I. - Le président de la Commission nationale de l'informatique et des libertés peut avertir un responsable de traitement ou son sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi.

II. - Lorsque le responsable de traitement ou son sous-traitant ne respecte pas les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité oude la présente loi, le président de la Commission nationale de l'informatique et des libertés peut, si le manquement constaté est susceptiblede faire l'objet d'une mise en conformité, prononcer à son égard une mise en demeure,dans le délai qu'il fixe: 1° De satisfaire aux demandes présentées par la personne concernée en vued'exercer ses droits ; 2° De mettre les opérations de traitement en conformité avec les dispositions applicables ; 3° A l'exception des traitements qui intéressent la sûreté de l'Etat ou la défense, de communiquer àla personne concernée une violationde données à caractère personnel ; 4° De rectifier ou d'effacer des données à caractère personnel, ou de limiter le traitement de ces données.

Dans le cas prévu au 4° du présent II, le président peut, dans les mêmes conditions, mettre en demeure le responsable de traitement ou son sous-traitant de notifier aux destinataires des données les mesures qu'il a prises.

Le délai de mise en conformité peut être fixé à vingt-quatre heures encas d'extrême urgence.

Le président prononce, le cas échéant, la clôture de la procédure de miseen demeure. Le président peut demander au bureau de rendre publique la mise en demeure. Dans ce cas, la décision de clôturede la procédure de miseen demeure fait l'objet de la même publicité.

III. - Lorsque le responsable de traitement ou son sous-traitantne respecte pas les obligations résultant du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de la présente loi, le président de la Commission nationale del'informatique et des libertés peut également, le cas échéant après lui avoir adressé l'avertissement prévu au I du présent article ou,le cas échéant en complémentd'une mise en demeure prévue au II, saisir la formation restreinte de la commissionen vue du prononcé, après ⏺ procédure contradictoire, de l'une ou de plusieurs des mesures suivantes : 1° Un rappel à l'ordre ; 2° Une injonction de mettre en conformité le traitement avec les obligations résultant dela présente loi ou du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité ou de satisfaire aux demandes présentéespar la personne concernéeen vue d'exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est misen œuvre par l'Etat, d'une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ;

3° A l'exception des traitements qui intéressent la sûreté de l'Etat ou la défenseou de ceux relevant du chapitre XIII de la présente loi lorsqu'ils sont mis en œuvre pour le compte del'Etat, la limitation temporaire ou définitive du traitement, son interdiction ou le retrait d'une autorisation accordée en applicationdu même règlement ou de la présente loi;

4° Le retrait d'une certification ou l'injonction,à l'organisme certificateur concerné, de refuserune certification ou de retirer la certification accordée ; 5° La suspension des fluxde données adressées à un destinataire situé dans un pays tiers ou à une organisation internationale;

6° La suspension partielle ou totale de la décision d'approbation des règles d'entreprise contraignantes ; 7° A l'exception des cas oùle traitement est mis en œuvre par l'Etat, une amende administrative ne pouvant excéder 10 millions d'euros ou, s'agissant d'une entreprise, 2 % du chiffre d'affaires annuel mondial totalde l'exercice précédent, le montantle plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l'article 83 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 précité, ces plafonds sont portés, respectivement, à 20 millions d'euroset 4 % dudit chiffre d'affaires. La formation restreinte prend en compte, dansla détermination du montant de l'amende, les critères précisés au même article 83. Le projet de mesure est, le cas échéant, soumis aux autres autorités de contrôle concernées selon les modalités définies à l'article 60 du même règlement.

I. - Lorsque leresponsable d'un traitement ⏺ ne respecte pas les obligations découlant de la présente loi, le président de la Commission nationale de l'informatique et des libertéspeut le mettre en demeure ⏺ de faire cesser le manquement constaté dans un délai qu'il fixe. En cas d'extrême urgence, ce délai peut être ramené à vingt-quatre heures.

Si le responsable du traitement se conforme à la mise…

Dans le cas contraire, la formation restreinte de la commission peut prononcer, après une procédure contradictoire, les sanctions suivantes :

1° Un avertissement ;

2° Une sanction pécuniaire, dans les conditions prévues à l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'Etat ;

3° Une injonction de cesser le traitement, lorsque celui-ci relève ⏺ de l'article 22, ou un retrait de l'autorisation accordée en application de l'article 25.

Lorsque le manquement constaté ne peut faire l'objet d'une mise en conformité dans le cadre d'une mise en demeure, la formation restreinte peut prononcer, sans mise en demeure préalable et après une procédure contradictoire, les sanctions prévues au présent I.

II. - Lorsque la mise en œuvre d'un traitement ou l'exploitation des données traitées entraîne une violation des droits et libertés mentionnés à l'article 1er, la formation restreinte ⏺, saisie par le président de la commission, peut, dans le cadre d'une procédure d'urgence⏺ définie par décret en Conseil d'Etat, après une procédure contradictoire:

1° Décider l'interruption de la mise en œuvre du traitement,…

2° Prononcer un avertissement visé au 1°du I ;

3° Décider le verrouillage de certaines des données à caractère…

4° Informer le Premier ministre pour qu'il prenne, le cas…

III. - En cas d'atteinte grave et immédiate aux droits et libertés mentionnés à l'article 1er, le président de la commission peut demander, par la voie du référé, à la juridiction compétente d'ordonner, le cas échéant sous astreinte, toute mesure ⏺ nécessaire à la sauvegarde de ces droits et libertés.

I. - La formation restreinte de la Commission nationale de l'informatique et des libertés peut prononcer, après une procédure contradictoire, un avertissement à l'égard du responsable d'un traitement qui ne respecte pas les obligations découlant de la présente loi. Cet avertissement a le caractère d'une sanction.

Le président de la commission peut également mettre en demeure ce responsable de faire cesser le manquement constaté dans un délai qu'il fixe. En cas d'urgence, ce délai peut être ramené à cinq jours.

Si le responsable du traitement ⏺ se conforme ⏺ à la mise en demeure qui lui est adressée, le président de la commission prononce la clôture de la procédure.

Dans le cas contraire, la formation restreinte peut prononcer à son encontre, après une procédure contradictoire, les sanctions suivantes :

1° Une sanction pécuniaire, dans les conditions prévues par l'article 47, à l'exception des cas où le traitement est mis en œuvre par l'Etat ;

2° Une injonction de cesser le traitement, lorsque celui-ci relève…

II. - Lorsquela mise en œuvre d'un traitement ou l'exploitation des données traitées entraîne une violation des droits et libertés mentionnés à l'article 1er, la formation restreintepeut, après une procédure contradictoire, engager une procédure d'urgence, définie par décret en Conseil d'Etat, pour :

1° Décider l'interruption de la mise en œuvre du traitement, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés aux I et ⏺ II de l'article 26⏺ ou de ceux mentionnés à l'article 27 mis en œuvre par l'Etat ;

2° Prononcer un avertissement visé au premier alinéa du I ;

3° Décider le verrouillage de certaines des données à caractère personnel traitées, pour une durée maximale de trois mois, si le traitement n'est pas au nombre de ceux qui sont mentionnés aux I et ⏺ II de l'article 26 ;

4° Informer le Premier ministre pour qu'il prenne, le cas échéant, les mesures permettant de faire cesser la violation constatée, si le traitement en cause est au nombre de ceux qui sont mentionnés aux mêmesI et ⏺ II de l'article 26 ; le Premier ministre fait alors connaître à la formation restreinteles suites qu'il a données à cette information au plus tard quinze jours après l'avoir reçue.

III. - En cas d'atteinte grave et immédiate aux droits…