a un eventuel controle sur place de la cnil - L'Afcdp

particulier, de ne pas engager une procédure de contrôle à l'égard d'une entreprise qui de bonne foi vientdemander conseil auprès de la CNIL au sujet d'une difficulté qu'elle rencontre.Sur signalisation d’un organisme tiersDans le cadre de conventionsLa CNIL a établi, en mai 2006, une convention de partenariat avec la HALDE (Haute autorité de lutte contre lesdiscriminations et pour l’égalité) qui prévoit des échanges d’informations et des contrôles communs aux deuxautorités.Lors de ses propres contrôles, si les agents de la Halde constatent des points importants de non-conformité« Informatique et Libertés » (comme des collectes de données interdites telles que les données dites « raciales »),il y a communication des éléments d’une autorité vers l’autre. Messieurs Alex Türk et Louis Schweitzer ontsigné le 3 mai 2006 une convention qui prévoit – entre autres – « des échanges d'informations entre les deuxautorités, la réalisation commune de missions d'information, de réflexion ou encore de contrôle ».Dans le cadre de son partenariat avec l’association SIGNAL SPAM, la CNIL a lancé en septembre 2008 unesérie de contrôles 10 auprès d’entreprises dont les courriers électroniques de prospection ont été signalés par lesinternautes comme « spams ».Ces contrôles ont porté sur :• les méthodes de collecte des adresses électroniques utilisées (vérification de l’origine des données etdes éventuels fichiers utilisés pour procéder aux envois de messages),• la validité du consentement des personnes ainsi démarchées (respect du principe du recueil duconsentement préalable des personnes, dit « opt-in »),• le respect du droit de s’opposer à recevoir de nouveaux messages.A la suite de ces contrôles certaines entreprises identifiées ont fait l’objet d’un rappel à la loi et ont été placées« sous surveillance » par la CNIL qui a annoncé « contrôler de très près leurs futures opérations deprospection ».A la demande d’autorités étrangèresA la demande des Autorités de Contrôles Communes (ACC) siégeant à Bruxelles, des contrôles ont été menés auplan national afin de vérifier certains aspects de traitements européens relevant de la compétence de l’autoriténationale de protection des données du pays en cause. Il en est ainsi des conditions d’enregistrement des donnéesà caractère personnel dans le système d’information Schengen (SIS) sur le fondement des article 96 (nonadmission dans l’espace Schengen) et 99 (surveillance discrète) de la convention d’application de l’accordSchengen dans le système d’information des douanes (SID) géré par la direction générale des douanes et droitsindirects ou dans les fichiers d’Euro Pol.Lorsque le contrôle est effectué à la demande d’un homologue d'un Etat membre de l'Union européenne, laCNIL en informe le responsable du traitement. Elle l’informe que les informations recueillies ou détenues par laCNIL sont susceptibles d’être communiquées à cette autorité. Il nous a été confirmé que des autorités decontrôles européennes ont menés des contrôles sur place dans des établissements situés sur leur territoire suite àdemande de la CNIL.Pour le moment les agents de la CNIL n'ont compétence que sur le territoire français. Juridiquement, toutdéplacement à l'étranger sera considéré comme une visite, soumise au bon vouloir du responsable de traitementet des autorités locales et la CNIL ne disposera d'aucun pouvoir contraignant. Mais l'hypothèse du déplacementd'équipes de la CNIL à l'étranger pourrait à terme devenir une réalité, dans le cadre de l'exécution desclauses d'audit qui figurent dans les contrats types de transfert de données hors UE.10 Source Rubrique « En bref » de la CNIL, 29 septembre 2008.Page 17 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net