--- AI Summary: >- Date of the Decision: July 22, 2024Authority that Rendered the Decision: CNIL (French Data Protection Authority)Brief Summary of the Facts:The municipality of KOUROU faced data protection violations under the GDPR. Previously, on December 12, 2023, CNIL had fined KOUROU €5,000 for failing to comply with GDPR Articles 31 and 37, which require the designation of a Data Protection Officer (DPO).Rationale of the Decision:KOUROU failed to designate a DPO within the mandated timeframe and did not respond to CNIL's orders, leading to further penalties.Grounds for the Decision:The decision was based on multiple legal frameworks, including GDPR (Regulation 2016/679) and the French Data Protection Act of January 6, 1978. The specific breaches involved Articles 31 and 37 of the GDPR.Amounts of the Fines:KOUROU was fined €6,900 for the failure to appoint a DPO, accumulated over the penalty period from February 19, 2024, to April 4, 2024. This amount was in addition to the previous €5,000 fine imposed for similar violations, resulting in an aggregate amount of €11,900. Case Number: SAN-2024-009 date: '2024-07-22' Ext. Link: >- https://mountain-loan-345.notion.site/D-lib-ration-de-la-formation-restreinte-n-SAN-2024-009-16eec461882380f1b6d9c483651d262b?pvs=4 Language: French Geography: France Judicial Authority: CNIL Link to decision: 'https://www.legifrance.gouv.fr/cnil/id/CNILTEXT000050049583' Summary: >- This CNIL (French Data Protection Authority) decision concerns the municipality of KOUROU regarding data protection violations. Here are the key points:Previous Decisions and Facts:- On December 12, 2023, CNIL imposed a €5,000 fine on the municipality of KOUROU for violations of GDPR Articles 31 and 37- The municipality was ordered to designate a Data Protection Officer (DPO) with a penalty of €150 per day of delay after a two-month periodCurrent Decision:- The municipality failed to designate a DPO within the required timeframe and did not provide any response- CNIL has decided to impose the accumulated penalty payment of €6,900 for the period from February 19, 2024, to April 4, 2024- The decision will be made public on CNIL's website and Légifrance, with the municipality's name to be anonymized after one yearLegal Basis:The decision cites multiple legal frameworks, including:- GDPR (Regulation 2016/679)- French Data Protection Act of January 6, 1978- Decree No. 2019-536 of May 29, 2019The decision can be appealed before the Council of State within three months of notification. tags: - Privacy - CNIL - Case-law Text: >- - Municipality of KOUROU- CNIL decision- Data protection violations- GDPR Articles 31 and 37- Fine amount: €5,000- Accumulated penalty payment: €6,900- Designation of Data Protection Officer (DPO)- Timeframe for compliance- Public notification- Appeal to Council of State Type: Sanction ECLI Code: null NoteType: Case Law aliases: - SAN-2024-009 Montant (€): 6900 icon: "\U0001F528" title: >- CNIL - Délibération de la formation restreinte n°SAN-2024-009 du 22 juillet 2024 concernant la Commune de KOUROU created: '2024-07-22' modified: '2024-07-22' published: '2024-07-22' --- La Commission nationale de l’informatique et des libertés, réunie en sa formation restreinte composée de M. Philippe-Pierre CABOURDIN, président, M. Vincent LESCLOUS, vice-président, Mmes Laurence FRANCESCHINI et Isabelle LATOURNARIE-WILLEMS, MM. Alain DRU et Bertrand du MARAIS, membres ; Vu le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des données à caractère personnel et à la libre circulation de ces données ; Vu la loi n° 78-17 du 6 janvier 1978 modifiée relative à l'informatique, aux fichiers et aux libertés, notamment ses articles 20 et suivants ; Vu le décret n° 2019-536 du 29 mai 2019 pris pour l'application de la loi n° 78-17 du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés ; Vu la délibération n° 2013-175 du 4 juillet 2013 portant adoption du règlement intérieur de la Commission nationale de l'informatique et des libertés ; Vu la délibération n° SAN-2023-018 du 12 décembre 2023 adoptée par la formation restreinte à l’encontre de X ; Vu la délibération n°SAN-2024-005 du 4 avril 2024 adoptée par la formation restreinte à l’encontre de X ; Après en avoir délibéré, a adopté la décision suivante : # FAITS ET PROCÉDURE Par décision du 12 décembre 2023, notifiée le 18 décembre 2023, la formation restreinte a adopté des mesures correctrices dans les termes suivants : - "_prononcer à l’encontre de X une amende administrative d’un montant de cinq mille (5 000) euros au regard des manquements constitués aux articles 31 et 37 du règlement (UE) n° 2016/679 du 27 avril 2016 relatif à la protection des données ; - _prononcer à l’encontre de X une injonction de désigner un délégué à la protection des données assortie d’une astreinte de cent-cinquante (150) euros par jour de retard à l’issue d’un délai de deux mois suivant la notification de la délibération de la formation restreinte ". En application de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés (ci-après " la loi du 6 janvier 1978 modifiée "), la formation restreinte a, par une délibération du 4 avril 2024, notifiée le 10 avril 2024, porté à la connaissance de la commune que, compte tenu de l’absence de réponse de la commune relative à la désignation d’un délégué à la protection des données dans le délai imparti par l’injonction, elle envisageait de liquider l’astreinte pour un montant de six mille neuf cents euros (6 900 euros) au titre de la période du 19 février 2024 au 4 avril 2024, et de rendre publique la délibération prononçant la liquidation de l’astreinte. Elle a indiqué à la commune qu’elle disposait d’un délai de quinze jours à compter de la notification des motifs de la liquidation et de son montant pour transmettre ses observations écrites. La commune n’a formulé aucune observation écrite. # MOTIFS DE LA LIQUIDATION ET MONTANT Aux termes de l’article 44 du décret n° 2019-536 du 29 mai 2019 pris pour l’application de la loi du 6 janvier 1978 modifiée " Lorsque la formation restreinte décide d'assortir d'une astreinte sa décision d'injonction de mise en conformité […], elle peut le faire par la même décision. Le responsable de traitement […] transmet à la formation restreinte, au plus tard à la date fixée dans la décision de cette dernière, les éléments attestant qu'il s'est conformé à l'injonction prononcée à son encontre ". L’article 44, paragraphe 3, du décret précité prévoit que " En cas d'inexécution totale ou partielle ou d'exécution tardive, la formation restreinte procède à la liquidation de l'astreinte qu'elle avait prononcée " et que " Le montant de l'astreinte est liquidé en tenant compte des éléments transmis, le cas échéant, par le responsable de traitement ou le sous-traitant, de son comportement et des difficultés d'exécution qu'il a rencontrées, notamment s'il est établi que l'inexécution ou le retard dans l'exécution provient, en tout ou partie, d'une cause étrangère aux capacités de mise en conformité ". Enfin, selon les paragraphes 4 et 5 de l’article précité, " la décision prononçant la liquidation de l’astreinte est précédée d’une procédure écrite au cours de laquelle la formation restreinte porte à la connaissance du responsable de traitement ou du sous-traitant les motifs de la liquidation envisagée et son montant. Le responsable du traitement ou le sous-traitant dispose d'un délai de quinze jours à compter de la date de notification des motifs de la liquidation et de son montant pour transmettre à la formation restreinte ses observations écrites ". ## Sur les motifs de la liquidation La formation restreinte relève que la commune ne lui a transmis aucun élément permettant d’attester de la désignation d’un délégué à la protection des données. Par conséquent, la formation restreinte considère que la commune n’a pas satisfait à l’injonction prononcée par la délibération n° SAN-2023-018 du 12 décembre 2023. ## Sur le montant de l’astreinte à liquider Compte tenu de l’absence de mise en conformité de X, la formation restreinte considère qu’il y a lieu de liquider l’astreinte à hauteur de six mille neuf cents euros (6 900 euros) au titre de la période du 19 février 2024 au 4 avril 2024. ## Sur la publicité Il convient de rendre publique la présente délibération afin d’informer des suites données au prononcé de l’injonction de la sanction n°SAN-2023-018 du 12 décembre 2023, elle-même publiée. # PAR CES MOTIFS La formation restreinte de la CNIL, après en avoir délibéré, décide de : - **procéder à la liquidation de l’astreinte prononcée à l’encontre de X pour un montant de six mille neuf cents euros (6 900 euros) au titre de la période du 19 février 2024 au 4 avril 2024 ; - **rendre publique, sur le site de la CNIL et sur le site de Légifrance, la présente délibération, qui n’identifiera plus nommément X à l’expiration d’un délai d’un an à compter de sa publication ; Le président Philippe-Pierre CABOURDIN Conformément à l’article R.421-7 du code de justice administrative, cette décision est susceptible de faire l’objet d’un recours devant le Conseil d’Etat dans un délai de trois mois à compter de sa notification.