La Commission nationale de l’informatique et des libertés (CNIL) a pour mission de contrôler le respect des lois sur la protection des données personnelles et de la vie privée. Mais comment se déroule un contrôle de la CNIL ? Découvrez tout ce que vous devez savoir sur cette procédure essentielle pour assurer la conformité des organismes traitant des données personnelles.
Qui peut être contrôlé par la CNIL ?
La CNIL est habilitée à effectuer des contrôles auprès de tout organisme traitant des données personnelles en France ou concernant des personnes résidant en France. Elle peut également coopérer avec d’autres autorités de protection des données si l’organisme dispose de plusieurs établissements dans l’UE ou traite les données personnelles de plusieurs personnes concernées dans l’UE. De plus, la CNIL peut contrôler les prestataires sous-traitants chargés de mettre en œuvre un traitement pour le compte d’un organisme responsable.
Comment décide-t-on de faire un contrôle de la CNIL ?
Les contrôles de la CNIL peuvent avoir différentes origines :
- Le programme annuel des contrôles : chaque année, la CNIL décide des grandes thématiques à mettre en lumière en raison de leur impact sur la vie privée. Après avoir réalisé les contrôles, la CNIL communique sur les pratiques observées.
- Les réclamations et les signalements : la CNIL reçoit des plaintes et des signalements qui mettent en question la conformité aux règles de protection des données personnelles. Des contrôles sont alors effectués pour vérifier ces pratiques.
- Les initiatives : des investigations sont menées sur des thématiques identifiées au regard de l’actualité pour évaluer les problématiques et les enjeux liés à la protection des données personnelles.
- Les dispositifs de vidéoprotection : la CNIL contrôle les caméras qui filment des lieux ouverts au public et consacre une partie de son activité de contrôle à la vérification de ces dispositifs.
- Les procédures de contrôle clôturées, les mises en demeure et les sanctions : des investigations peuvent être menées pour vérifier les mesures de mise en conformité adoptées par les organismes suite à une procédure de contrôle, une mise en demeure ou une sanction.
Quelles formes peut prendre un contrôle de la CNIL ?
La CNIL peut décider d’effectuer quatre types de contrôles :
- Le contrôle sur place : une délégation de la CNIL se rend directement dans les locaux d’un responsable de traitement ou d’un sous-traitant pour mener des investigations.
- L’audition sur convocation : les représentants d’un organisme sont convoqués dans les locaux de la CNIL pour répondre à des questions sur les traitements de données.
- Le contrôle en ligne : les agents de la CNIL effectuent des vérifications en consultant des données accessibles en ligne, y compris de manière imprudente ou négligente.
- Le contrôle sur pièces : les agents de la CNIL envoient un courrier accompagné d’un questionnaire pour évaluer la conformité des traitements mis en œuvre par un responsable de traitement ou un sous-traitant.
Ces modalités de contrôle peuvent être utilisées de manière complémentaire. Par exemple, la CNIL peut initier des vérifications en ligne et les poursuivre sur place. Un contrôle sur pièces peut également être réalisé avant un contrôle sur place. Un procès-verbal est rédigé à l’issue de chaque contrôle pour consigner les informations et les constatations faites par la CNIL.
Qui réalise les missions de contrôle de la CNIL ?
Les agents de la CNIL habilités à effectuer les missions de contrôle sont désignés par la CNIL et bénéficient d’une habilitation accordée pour une durée de cinq ans renouvelable. Les agents doivent être impartiaux et ne pas avoir d’intérêt direct ou indirect avec l’organisme contrôlé. Certains contrôles nécessitent des habilitations particulières, notamment pour les fichiers couverts par le secret défense.
Que se passe-t-il pendant un contrôle de la CNIL ?
Lors d’un contrôle, les agents de la CNIL vérifient la conformité des traitements de données personnelles en fonction des dispositions légales. Ils peuvent prendre connaissance de toutes les informations techniques et juridiques nécessaires à leur mission. Les agents peuvent demander communication de tous les documents utiles, s’entretenir avec le personnel concerné, accéder aux programmes informatiques et aux données, et demander la transcription des données si nécessaire. Un procès-verbal est rédigé à l’issue du contrôle, répertoriant toutes les informations recueillies et les documents copiés.
Que se passe-t-il après un contrôle de la CNIL ?
Après un contrôle, la CNIL examine les documents et évalue la conformité des traitements de données personnelles. Selon les constatations, différentes suites peuvent être apportées au contrôle :
- Clôture de la procédure de contrôle sans observation particulière.
- Observations et recommandations pour corriger des manquements peu significatifs.
- Mise en demeure de se conformer aux règles et adoption de mesures dans un délai imparti.
- Procédure de sanction, qui peut aboutir à des mesures prévues par la loi et au prononcé de sanctions.
- Transmission au Parquet si nécessaire.
La CNIL assure ainsi le suivi des contrôles pour garantir la protection des données personnelles et la vie privée de tous.
