La CNIL a le pouvoir d’effectuer des contrôles auprès de l’ensemble des organismes qui traitent des données à caractère personnel. Les entreprises privées, les associations ou encore les organismes publics peuvent ainsi faire l’objet d’un contrôle de la Commission.
Qui la CNIL peut-elle contrôler ?
La CNIL peut effectuer des contrôles auprès de tout organisme traitant des données à caractère personnel disposant d’un établissement en France, ou concernant des personnes résidant en France.
Le RGPD permet par ailleurs à la CNIL d’effectuer des vérifications auprès des prestataires sous-traitants, en charge de la mise en œuvre d’un traitement, pour le compte d’un organisme responsable de traitement (ex : hébergement, maintenance).
Comment la CNIL décide-t-elle de faire un contrôle ?
Les missions de contrôle effectuées durant l’année par la Commission peuvent avoir, de manière équilibrée, des origines différentes :
- Le programme annuel des contrôles : chaque année, la CNIL décide de porter son attention sur des grandes thématiques identifiées notamment en raison de leur impact sur la vie privée de nombreuses personnes. Ces thématiques sont portées à la connaissance du grand public et conduisent la CNIL, à l’issue du programme annuel, à communiquer sur les pratiques constatées lors des contrôles réalisés.
- Les réclamations et les signalements : la CNIL est destinataire de réclamations (plaintes) et de signalements (parfois anonymes) qui portent à sa connaissance des faits dont la conformité aux règles relatives à la protection des données personnelles est en question. Des contrôles sont ainsi réalisés pour vérifier ces pratiques et s’assurer, le cas échéant, du respect des droits des plaignants.
- Les initiatives : des investigations peuvent être menées dans le cadre de thématiques, identifiées notamment au regard de l’actualité, qui sont susceptibles de présenter des problématiques et des enjeux relatifs à la protection des données personnelles.
- Les dispositifs de vidéoprotection : au titre du code de la sécurité intérieure (CSI), la CNIL est compétente pour contrôler les caméras qui filment des lieux ouverts au public (ex : centre commercial, musée, etc.) et réserve chaque année une partie de son activité de contrôle à la vérification de ces dispositifs.
- Les procédures de contrôle clôturées, les mises en demeure et les sanctions : des investigations peuvent être menées à la suite d’une procédure de contrôle clôturée, d’une mise en demeure ou d’une sanction, notamment pour vérifier les mesures de mise en conformité adoptées par les organismes.
Qui réalise les missions de contrôle de la CNIL ?
L’habilitation délivrée par la Commission aux agents de ses services
- L’article 19 de la loi du 6 janvier 1978 modifiée prévoit que les agents des services de la CNIL qui sont appelés à participer à la mise en œuvre des missions de contrôle sont habilités par la Commission. Les membres de la CNIL peuvent également être désignés pour procéder à ces missions de contrôle.
- L’habilitation est accordée pour une durée de cinq ans renouvelable à condition que l’agent concerné n’ait pas fait l’objet d’une condamnation à une peine correctionnelle ou criminelle inscrite au bulletin n° 2 du casier judiciaire.
- La désignation d’un agent habilité des services de la CNIL pour procéder à une vérification auprès d’un organisme ne peut avoir lieu que si l’agent ne détient pas, ou n’a pas détenu au cours des trois années précédant cette vérification, un intérêt direct ou indirect avec cet organisme.
Les habilitations délivrées par le Premier ministre aux agents de la Commission
- Les agents qui procèdent à des vérifications portant sur des traitements de données à caractère personnel qui concernent la sûreté de l’Etat, la défense, la sécurité publique ou qui ont pour objet la prévention, la recherche, la constatation ou la poursuite des infractions pénales, l’exécution des condamnations pénales ou des mesures de sûreté, doivent bénéficier d’une habilitation spécifique délivrée par le Premier ministre.
- De même, les agents qui sont appelés à prendre connaissance d’informations classifiées au titre de la protection du secret de défense nationale, dans le cadre des missions de contrôle, doivent y être habilités par le Premier ministre.
Que se passe-t-il avant un contrôle de la CNIL ?
- La décision de procéder à une mission de contrôle est prise par le Président de la CNIL, sur proposition des services. Lorsque le contrôle se fait sur place, la décision du Président de la CNIL est notifiée au début du contrôle au responsable des lieux où se situent le ou les traitements qui font l’objet des vérifications.
- Lorsque le contrôle se déroule sur audition, la convocation doit parvenir à la personne auditionnée au moins 8 jours avant la date du contrôle. Cette convocation rappelle notamment à la personne convoquée qu’elle est en droit de se faire assister d’un conseil de son choix.
- Dans le cadre d’un contrôle sur place, le procureur de la République territorialement compétent est informé de la date, de l’heure et de l’objet du contrôle 24 heures avant que celui-ci ne débute.
- Il peut être demandé à l’organisme visé par un contrôle de communiquer préalablement des documents (ex. : moyens informatiques utilisés, organisation générale de l’organisme contrôlé).
- Les agents de la CNIL participant aux contrôles sont habilités dans les conditions prévues à l’article 19 de la loi et par les articles 57 à 60 du décret du 20 octobre 2005 modifié. Ils peuvent être assistés d’experts, comme par exemple des médecins. Certains contrôles nécessitent des habilitations particulières, notamment pour les fichiers couverts par le secret défense.
Que se passe-t-il pendant un contrôle de la CNIL ?
- L’objet d’un contrôle est de vérifier que les traitements mis en œuvre par l’organisme sont conformes aux dispositions de la loi du 6 janvier 1978 modifiée et du RGPD. Le contrôle peut également avoir pour but de vérifier la conformité d’un dispositif de vidéoprotection, en application du CSI, ainsi que celle des traitements mis en œuvre dans le cadre de la prospection commerciale, au moyen de système automatisé de communications électroniques, en application du code des postes et des communications électroniques (CPCE).
- A l’occasion d’une mission de contrôle, les agents ont vocation à prendre copie de toute information, technique et juridique, pour apprécier les conditions dans lesquelles sont mis en œuvre les traitements de données à caractère personnel.
- La délégation de la CNIL peut demander communication de tous documents nécessaires à l’accomplissement de sa mission, quel qu’en soit le support, et en prendre copie.
- Les agents de la CNIL peuvent s’entretenir avec tout personnel susceptible de détenir des informations utiles pour apprécier la conformité des traitements de données à caractère personnel (par exemple, échanger avec un chef de service, un opérationnel, un informaticien).
- Les contrôleurs peuvent accéder aux programmes informatiques et aux données, et en demander la transcription pour les besoins du contrôle.
- La délégation peut demander copie de contrats (ex.: contrats de location de fichiers, contrats de sous-traitance informatique), de formulaires, de dossiers papiers, de bases de données, etc.
- Un procès-verbal est établi à l’issue du contrôle et fait état de toutes les informations recueillies par la délégation et des constations qu’elle a réalisées. Il répertorie en annexe tous les documents qui ont été copiés dans le cadre du contrôle.
Lorsque la CNIL est empêchée de contrôler …
Dans le cadre d’un contrôle sur place, lorsqu’un responsable des locaux contrôlés s’oppose à la visite de la délégation, le Président de la Commission peut demander l’autorisation de poursuivre le contrôle au juge des libertés et de la détention (JLD) du Tribunal de Grande Instance (TGI), territorialement compétent.
Par ailleurs, lorsque l’urgence, la gravité des faits à l’origine du contrôle ou le risque de destruction ou de dissimulation de documents le justifie, le Président de la CNIL peut demander au JLD du TGI territorialement compétent une autorisation préventive pour effectuer le contrôle, sans que le responsable des locaux en ait été informé et ait eu la possibilité de s’y opposer.
L’article 51 de la loi du 6 janvier 1978 modifiée punit d’un an d’emprisonnement et de 15 000 € d’amende, l’entrave à l’action de la CNIL.
L’entrave à l’action de la CNIL est réalisée en cas :
- d’opposition à l’exercice des missions confiées aux membres ou agents habilités lorsque la visite a été autorisée par le juge des libertés et de la détention ;
- de refus de communiquer, de dissimulation ou de destruction des renseignements et documents utiles à la mission de contrôle ;
- de communication d’informations non conformes au contenu des enregistrements tel qu’il était au moment où la demande de la CNIL a été formulée ou présentation d’un contenu sous une forme qui n’est pas directement accessible.
Les secrets opposables aux agents de la CNIL
Dans le cadre des investigations menées, l’organisme ne peut pas opposer aux contrôleurs de la CNIL le secret professionnel pour justifier notamment un refus de leur laisser accéder à des programmes informatiques ou leur communiquer des documents, sauf si les données relèvent de correspondances entre un avocat et son client, ou sont couvertes par le secret des traitements journalistiques. Les contrôleurs de la CNIL ne peuvent par ailleurs accéder aux données médicales individuelles couvertes par le secret médical qu’en présence et sous l’autorité d’un médecin.
Le secret professionnel des agents de la CNIL
Les agents de la Commission sont astreints au secret professionnel pour les faits, les actes ou renseignements dont ils ont pu avoir connaissance en raison de leurs fonctions, sous peine de poursuites pénales (article 20 de la loi du 6 janvier 1978 modifiée).
Seuls les agents de la CNIL ayant besoin d’en connaître dans l’exercice de leur mission sont habilités à accéder aux documents recueillis au cours de la procédure de contrôle.
Que se passe-t-il après un contrôle de la CNIL ?
A la suite du contrôle, la CNIL reprend le procès-verbal de contrôle et examine les documents dont une copie aura été effectuée pour apprécier les conditions de mise en œuvre des traitements de données à caractère personnel au regard des dispositions de la loi « Informatique et Libertés », du RGPD, du CSI et du CPCE. Au regard de l’analyse effectuée par la Commission, différentes suites peuvent être apportées au contrôle :
- Lorsque les constatations effectuées n’appellent pas d’observations particulières, la procédure de contrôle est clôturée par un courrier du Président de la CNIL.
- Lorsque les investigations menées conduisent à établir que les pratiques de l’organisme contrôlé sont constitutives de manquements peu significatifs, la procédure de contrôle est clôturée par un courrier du Président de la CNIL accompagné d’observations (ex. : modification des durées de conservation, des mesures de sécurité, procéder à l’information des personnes, etc.).
- Lorsque les vérifications opérées conduisent à caractériser des manquements plus significatifs, le Président de la CNIL peut décider de mettre en demeure l’organisme d’adopter des mesures, dans un délai imparti, pour se mettre en conformité et/ou transmettre le dossier à la formation restreinte de la CNIL qui peut prononcer les sanctions prévues aux articles 45 et 46 de la loi « Informatique et Libertés » et 83 du RGPD.
- La mise en demeure peut, selon les circonstances (ex : nombre important de personnes concernées, impact sur la vie privée des personne élevé, etc.), être rendue publique.
- En cas d’absence de réponse à la mise en demeure ou de non-respect de ses injonctions, le dossier peut également être transmis à la formation restreinte de la CNIL, qui peut prononcer des sanctions. Cette transmission à la formation restreinte n’est pas exclusive d’une dénonciation au Parquet (article 40 du code de procédure pénale).
