Lorsqu'elle a constaté des manquements aux obligations incombant au responsable du traitement ou au sous-traitant en vertu du règlement (UE) 2016/679 susvisé ou de la loi n° 78-17 du 6 janvier 1978 susvisée, l'autorité de contrôle peut délivrer une mise en demeure.
La mise en demeure précise les manquements relevés et fixe le délai au terme duquel le responsable du traitement ou le sous-traitant est tenu de les faire cesser. Ce délai ne peut, sauf urgence, être inférieur à dix jours. Il court à compter du jour de la réception par le responsable du traitement ou du sous-traitant de la mise en demeure. Lorsque la complexité de l'affaire le justifie, ce délai peut être prolongé une fois.
La mise en demeure est adressée au responsable du traitement ou au sous-traitant par tout moyen permettant à l'autorité de contrôle d'apporter la preuve de la date de cette notification.
Lorsque la mise en demeure a pour origine une réclamation ou une plainte, l'identité de son auteur n'est pas communiquée au responsable de traitement ou au sous-traitant, à moins que cela ne soit nécessaire à la cessation du ou des manquements constatés.

Lorsqu'une mesure correctrice prévue aux 1°, 2° à l'exception des astreintes journalières, et 3° à 6° du IV de l'article 20 de la loi du 6 janvier 1978 susvisée est susceptible d'être prononcée, l'autorité de contrôle désigne un rapporteur choisi parmi les membres des juridictions mis à disposition dans les conditions prévues aux articles L. 115-1 du code de justice administrative, L. 453-1 et L. 453-2 du code de l'organisation judiciaire et L. 111-18 du code des juridictions financières, et en informe le responsable de traitement ou le sous-traitant mis en cause.
Le rapporteur peut solliciter du mis en cause la communication de toute pièce ou information qu'il estime utile.
Le mis en cause peut être entendu si le rapporteur l'estime utile. Son audition donne lieu à l'établissement d'un procès-verbal qu'il signe. En cas de refus de signer, il en est fait mention par le rapporteur. Les personnes entendues peuvent être assistées d'un conseil de leur choix. Le rapporteur peut entendre toute autre personne dont l'audition lui paraît utile.
Sur demande du rapporteur, l'autorité de contrôle peut décider de procéder à des contrôles complémentaires, en sollicitant du mis en cause la communication de toute pièce ou information qu'elle estime utile, en procédant à des vérifications portant sur toutes les opérations de traitements relevant de sa compétence, et, le cas échéant, en prenant des copies de tous documents ou supports d'information utiles à ses missions.
Au terme de ses diligences, le rapporteur décide soit de mettre fin à la procédure soit d'établir un rapport de sanction.
Lorsqu'il met fin à la procédure, il en informe l'autorité de contrôle et le mis en cause.

I. - Les mesures correctrices envisagées telles que prévues aux 1°, 2° à l'exception des astreintes journalières, et 3° à 6° du IV de l'article 20, et aux 1° à 6°, à l'exception des astreintes journalières, et 7° du I de l'article 21 de loi du 6 janvier 1978 susvisée sont déterminées sur la base du rapport de sanction établi par l'autorité de contrôle. Ce rapport est notifié au mis en cause par tout moyen permettant à l'autorité de contrôle d'apporter la preuve de la date de cette notification.
Le mis en cause dispose d'un délai d'un mois, prolongeable une fois, à compter de la notification du rapport de sanction pour transmettre ses observations écrites et toute pièce utile au rapporteur et à l'autorité de contrôle.
Le rapporteur peut décider de poursuivre la procédure contradictoire écrite, et modifier son rapport et son projet de mesures correctrices. Chaque mémoire du rapporteur et du mis en cause est produit dans le délai d'un mois. Le mis en cause a toujours la possibilité de produire en dernier. L'autorité de contrôle est destinataire des observations et pièces échangées en application du présent alinéa.
Lorsque la procédure a pour origine une réclamation ou une plainte, l'identité de son auteur n'est communiquée au mis en cause que si la révélation de celle-ci est indispensable à la cessation du ou des manquements constatés ou lorsque les éléments de preuve opposés au mis en cause pour l'établissement du ou des manquements allégués ont été fournis par l'auteur de la plainte ou de la réclamation.
II. ‒ A tout moment, le rapporteur peut décider de mettre fin à la procédure s'il estime qu'il n'y a pas lieu de prononcer de mesure correctrice. Il en informe l'autorité de contrôle et le mis en cause.
III. ‒ Lorsqu'il estime le dossier en état, le rapporteur informe le mis en cause et l'autorité de contrôle que l'instruction est close. Sauf report de la clôture par l'autorité de contrôle, les observations écrites complémentaires sont déclarées irrecevables.
IV. - L'autorité de contrôle peut également recueillir les observations du mis en cause lors d'une audition, au cours de laquelle le mis en cause et, le cas échéant, son conseil ou tout expert désigné par le mis en cause sont invités à présenter des observations à l'appui de leurs mémoires. Lors de la séance, le rapporteur peut présenter des observations orales sur l'affaire. L'autorité de contrôle peut également entendre toute personne dont elle estime l'audition utile. Dans tous les cas, le mis en cause et, le cas échéant, son conseil doivent pouvoir prendre la parole en dernier. Lorsque l'autorité de contrôle s'estime insuffisamment éclairée, elle peut demander au rapporteur de poursuivre ses diligences.

La décision de l'autorité de contrôle énonce les considérations de droit et de fait sur lesquels elle est fondée. Elle indique les voies et délais de recours.
Elle est notifiée au mis en cause par tout moyen permettant d'attester la date de sa notification.
Lorsque l'autorité de contrôle décide de publier sa décision, cette publication peut intervenir dès la notification de la décision au mis en cause. La décision ainsi publiée indique qu'elle est susceptible de recours.