L’article 22 de la loi n° 78-17 du 6 janvier 1978 fixe la procédure selon laquelle la formation restreinte de la Commission nationale de l’informatique et des libertés peut prononcer des sanctions à l’encontre des responsables de traitement de données ou de leurs sous-traitants en cas de manquement à leurs obligations, en matière de protection des données à caractère personnel, sur la base d’un rapport établi par l’un des membres de l’autorité administrative indépendante.
En application des dispositions contestées de cet article, le responsable du traitement ou son sous-traitant peut présenter des observations en réponse au rapport qui lui est notifié. En outre, il peut être entendu par la formation restreinte si elle juge son audition utile à son information. En revanche, ni ces dispositions ni aucune autre disposition législative ne prévoient que la personne mise en cause est informée de son droit de se taire.
Lorsqu’elle produit des observations en réponse au rapport qui lui est notifié ou lorsqu’elle est entendue devant la formation restreinte, la personne mise en cause peut être amenée à reconnaître les manquements qui lui sont reprochés. En outre, le fait même qu’elle soit invitée à présenter ses observations ou entendue peut être de nature à lui laisser croire qu’elle ne dispose pas du droit de se taire.
Or la formation restreinte prend connaissance des observations déposées par la personne mise en cause en réponse à la notification du rapport et reçoit celles qui sont faites devant elle.
Dès lors, en ne prévoyant pas que la personne physique ou, le cas échéant, le représentant légal de la personne morale mise en cause devant la formation restreinte doit être informé de son droit de se taire, les dispositions contestées méconnaissent les exigences de l’article 9 de la Déclaration de 1789. Par conséquent, elles doivent être déclarées contraires à la Constitution.