGPD
15 décembre 2020 (v2.0)
> CNIL – Lignes directrices – Cookies et autres traceurs
17 septembre 2020
> CNIL – Recommandations – Cookies et autres traceurs
17 septembre 2020
> EDPB – Lignes directrices 3/2019 – Le traitement des données à caractère personnel par des dispositifs vidéo
29 janvier 2020 (v2.0)
Référentiels
> CNIL – Référentiel – Mise en oeuvre d’un dispositif d’alerte professionnelle
6 juillet 2023
> CNIL РR̩f̩rentiel РGestion des officines de pharmacie
18 juillet 2022
> CNIL РR̩f̩rentiel РGestion des activit̩s commerciales
3 février 2022
> CNIL РR̩f̩rentiel РGestion des impay̩s dans une transaction commerciale
3 février 2022
> CNIL – Référentiel – Protection de l’enfance et des jeunes majeurs de moins de 21 ans
20 janvier 2022
> CNIL РR̩f̩rentiel РGestion locative
6 mai 2021
> CNIL РR̩f̩rentiel РAccueil, h̩bergement et accompagnement social et m̩dico-social des personnes ̢g̩es, des personnes en situation de handicap et de celles en difficult̩
11 mars 2021
> CNIL РR̩f̩rentiel РGestion du personnel
21 novembre 2019
Guides pratiques
> CNIL РGuide pratique РEquipe de d̩veloppement
13 décembre 2021 ((sur le github de la CNIL))
> CNIL РGuide pratique РSensibilisation pour les collectivit̩s territoriales
18 septembre 2019
> CNIL – Guide pratique – L’Ordre des médecins
1 juin 2018
Jurisprudence
Note importante : cette base de données n'est pas achevée, il est donc possible que la partie soit vide, ou que certains résultats soient peu pertinents ou soient manquants. Veuillez ne pas hésiter à me le signaler !
Effacer les filtres
| Décision n° | Apport de la décision | + d'infos | Thème | Secteur | Autorite | Annee | ||
|---|---|---|---|---|---|---|---|---|
| SAN-2024-017 | Ministère de l’intérieur et des Outre-Mer et ministère de la justice | 17/10/2024 | Acte réglementaire régissant un traitement au nom de l’Etat - 1) Compétence de la formation restreinte à l’égard de toutes les administrations de l’Etat intervenant dans le traitement - Existence - 2) Application au TAJ | Lien | A classer, Acte réglementaire | Administration, Police-Justice | CNIL ou équivalent | 2024 |
| C-200/23 | Agentsia po vpisvaniyata | 04/10/2024 | Manquement au RGPD / Violation de données - Réparation du préjudice - Prise en compte de l'avis de l'autorité - Absence | Lien | Violation de données, A classer | Economie et fiscalité | Cour de Justice de l'UE | 2024 |
| C-768/21 | Land Hessen (Obligation d'agir de l'autorité de protection des données) | 26/09/2024 | Violation de données - Obligation d’agir de l’autorité de protection des données - Absence si l'intervention n’est pas appropriée, nécessaire ou proportionnée pour remédier à l’insuffisance | Lien | A classer | Cour de Justice de l'UE | 2024 | |
| C-46/23 | Újpesti Polgármesteri Hivatal | 14/03/2024 | Pouvoirs de l'autorité de contrôle - Pouvoir d'ordonner l'effacement de données personnelles traitées illicitement - En l'absence de demande d'exercice des droits - Admission | Lien | Mesures correctrices | Cour de Justice de l'UE | 2024 | |
| C-46/23 | Újpesti Polgármesteri Hivatal | 14/03/2024 | Pouvoirs de l'autorité de contrôle - Pouvoir d'ordonner l'effacement de données personnelles traitées illicitement - Incidence du mode de collecte (direct ou indirect) - Absence | Lien | Mesures correctrices | Cour de Justice de l'UE | 2024 | |
| C-306/21 | Koalitsia « Demokratichna Bulgaria - Obedinenie » | 20/10/2022 | Possibilité pour les Etats Membres d'adopter un acte administratif prévoyant l’interdiction de l’enregistrement vidéo du dépouillement du scrutin dans les bureaux de vote - Admission | Lien | A classer, Acte réglementaire | Administration | Cour de Justice de l'UE | 2022 |
| C-645/19 | Facebook Ireland e.a. | 15/06/2021 | Autorité de contrôle - Pouvoir de porter toute violation du RGPD à l'attention des autorités judiciaires et d'ester en justice - Nécessité d'être une autorité "chef de file" - Absence sous réserve de compétence | Lien | Ester en justice | Technologie | Cour de Justice de l'UE | 2021 |
| C-645/19 | Facebook Ireland e.a. | 15/06/2021 | Autorité de contrôle - Pouvoir de porter toute violation du RGPD à l'attention des autorités judiciaires et d'ester en justice - Nécessité que le responsable ou sous-traitant ait un établissement dans l'Etat Membre de l'autorité - Absence sous réserve de compétence | Lien | Ester en justice | Technologie | Cour de Justice de l'UE | 2021 |
| C-645/19 | Facebook Ireland e.a. | 15/06/2021 | Action par une autorité de contrôle qui n'est pas "chef de file" - 1) Pouvoir de porter toute violation du RGPD à l'attention des autorités judiciaires et d'ester en justice - Admission - 2) Nécessité que l'établissement principal du responsable se trouve dans l'Etat Membre de l'autorité - Absence sous réserve de compétence | Lien | Ester en justice | Technologie | Cour de Justice de l'UE | 2021 |
| C-645/19 | Facebook Ireland e.a. | 15/06/2021 | Action par une autorité de contrôle qui n'est pas "chef de file" - 1) Maintien de l'action en date du 25 mai 2018 sur le fondement de la directive 95/46 - Admission - 2) A titre général, adoption d'une décision - Admission à titre d'exception, et sous conditions | Lien | Ester en justice | Technologie | Cour de Justice de l'UE | 2021 |
| C-645/19 | Facebook Ireland e.a. | 15/06/2021 | Autorité de contrôle - Pouvoir de porter toute violation du RGPD à l'attention des autorités judiciaires et d'ester en justice - Effet direct - Admission | Lien | Ester en justice | Technologie | Cour de Justice de l'UE | 2021 |
| C-311/18 | Schrems II (Facebook Ireland et Schrems) | 16/07/2020 | Contrôle des transferts de données à caractère personnel vers des pays tiers par une autorité - Suspension ou interdiction de tels transferts lorsque les clauses ne sont ou ne peuvent pas être respectées - Obligation, sauf en cas de décision d'adéquation | Lien | A classer | Police-Justice | Cour de Justice de l'UE | 2020 |
| C-210/16 | Wirtschaftsakademie Schleswig-Holstein | 05/06/2018 | Territorialité de la compétence d'une autorité de contrôle (directive 95/46) - Entreprise établie en dehors de l'Union et dans plusieurs Etats Membres - Compétence chaque autorité dans les Etats Membres dans lesquels l'entreprise est établie - Admission | Lien | A classer | Economie et fiscalité | Cour de Justice de l'UE | 2018 |
| C-210/16 | Wirtschaftsakademie Schleswig-Holstein | 05/06/2018 | Territorialité de la compétence d'une autorité de contrôle (directive 95/46) - Compétence pour analyser les atteintes commises par un tiers ayant son siège dans un autre Etat Membre - Admission | Lien | A classer | Economie et fiscalité | Cour de Justice de l'UE | 2018 |
Actualités
Profitez de nos actualités en lien avec cet article !
Chargement des actualités...
<< Retourner au menu