a un eventuel controle sur place de la cnil - L'Afcdp

Les sessions de la formation restreinte sont-elles ouvertes au public ? Elles peuvent l’être si une des personnesmises en cause le demande et si le président de la CNIL n’y voit pas de risque pour l’ordre public, la protectionde la vie privée des personnes concernées ou le secret des affaires 15 . Par contre le délibéré a lieu à huis clos.La formation restreinte prononce les avertissements, mises en demeure, sanctions pécuniaires et examine lessuites à donner aux missions de contrôles compte tenu des manquements à la loi constatés lors des vérificationssur place. Dans les autres cas, un courrier est adressé au responsable de l’organisme contrôlé lui demandant, leplus souvent, de procéder à des modifications des applications mises en œuvre.Dans l’interview qu’elle a accordée en mars 2008 à CIO-Online 16 Mme Florence Fourets répondait à laquestion : « Une fois le contrôle effectué, quelles sont les suites, notamment en cas de constatationd'infraction ?». Elle y indique qu’un non-respect de la durée de conservation est jugé « mineur » alors qu’undéfaut de sécurité est considéré avec plus de sévérité.La procédure de sanction se déroule de la façon suivante :• Rapport proposant une sanction (sanction pécuniaire ou injonction) ou rapport proposant unavertissement• Délai d’un mois laissé au Responsable du traitement pour adresser des observations écrites• Possibilité pour le Responsable du traitement d’accéder au dossier• Possibilité pour le Responsable du traitement de se faire assister• Possibilité pour le Responsable du traitement de présenter des observations orales lors de la séance de laformation restreinte• Possibilité de recours (devant le Conseil d’état) 172.8. Les pouvoirs coercitifs de la CNILLa formation restreinte peut infliger les sanctions suivantes ;• Avertissement 18 à l’égard du responsable de traitement fautif, dont certains peuvent être renduspublics 19• Mise en demeure de cesser un manquement sous un délai pouvant aller de dix jours à trois mois(procédure non contradictoire). Si le responsable de traitement se conforme à la mise en demeure, laprocédure s'arrête et le dossier est clôturé.Si le responsable de traitement ne se conforme pas à la mise en demeure de la CNIL, la formation contentieusepeut prononcer, après une procédure contradictoire, durant laquelle le responsable de traitement incriminé peutprésenter des observations orales :• Une sanction pécuniaire (sauf pour les traitements de l’Etat), d’un montant maximal de 150.000€, et encas de récidive, pouvant aller jusqu’à 300.000 € 20 . En cas de mauvaise foi, la CNIL peut ordonnerl'insertion de la décision de sanction dans la presse, aux frais de l’entité sanctionnée 21 .• Une injonction de cesser le traitement 22• Un retrait de l’autorisation accordée en application de l’article 25 de la loi15 La proposition de Loi des Sénateurs Détraigne et Escoffier suggère, dans son article 10 de rendre publiques les audiences de laformation restreinte de la CNIL « afin de tirer les conséquences d'une ordonnance du Conseil d'État du 19 février 2008 qui reconnaît soncaractère juridictionnel ».16 http://www.cio-online.com/videos/lire-controles-de-la-cnil-le-mode-d-emploi-entretiens-232.html17 En février 2008, le Conseil d’Etat a déboutée de son recours une entreprise de recouvrement de créances qui avait été condamnée – à lasuite d’un contrôle de la CNIL – à une sanction pécuniaire représentant, d’après son dirigeant « plus d’un an de bénéfices », et à l’arrêt dutraitement incriminé.18 A proprement parler, en faisant référence aux textes, l’avertissement et les mises en demeure ne sont pas des sanctions et ne peuvent êtrecontestées.19 Exemple en juin 2009 : la CNIL a dévoilé qu’elle avait prononcé le 20 janvier 2009 un avertissement à l’encontre de la société destransports urbains rennais, « considérant que le passe Korrigo ne respectait pas la vie privée et les libertés individuelles des usagers ».20 Dans leur proposition de loi, les Sénateurs Détraigne et Escoffier proposent de porter ces montants respectivement à 300 000 et 600 000euros, précisant que « ce dernier montant correspondant au niveau maximum de sanction susceptible d'être prononcé par l'agenceespagnole de protection des données ».21 Au moins d’un l’un des cas, la commission restreinte a demandé la publication de la sanction sur le site Web de la société.22 Une société de recouvrement de créances s’est vue condamnée – entre autres – cesser totalement de mettre en œuvre le traitement dedonnées incriminé, qui constitue – selon son dirigeant – son outil de travail quotidien.Page 23 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net