Contrôle de la CNIL

Se préparer à un contrôle de la CNIL

Charte des contrôles

La CNIL a publié au mois d’août 2020 une Charte des contrôles afin « d’assurer une plus grande transparence et de favoriser le bon déroulement des investigations ». Elle a pour objectifs de rappeler les droits et obligations des organismes qui font l’objet d’un contrôle, au regard de la loi Informatique et libertés et du RGPD. Une nouvelle version de la charte est disponible depuis juin 2022 (Charte des contrôles de la CNIL, 27 juin 2022).

Procédure d’anticipation d’un éventuel contrôle sur place

Le DPO doit anticiper et mettre en place dans l’organisme une procédure à suivre en cas de contrôle inopiné de la CNIL. Cette procédure devrait, si possible, figurer sur l’intranet, en particulier en l’absence du DPO. Le DPO peut être le responsable des lieux, c’est-à-dire la personne qui est habilitée au sein de l’organisme à représenter le responsable du traitement ou le sous-traitant et accompagner les agents de la CNIL lors du contrôle. Ainsi, lors de sa prise de fonction, le DPO devrait obtenir une délégation de pouvoir en ce sens. De plus, il doit sensibiliser les membres du personnel aux dispositions du RGPD et de la loi Informatique et libertés par le biais de formations, notamment sur le déroulement d’un contrôle.

Exemple de procédure

Maîtriser le déroulement d’un contrôle sur place

La présence du DPO lors d’un contrôle de la CNIL est un atout pour l’organisme concerné. En effet, le DPO qui connaît les problématiques liées aux données à caractère personnel va assister et mettre en exergue auprès de la CNIL les mesures prises au sein de l’entreprise pour assurer le respect de la législation en vigueur.

Contrôle de l’identité des agents de la CNIL

En premier lieu, en cas de contrôle de la CNIL, le DPO doit vérifier l’identité des agents via leur carte professionnelle et/ou la décision d’habilitation de la CNIL désignant nommément les agents pouvant procéder à des missions de vérification (L. n° 78-17, 10 janv. 1978, art. 10 ).

Cette décision donne lieu à une délibération publiée au Journal officiel, actualisée et figurant sur le site internet de la CNIL (Délib. n° HAB-2022-006, 3 nov. 2022 : JO, 11 nov.). L’habilitation est délivrée en principe pour une durée de 5 ans renouvelable, à condition que l’agent concerné n’ait pas fait l’objet d’une condamnation à une peine correctionnelle ou criminelle inscrite au bulletin n^o 2 du casier judiciaire ( D. n^o 2019-536, 29 mai 2019, art. 16 et 17 : JO, 30 mai).

A noter que les membres de la CNIL peuvent également être désignés pour procéder à ces missions de contrôle (L. n° 78-17, 10 janv. 1978, art. 19, I).

Certains contrôles nécessitent des habilitations particulières. Les agents qui procèdent à des vérifications portant sur des traitements de données à caractère personnel qui concernent la sûreté de l’État, la défense, la sécurité publique ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales, l’exécution des condamnations pénales ou des mesures de sûreté, doivent bénéficier d’une habilitation spécifique délivrée par le Premier ministre (Déc. du Premier ministre 4 févr. 2022 : JO, 6 févr.). De même, les agents appelés dans le cadre de l’exécution de leur mission, à prendre connaissance d’informations classifiées au titre de la protection du secret de défense nationale, doivent y être habilités par le Premier ministre dans les conditions fixées par le code de la défense ( D. n^o 2019-536, 29 mai 2019, art. 23).

En pratique, la délégation de la CNIL comprend a minima un informaticien et un juriste.

Le DPO va ensuite conduire les agents de la CNIL à l’intérieur des locaux dans une salle dédiée afin de connaître les raisons du contrôle, et ce conformément à la procédure d’anticipation mise en place au sein de l’organisme.

Informations délivrées par la délégation de contrôle de la CNIL

De leur côté, les agents de la CNIL vont, conformément à leur procédure, indiquer au DPO la raison de leur venue par la communication de l’ordre de mission et la décision du président de la CNIL relative à cette mission de contrôle. Le DPO interne à l’organisme peut être assisté de son équipe et/ou de son avocat lors du contrôle.

Les agents de la CNIL doivent également informer le responsable des locaux et/ou le DPO (qui le représente) de son droit d’opposition à cette visite. Cette information se matérialise par la signature d’un document d’information.

Enfin, la CNIL doit informer le responsable du traitement ou le sous-traitant lorsque le contrôle est effectué à la demande d’un de ses homologues européens. La Commission doit aussi les informer du fait que les informations recueillies ou détenues par elle sont susceptibles d’être communiquées à cette autre autorité de contrôle dans le cadre du mécanisme de contrôle de la cohérence prévu par le RGPD et ce, que le contrôle ait été effectué à la demande d’une autre autorité de contrôle ou à la demande de la CNIL ( D. n^o 2019-536, 29 mai 2019, art. 30 : JO, 30 mai).

Pouvoirs des agents habilités de la CNIL lors d’un contrôle

Les membres et agents habilités de la CNIL peuvent :

• demander communication de tous documents nécessaires à l’accomplissement de leur mission, quel qu’en soit le support, et en prendre copie (L. n° 78-17, 10 janv. 1978, art. 19, III) ;
• recueillir sur place tout renseignement juridique ou technique, toute justification utile leur permettant d’apprécier le respect des dispositions en matière de protection des données personnelles ;
• accéder aux programmes informatiques et aux données, et en demander la transcription ;
• demander copie de contrats tels que les contrats de sous-traitance informatique, de formulaires, de dossiers papiers, de bases de données, etc. ;
• échanger avec les membres du personnel (DPO, chef de service, informaticien, etc.).

Ils peuvent être assistés par des experts désignés par la CNIL.

Gérer les suites du contrôle effectué

Procès-verbal du contrôle

En fin de contrôle, un procès-verbal est dressé par les agents de la CNIL (L. n° 78-17, 10 janv. 1978, art. 19, III ; D. n^o 2019-536, 29 mai 2019, art. 31 : JO, 30 mai).

Il est dressé contradictoirement en cas de contrôle sur place ou sur convocation, c’est-à-dire que le responsable des lieux ou son représentant (DPO) peut émettre des observations ou réserves.

Ce procès-verbal énonce la nature, le jour, l’heure et le lieu des contrôles effectués. Il précise également l’objet de la mission, les membres présents, les personnes rencontrées, leurs déclarations, les demandes formulées par les agents de la CNIL et les éventuelles difficultés rencontrées. L’inventaire des documents dont les agents de la CNIL ont pris copie est annexé au procès-verbal.

Lorsque le contrôle n’a pas pu s’effectuer, il est fait mention dans le procès-verbal des motifs ayant empêché ou entravé son déroulement, ainsi que, le cas échéant, des motifs de l’opposition du responsable des lieux ou de son représentant.

Le procès-verbal est signé par les contrôleurs de la CNIL et par le responsable des lieux ou son représentant (le DPO). En cas de refus ou d’absence de signature, il en est fait état dans le procès-verbal.

Ensuite, le procès-verbal est notifié au responsable des lieux (DPO) et au responsable des traitements ou au sous-traitant par lettre recommandée avec demande d’avis de réception. Le DPO a la possibilité de préciser certains points à la suite du procès-verbal, et ce notamment quand il n’a pas pu y assister.

Le DPO devra ensuite récupérer les documents demandés et fournir des explications supplémentaires dans un courrier. Il peut profiter de cette réponse pour clarifier une situation qui n’avait pas pu l’être lors du contrôle, en particulier en son absence.

Cette étape de la procédure est très importante car elle peut conditionner une clôture de dossier ou au contraire, en l’absence de documents et explications, une poursuite de la procédure.

Clôture du contrôle

Lorsque les constatations effectuées lors du contrôle n’appellent pas d’observations particulières ou lorsque les manquements observés par les contrôleurs ne justifient pas l’engagement d’une procédure contentieuse, il est procédé à la clôture du contrôle (CNIL, Règl. int., art. 58). Cette clôture s’effectue par courrier simple du président ou du vice-président délégué de la CNIL. Cette lettre peut contenir des recommandations (ex. : modification des durées de conservation des données, des mesures de sécurité, etc.).

Avertissement et rappel à l’ordre par le président de la CNIL

Le président de la CNIL peut avertir un responsable de traitement ou un sous-traitant que les opérations de traitement qu’il envisage de mettre en œuvre sont susceptibles de violer les dispositions du RGPD (L. n° 78-17, 10 janv. 1978, art. 20, I).Le président peut également rappeler à l’ordre un responsable de traitement ou un sous-traitant (L. n° 78-17, 10 janv. 1978, art. 20, II, 1^er al.).

Ces mesures constituent ainsi, pour les manquements les moins graves, une alternative au prononcé d’une mise en demeure.

Mise en demeure pour les manquements constatés

Si les agents de la CNIL qui instruisent le dossier de contrôle constatent que le responsable du traitement ou le sous-traitant n’a pas répondu ou que les réponses apportées confirment le manquement, une procédure de mise en demeure peut être décidée par le président de la CNIL. La mise en demeure caractérise le ou les manquements du responsable de traitement ou du sous-traitant, précise le délai pour qu’il se mette en conformité ainsi que les conséquences de son non-respect (L. n° 78-17, 10 janv. 1978, art. 20  ; D. n^o 2019-536, 29 mai 2019, art. 38 : JO, 30 mai ; CNIL, Règl. int., art. 59 et 60).

Même si la mise en demeure n’est pas en soi une sanction, elle semble l’être dans les faits en raison de sa publication sur le site de la CNIL pouvant porter atteinte à l’image de l’organisme et entraîner une perte de confiance des clients.

Si l’organisme répond à la CNIL en prenant des mesures pour se conformer aux prescriptions du RGPD et de la loi Informatique et libertés dans le délai imparti, une clôture du dossier pourra être envisagée et cette décision de la CNIL pourra être rendue publique (CNIL, Règl. int., art. 60).

En revanche, en cas d’absence de réponse à la mise en demeure ou de non-respect de ses injonctions, le dossier peut également être transmis à la formation restreinte (l’organe de sanction de la CNIL), qui peut prononcer des sanctions administratives en fonction de la gravité du manquement. Cette transmission à la formation restreinte n’est pas exclusive d’une dénonciation au parquet comme le prévoit l’article 40 du code de procédure pénale.

Conservation de documents obtenus lors du contrôle

Les données et documents dont il a été pris copie lors du contrôle sont conservés dans des conditions garantissant leur authenticité, leur intégrité et leur confidentialité, quel qu’en soit le support. Ils sont détruits en principe un an après la clôture du contrôle, sous réserve d’éventuels contentieux (CNIL, Règl. int., art. 57).