Règlement (UE) 2016/679, article 58.1

Contrôle de la CNIL : ce qui est vérifié et comment s'y préparer

Un contrôle ne commence pas le jour où les agents se présentent : il commence le jour où l'organisation décide de tenir, ou de ne pas tenir, les documents que le règlement (UE) 2016/679 lui impose de pouvoir produire. Le contrôle ne fait que constater l'état de ce dossier, et la préparation utile est celle qui a lieu des mois avant.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

Les pouvoirs d'enquête et leurs formes

L'article 58.1 du règlement dote l'autorité de contrôle de pouvoirs d'enquête étendus : ordonner au responsable ou au sous-traitant de fournir toute information nécessaire, mener des enquêtes sous la forme d'audits de protection des données, obtenir l'accès à toutes les données à caractère personnel et à toutes les informations nécessaires, et obtenir l'accès à tous les locaux, y compris à tout équipement et moyen de traitement, dans le respect du droit procédural applicable.

Ces pouvoirs se déploient sous plusieurs formes en pratique : une vérification sur pièces, par demande écrite de documents ; une vérification en ligne, qui consiste à constater depuis l'extérieur l'état d'un site, de ses traceurs et de son information ; une audition ; et le contrôle sur place, dans les locaux.

La vérification en ligne mérite une mention particulière : elle ne requiert aucune présence et ne s'annonce pas. Ce qui est public — politique de confidentialité, bandeau de traceurs, comportement effectif des scripts, formulaires — est vérifiable à tout moment, et constitue de fait le point d'entrée d'une part importante des procédures.

Les pièces demandées

La demande initiale porte presque toujours sur le même socle, et une organisation qui ne peut pas produire ces pièces dans le délai imparti crée elle-même le premier constat.

Le registre de l'article 30

Dans la version applicable — paragraphe 1 pour le responsable, paragraphe 2 pour le sous-traitant — et dans son état à la date du contrôle, non dans une version reconstituée.

Les mentions d'information

Ce qui est réellement affiché aux personnes au moment de la collecte, au regard des articles 13 et 14, et non le document type conservé en interne.

Les contrats de sous-traitance

Les actes juridiques de l'article 28.3 pour les prestataires effectivement utilisés, et la correspondance entre cette liste et les destinataires inscrits au registre.

Les analyses d'impact

Pour les traitements relevant de l'article 35.3, avec leur date : une analyse postérieure à la mise en service est un constat en soi.

Le registre des violations

Prévu par l'article 33.5, y compris pour les violations non notifiées, avec l'analyse qui a conduit à ne pas notifier.

Les éléments de sécurité et de traçabilité

Politique d'habilitation, revue des accès, journalisation, et preuves de formation des personnes participant aux traitements.

La conduite à tenir le jour du contrôle

Un contrôle sur place se déroule dans un cadre procédural précis. Les agents justifient de leur qualité et remettent l'ordre de mission ; leur objet est délimité par cet ordre, et les vérifications portent sur ce périmètre. Les opérations donnent lieu à un procès-verbal, que l'organisation est invitée à signer et sur lequel elle peut consigner ses observations.

Trois règles simples structurent la journée. Un interlocuteur unique est désigné et accompagne les agents, ce qui évite les réponses contradictoires de plusieurs services. Les réponses données sont exactes : une information erronée donnée dans l'urgence figure au procès-verbal et devra être corrigée ensuite, ce qui est plus dommageable que d'indiquer qu'une réponse sera apportée dans les suites. Et les documents remis sont consignés, afin que l'organisation sache précisément ce qui a été communiqué.

L'entrave à l'action de l'autorité est par ailleurs sanctionnée en tant que telle : le refus de communiquer, la dissimulation ou l'information mensongère constituent un manquement distinct de ceux qui motivaient le contrôle.

Ce qui se prépare des mois avant

La préparation utile ne consiste pas à répéter une journée de contrôle mais à tenir à jour, en régime courant, les pièces qui seront demandées. Une revue trimestrielle portant sur quatre points suffit à couvrir l'essentiel : le registre a-t-il été mis à jour depuis les derniers changements d'outils ; les contrats des nouveaux prestataires comportent-ils les clauses de l'article 28.3 ; les durées annoncées sont-elles effectivement appliquées par une purge ; et les nouvelles arrivées ont-elles donné lieu à une formation.

Le point le plus discriminant reste la cohérence entre les documents. Un registre qui mentionne des destinataires absents de la liste des contrats, une politique de confidentialité qui annonce des durées différentes de celles du registre, ou une procédure de violation que personne dans les équipes ne connaît : ces écarts internes sont relevés en quelques heures et pèsent davantage qu'une pièce manquante, parce qu'ils établissent que le dispositif n'est pas appliqué.

Questions fréquentes

Un contrôle de la CNIL est-il annoncé à l'avance ?

Pas nécessairement. Une vérification sur pièces prend la forme d'une demande écrite assortie d'un délai ; une vérification en ligne ne s'annonce pas, puisqu'elle porte sur ce qui est publiquement accessible. Un contrôle sur place peut intervenir sans préavis, dans le cadre procédural applicable, les agents justifiant alors de leur qualité et de l'objet de leur mission.

Peut-on refuser un contrôle sur place ?

L'entrave à l'action de l'autorité de contrôle constitue un manquement distinct, sanctionné comme tel. Le droit d'opposition éventuellement ouvert au responsable des lieux s'exerce dans le cadre procédural applicable et conduit à la mise en œuvre d'une autre voie ; il ne fait pas disparaître la vérification et est retenu comme un élément d'appréciation du comportement de l'organisation.

Que se passe-t-il après un contrôle ?

Les constats figurent au procès-verbal, sur lequel l'organisation peut consigner ses observations. Les suites relèvent de l'article 58.2 du règlement (UE) 2016/679 : elles peuvent aller de la clôture sans suite à une mise en demeure ou à l'engagement d'une procédure de sanction. Les mesures prises entre le contrôle et la décision sont prises en compte au titre de l'article 83.2.

Le délégué à la protection des données doit-il être présent ?

L'article 39.1 d) et e) du règlement fait du délégué le point de contact de l'autorité de contrôle et lui confie la coopération avec celle-ci. Sa présence est donc la configuration normale. Lorsque le mandat est exercé par un prestataire extérieur, l'assistance pendant les opérations fait partie de ce que le mandat couvre.

Ce que ce régime déclenche ailleurs

Les suites d'un contrôle se déploient dans l'éventail de l'article 58.2, dont l'amende n'est qu'une des mesures.

Ce que l'autorité peut prononcer

La nature de la mesure, le délai imparti et son point de départ, la construction de la réponse point par point, et ce qui se passe si le délai n'est pas tenu.

Mise en demeure

Ce qu'ouvre l'article 77, comment une réclamation est instruite, la réponse à construire, et ce qui évite qu'un litige individuel devienne une procédure générale.

Plainte CNIL

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.