Comment se déroule un contrôle de la CNIL ?

Introduction

Le contrôle est le point où la documentation prend sa valeur. Une organisation qui dispose de son registre, de ses accords de sous-traitance et de ses procédures se trouve dans une position radicalement différente de celle qui doit tout reconstituer.

Les quatre modalités

Le contrôle sur place, dans les locaux de l’organisme, avec accès aux systèmes et aux documents.

Le contrôle sur pièces, par demande écrite de communication de documents.

Le contrôle sur convocation, dans les locaux de la CNIL.

Le contrôle en ligne, consistant à constater depuis l’extérieur l’état d’un site ou d’une application, notamment pour les traceurs et les mentions d’information.

Cette dernière modalité explique le volume important de procédures portant sur les bandeaux cookies : le constat se fait sans contact avec l’organisme.

Le déclenchement

Le programme annuel des contrôles, qui identifie des thématiques prioritaires publiées par la CNIL.

Les plaintes reçues, qui constituent la première source.

L’actualité, notamment après une violation de données notifiée ou médiatisée.

Le suivi d’une décision antérieure.

Le déroulement d’une visite sur place

Les agents présentent leur ordre de mission et leur habilitation.

Ils informent le responsable de son droit de s’opposer à la visite, auquel cas celle-ci ne peut avoir lieu que sur autorisation du juge des libertés et de la détention.

Ils peuvent accéder aux locaux professionnels, demander communication de tout document utile, en prendre copie, accéder aux programmes informatiques et aux données, et en obtenir la transcription.

Un procès-verbal est établi, décrivant les constatations et les documents recueillis. Il est signé, une copie étant remise.

Les réflexes utiles

Prévenir la direction et le conseil dès l’arrivée des agents.

Désigner un interlocuteur unique, généralement le délégué à la protection des données lorsqu’il existe.

Répondre précisément aux questions posées, sans anticiper ni développer au-delà.

Vérifier la teneur du procès-verbal avant signature et faire consigner les observations utiles.

Conserver copie de tous les documents remis.

La faculté d’opposition

Le responsable peut s’opposer à la visite.

Cette faculté existe mais s’exerce rarement : elle conduit à une autorisation judiciaire, retarde sans empêcher, et constitue un signal défavorable dans l’appréciation ultérieure de la coopération.

Elle peut se justifier ponctuellement, notamment en cas d’irrégularité manifeste de la procédure.

Les limites du droit de communication

L’entrave à l’action de la CNIL est pénalement sanctionnée : refus de communication, dissimulation, destruction de documents.

Le secret professionnel de l’avocat demeure opposable : les correspondances avec le conseil et les consultations juridiques n’ont pas à être communiquées.

Cette limite doit être invoquée précisément, document par document, et non de manière générale.

Les suites

La clôture sans suite.

Une mesure de rappel aux obligations légales, qui constitue un avertissement documenté.

Une mise en demeure, fixant un délai pour se conformer. Elle peut être rendue publique.

L’engagement d’une procédure de sanction devant la formation restreinte.

Une injonction de cesser le traitement, dans les cas les plus graves, le cas échéant sous astreinte.

Le facteur déterminant

Dans l’appréciation des suites, la coopération et l’existence d’une documentation préalable pèsent lourdement.

Une organisation qui produit immédiatement son registre, ses analyses de base légale et ses accords de sous-traitance démontre une démarche antérieure au contrôle.

Une organisation qui reconstitue ces éléments après la visite démontre l’inverse, indépendamment de la qualité des documents produits.

Se préparer avant, pas pendant

La qualité de la réponse dépend de ce qui existait avant la visite. Notre expertise RGPD et protection des données personnelles accompagne ces procédures.

En résumé

• Quatre modalités : sur place, sur pièces, sur convocation, en ligne.
• La visite peut être inopinée ; l’opposition conduit à une autorisation judiciaire.
• L’entrave est pénalement sanctionnée ; le secret de l’avocat reste opposable.
• Les suites vont de la clôture sans suite à la sanction, en passant par la mise en demeure.
• La documentation préexistante et la coopération pèsent directement sur l’issue.