Sous réserve des actes d'exécution adoptés par la Commission européenne en application de l'article 67 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, les communications entre la Commission nationale de l'informatique et des libertés et les autres autorités de contrôle ou entre la Commission nationale de l'informatique et des libertés et le comité européen de la protection des données se font par tout moyen électronique permettant d'attester la date de réception.
Si cette communication s'avère longue ou difficile en raison de la nature ou du volume des informations échangées, la commission transmet ces informations par tout moyen ou les tient à disposition des autres autorités de contrôle ou du comité européen de la protection des données.

Lorsqu'elle notifie sa décision finale au mis en cause , la commission y joint, le cas échéant, la décision du comité européen de la protection des données.

Le président de la commission soumet sans tarder aux autorités de contrôle concernées le projet d'avertissement prévu au I de l'article 20 de la loi du 6 janvier 1978 susvisée le projet de rappel aux obligations légales ou le projet de mise en demeure prévus au II de ce même article.

Si les objections des autorités de contrôle concernées tendent à ce que soit prononcée une mesure prévue au titre du III de l'article 20 de la loi du 6 janvier 1978 susvisée en lieu et place de la mesure initialement proposée en application du II de l'article 20 de la même loi, le président de la commission, s'il décide de suivre ces objections, désigne sans tarder un rapporteur qui instruit l'affaire en tenant compte de ces objections dans les conditions prévues selon la procédure applicable, aux articles 40 et 45-1. La formation restreinte son président ou le membre qu'il a désigné à cet effet adopte une décision finale dans les conditions prévues à l'article 56.

Si le président de la commission n'entend pas suivre ces objections, il adresse au mis en cause, avant de saisir le comité européen de la protection des données en application de l'article 65 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, toutes les informations utiles sur le projet de décision qu'il avait préparé ainsi que les objections formulées par les autorités de contrôle concernées. Le mis en cause dispose d'un délai de quinze jours, renouvelable une fois, pour faire part de ses observations, qui sont transmises au comité lors de sa saisine.

Si la décision contraignante du comité implique l'adoption par la commission d'une mesure relevant du II de l'article 20, le président de la commission prononce ladite mesure . Si la décision contraignante du comité implique l'adoption par la commission d'une mesure prévue par le III de l'article 20, le président de la commission saisit la formation restreinte ou son président, selon la procédure retenue, dans les conditions prévues aux articles 40 et 45-1.

La formation restreinte, son président ou le membre qu'il a désigné à cet effet communique aux autorités de contrôle concernées le rapport et les informations utiles mentionnés au premier alinéa de l'article 27 de la loi du 6 janvier 1978 susvisée, au plus tard un mois après la notification du rapport au mis en cause et au président de la formation restreinte ou au membre qu'il a désigné à cet effet.

Les autorités de contrôle concernées sont informées de la date de la séance de la formation restreinte prévue à l'article 40 et, le cas échéant, de la séance prévue à l'article 45-2, en même temps que le mis en cause. Elles reçoivent toute information utile, notamment les observations en défense du mis en cause. Elles sont mises en mesure d'assister à la séance par le biais d'outils de visioconférence ou communication électronique permettant leur identification, ou de prendre connaissance du procès-verbal dressé à l'issue de la séance.

La formation restreinte, son président ou le membre qu'il a désigné à cet effet soumet sans tarder le projet de décision aux autres autorités de contrôle.

Si les objections des autorités de contrôle concernées proposent de s'écarter du projet de décision mentionné à l'article 54 par la prise en compte d'une circonstance de fait nouvelle, l'ajout d'un manquement ou une aggravation de la mesure correctrice proposée, la formation restreinte, son président ou le membre qu'il a désigné à cet effet rouvre l'instruction et communique sans tarder ces objections au rapporteur désigné en application des articles 22 et 22-1 de la loi du 6 janvier 1978 susvisée, afin qu'il fasse part de ses observations et, le cas échéant, modifie son rapport. Le mis en cause dispose d'un délai de quinze jours, renouvelable une fois sur décision du président de la formation restreinte ou du membre qu'il a désigné à cet effet, pour faire part de ses observations. La formation restreinte, son président ou le membre qu'il a désigné à cet effet délibère ensuite sur la prise en compte des objections.

S'il estime que les objections des autorités de contrôle concernées justifient l'adoption de mesures correctrices dépassant les plafonds prévus à l'alinéa 2 de l'article 22-1 de la loi du 6 janvier 1978 susvisée, le président de la formation restreinte ou le membre qu'il a désigné à cet effet interrompt la procédure simplifiée et en informe le président de la commission pour que ce dernier engage la procédure prévue aux articles 39 à 45 du présent décret.

Si la formation restreinte, son président ou le membre qu'il a désigné à cet effet décide de rejeter les objections des autorités, le comité européen de la protection des données est saisi en application de l'article 65 du règlement (UE) 2016/679 du 27 avril 2016 susvisé.

Au terme des procédures prévues par les articles 60 et 65 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, la formation restreinte, son président ou le membre qu'il a désigné à cet effet arrête sa décision finale. Cette décision mentionne, le cas échéant, les échanges entre les autorités de contrôle ou avec le comité européen de la protection des données.

A réception d'un projet de mesure correctrice d'objet équivalent à celles définies au III de l'article 20 de la loi du 6 janvier susvisée, émis par une autorité de contrôle chef de file, le président de la formation restreinte, saisi par le président de la commission, peut soit réunir cette dernière en vue d'émettre, le cas échéant, des objections pertinentes et motivées, soit traiter le cas ou le confier à un membre de la formation restreinte désigné par lui.

Les délais prévus à l'article 40 ne sont pas applicables à la procédure régissant les mesures prises en vertu du II de l'article 21 de la loi du 6 janvier 1978 susvisée.

Par dérogation à l'article 40, le mis en cause dispose d'un délai de huit jours pour transmettre à la formation restreinte ses observations écrites.

Par dérogation à l'article 40, la convocation du mis en cause doit lui être parvenue au plus tard huit jours avant la date de son audition devant la formation restreinte.

Par dérogation à l'article 55, le délai dont dispose le mis en cause pour transmettre à la formation restreinte ses observations écrites est fixé à huit jours.

La formation restreinte communique la mesure provisoire adoptée ainsi que sa durée de validité, qui ne peut excéder trois mois conformément au 1 de l'article 66 du règlement (UE) 2016/679 du 27 avril 2016 susvisé, aux autorités de contrôle concernées, au comité européen de la protection des données et à la Commission européenne. Elle la notifie au mis en cause par tout moyen permettant à la commission d'attester la date de notification.

Cette décision est communiquée au président de la commission et au rapporteur.

Le président de la formation restreinte réunit cette dernière afin qu'elle délibère au vu d'un rapport sur la nécessité d'adopter une mesure définitive. La formation restreinte peut, en la motivant, saisir le comité européen de la protection des données d'une demande avis ou de décision.