Le chapitre II du titre IV est ainsi modifié :
1° Son intitulé est remplacé par l'intitulé : « Mesures et sanctions » ;
2° L'article 73 est ainsi modifié :
a) Le premier alinéa est supprimé ;
b) Au deuxième alinéa, après les mots : « au responsable du traitement », sont insérés les mots : « ou au sous-traitant » et les mots : « de la loi » sont remplacés par les mots : « du règlement (UE) 2016/679 du 27 avril 2016 précité ou de la loi du 6 janvier 1978 susvisée » ;
c) Au troisième alinéa, après les mots : « le responsable du traitement », sont insérés les mots : « ou le sous-traitant » et le mot : « trois » est remplacé par le mot : « six » ;
d) Au dernier alinéa, après les mots : « au responsable du traitement », sont insérés les mots : « ou au sous-traitant » ;
3° L'article 74 est ainsi modifié :
a) Au premier alinéa, les mots : « répondant aux exigences mentionnées au II de l'article 14 de la loi du 6 janvier 1978 susvisée » sont remplacés par les mots : « en informe le responsable de traitement ou le sous-traitant mis en cause » ;
b) Au second alinéa, après les mots : « Le responsable du traitement », sont insérés les mots : « ou le sous-traitant » et après les mots : « du responsable du traitement », sont insérés les mots : « ou du sous-traitant » ;
4° L'article 75 est ainsi modifié :
a) Au premier alinéa, la référence : « 46 » devient la référence : « 47 » et après les mots : « au responsable du traitement », sont insérés les mots : « ou au sous-traitant » ;
b) Au deuxième alinéa, après les mots : « le responsable du traitement », sont insérés les mots : « ou le sous-traitant » et la deuxième phrase est supprimée ;
c) L'article est complété par trois alinéas ainsi rédigés :
« Le rapporteur peut répondre au responsable du traitement ou au sous-traitant dans les quinze jours suivant la réception des observations du mis en cause. Le responsable du traitement ou le sous-traitant dispose d'un nouveau délai de quinze jours pour, le cas échéant, produire des observations écrites. La formation restreinte est destinataire des courriers et pièces échangées en application du présent alinéa.
« Le responsable du traitement ou le sous-traitant est informé que passés les délais mentionnés aux alinéas précédents, sauf report de la clôture de l'instruction, l'instruction est close et ses observations écrites seront déclarées irrecevables par la formation restreinte.
« A tout moment, le rapporteur peut décider de modifier son rapport, notamment, au vu d'éléments portés à sa connaissance par le responsable du traitement ou le sous-traitant. Il est alors fait application de la procédure prévue aux alinéas précédents. Si la modification intervient après la clôture de l'instruction, l'instruction est rouverte. » ;
5° L'article 76 est ainsi modifié :
a) A la première phrase, après les mots : « le responsable du traitement », sont insérés les mots : « ou le sous-traitant » et les mots : « par lettre remise contre signature, ou remise en main propre contre récépissé ou acte d'huissier » sont remplacés par les mots : « par tout moyen permettant d'attester la date de sa notification » ;
b) A la deuxième phrase, le mot : « lettre » est remplacé par le mot : « information » ;
c) A la troisième phrase, après les mots : « En cas de réexamen », sont ajoutés les mots : « ou de report » ;
d) La dernière phrase est supprimée ;
6° L'article 77 est ainsi modifié :
a) Au premier alinéa, après les mots : « le responsable du traitement », sont insérés les mots : « ou le sous-traitant » et au début de la deuxième phrase, sont ajoutés les mots : « Lorsqu'il assiste à la séance, » ;
b) Le deuxième alinéa est supprimé ;
7° Au deuxième alinéa de l'article 78, les mots : « lettre remise contre signature, ou remise en main propre contre récépissé ou acte d'huissier » sont remplacés par les mots : « tout moyen permettant d'attester la date de sa notification » et les mots : « commissaire du Gouvernement » sont remplacés par les mots : « président de la commission » ;
8° Après l'article 78, il est inséré un article 78-1 ainsi rédigé :
« Art. 78-1.-Les dispositions du présent chapitre sont applicables lorsqu'est mis en cause un organisme de certification ou un organisme chargé du respect d'un code de conduite en application de l'article 48 de la loi du 6 janvier 1978 susvisée. » ;
9° L'article 79 est ainsi modifié :
a) Au premier alinéa, les mots : « de la dernière phrase de l'article 76 » sont remplacés par les mots : « des troisième et quatrième alinéas de l'article 75 » et les mots : « 1°, 2° et 3° du II de l'article 45 » sont remplacés par les mots : « 1° à 7° du I de l'article 46 » ;
b) Au deuxième alinéa, après les mots : « le responsable du traitement », sont insérés les mots : « ou le sous-traitant » et le mot : « quinze » est remplacé par le mot : « huit » ;
c) Au troisième alinéa, après les mots : « le responsable du traitement », sont insérés les mots : « ou le sous-traitant » et le mot : « quinze » est remplacé par le mot : « huit » ;
10° L'article 80 est ainsi modifié :
a) Au premier alinéa, les mots : « sont mentionnés aux I et II de l'article 26 » sont remplacés par les mots : « intéressent la sûreté de l'Etat ou la défense ou de ceux relevant du chapitre XIII » et après les mots : « le responsable du traitement », sont insérés les mots : « ou le sous-traitant » ;
b) Au deuxième alinéa, après les mots : « le responsable du traitement », sont insérés les mots : « ou le sous-traitant » ;
11° Aux I et II de l'article 81, les mots : « III de l'article 45 » sont remplacés par les mots : « IV de l'article 46 » ;
12° Après l'article 81, il est inséré une section 5 ainsi rédigée :
« Section 5
« Coopération et assistance
« Sous-section 1
« Dispositions communes
« Art. 81-1.-Les articles 74 à 78 sont applicables à la présente section.
« Les sous-sections 2 et 3 s'appliquent lorsque la Commission nationale de l'informatique et des libertés entend adopter une mesure correctrice en tant qu'autorité chef de file au sens de l'article 56 du règlement (UE) 2016/679 du 27 avril 2016 précité pour les opérations de traitement relevant du champ d'application de ce règlement.
« Art. 81-2.-Sous réserve des actes d'exécution adoptés par la Commission européenne en application de l'article 67 du règlement (UE) 2016/679 du 27 avril 2016 précité, les communications entre la Commission nationale de l'informatique et des libertés et les autres autorités de contrôle ou entre la Commission nationale de l'informatique et des libertés et le comité européen de la protection des données se font par tout moyen électronique permettant d'attester la date de réception.
« Si cette communication s'avère longue ou difficile en raison de la nature ou du volume des informations échangées, la commission transmet ces informations par tout moyen ou les tient à disposition des autres autorités de contrôle ou du comité européen de la protection des données.
« Art. 81-3.-Lorsqu'elle notifie sa décision finale au responsable du traitement ou au sous-traitant, la commission y joint, le cas échéant, la décision du comité européen de la protection des données.
« Sous-section 2
« Avertissement et mise en demeure
« Art. 81-4.-Le président de la commission soumet sans tarder aux autorités de contrôle concernées le projet d'avertissement prévu au I de l'article 45 de la loi du 6 janvier 1978 susvisée ou le projet de mise en demeure prévu au II de ce même article.
« Art. 81-5.-Si les objections des autorités de contrôle concernées tendent à ce que soit prononcée une mesure prévue au titre du III de l'article 45 en lieu et place de la mesure initialement proposée en application du I ou du II de l'article 45, le président de la commission désigne sans tarder un rapporteur qui instruit l'affaire en tenant compte de ces objections dans les conditions prévues à l'article 75. La formation restreinte adopte une décision finale dans les conditions prévues à la sous-section suivante.
« Sous-section 3
« Formation restreinte
« Art. 81-6.-La formation restreinte communique aux autorités de contrôle concernées le rapport et les informations utiles mentionnés au premier alinéa de l'article 49-3 de la loi du 6 janvier 1978 susvisée, au plus tard une semaine après la notification prévue au premier alinéa de l'article 75.
« Les autorités de contrôle concernées sont informées de la date de la séance de la formation restreinte prévue à l'article 76 en même temps que le responsable du traitement ou le sous-traitant et reçoivent toute information utile, notamment les observations en défense du mis en cause. Elles sont mises en mesure d'assister à l'audition par le biais d'outils de visioconférence ou communication électronique permettant leur identification ou d'en prendre connaissance par le moyen d'un enregistrement. A défaut, un procès-verbal est dressé à son issue, dont elles peuvent prendre connaissance.
« Art. 81-7.-La formation restreinte soumet sans tarder le projet de décision aux autres autorités de contrôle.
« Art. 81-8.-Si les objections des autorités de contrôle concernées proposent de s'écarter du projet de décision mentionné à l'article 81-7 par la prise en compte d'une circonstance de fait nouvelle, l'ajout d'un manquement ou une modification de la nature de la mesure correctrice initialement proposée, la formation restreinte rouvre l'instruction et communique sans tarder au rapporteur ces objections afin qu'il complète son rapport et, le cas échéant, le modifie. L'affaire est instruite dans les conditions prévues aux articles 75 et suivants.
« Art. 81-9.-Au terme des procédures prévues par les articles 60 et 65 du règlement (UE) 2016/679 du 27 avril 2016 précité, la formation restreinte arrête sa décision finale. Cette décision mentionne, le cas échéant, les échanges entre les autorités de contrôle ou avec le comité européen de la protection des données.
« Sous-section 4
« La Commission nationale de l'informatique et des libertés en tant qu'autorité de contrôle concernée
« Art. 81-10.-A réception d'un projet de mesure correctrice émis par une autorité de contrôle chef de file, le président de la formation restreinte peut soit réunir cette dernière en vue d'émettre, le cas échéant, des objections pertinentes et motivées, soit traiter le cas ou le confier à un membre de la formation restreinte désigné par lui.
« Sous-section 5
« Procédure en cas de circonstances exceptionnelles
« Art. 82.-Les troisième et quatrième alinéas de l'article 75 ne sont pas applicables à la procédure régissant les mesures prises en vertu du II de l'article 46 de la loi du 6 janvier 1978 susvisée.
« Par dérogation au deuxième alinéa de l'article 75, le responsable du traitement ou le sous-traitant dispose d'un délai de huit jours pour transmettre à la formation restreinte ses observations écrites.
« Par dérogation à l'article 76, la convocation du responsable du traitement ou le sous-traitant doit lui être parvenue au plus tard huit jours avant la date de son audition devant la formation restreinte.
« Art. 82-1.-La formation restreinte communique la mesure provisoire adoptée ainsi que sa durée de validité, qui ne peut excéder trois mois conformément au 1 de l'article 66 du règlement (UE) 2016/679 du 27 avril 2016 précité, aux autorités de contrôle concernées, au comité européen de la protection des données et à la Commission européenne. Elle la notifie au responsable du traitement ou au sous-traitant par tout moyen permettant à la commission d'attester la date de notification.
« Cette décision est communiquée au président de la commission et au rapporteur.
« Art. 82-2.-Le président de la formation restreinte réunit cette dernière afin qu'elle délibère au vu d'un rapport sur la nécessité d'adopter une mesure définitive. La formation restreinte peut, en motivant sa demande, saisir le comité européen de la protection des données d'un avis ou d'une décision. »