a un eventuel controle sur place de la cnil - L'Afcdp

Ebranlée par les scandales, l’Allemagne est en train de bougerJusqu’alors, les multiples autorités de contrôles allemandes étaient réputées pour le faible nombre de sanctionsqu’elles infligent. Cependant l’une d’entre elles a facturé en 2007 sa mission à une entreprise contrôlée (etsanctionnée à l’issue de ce contrôle), au tarif de cent euros de l’heure. La société, qui avait porté l’affaire enjustice, a été déboutée, le juge expliquant que si l’entreprise avait été en conformité, elle n’aurait pas eu àsupporter cette charge additionnelle 36 .D’après l’étude publiée fin 2009 par le cabinet Xamit Consulting 37 , l’écart théorique qui séparerait deuxcontrôles effectués au sein d’une entreprise allemande par l’une des autorités de contrôle serait de 39.400 ans.Visiblement nos voisins – s’ils disposent d’un délégué à la protection des données à caractère personnel quasiobligatoire depuis plus de trente ans – ne disposent que de la moitié de la « pince », une politique volontariste decontrôle leur faisant défaut. Le directeur général du cabinet commente ainsi les résultats : « Le manque decontrôle en Allemagne favorisent les entreprises qui violent systématiquement la loi sur la protection desdonnées personnelles, ce qui crée une distorsion de concurrence vis-à-vis des sociétés qui font des efforts pourêtre en conformité ».Mais un changement s’annonce peut-être : le 29 janvier 2010 l’autorité fédérale a publié un communiqué depresse 38 dans lequel elle annonce avoir sanctionné six infractions portant sur du démarchage téléphonique, ce quiporte le total de ses procédures à neuf, uniquement pour la période couvrant décembre 2009 et janvier 1010 ! Letotal cumulé des sanctions pécuniaires prononcées pour ces seuls deux mois est de 500 000 €.On notera que, dans la nouvelle loi promulguée en Allemagne le 1er septembre 2009, les sanctions ne sont pasplafonnées si un avantage concurrentiel a été retire de la non-conformité. Le 23 octobre 2009 la Deutsche Bahn aannoncé qu’elle avait décidé de payer l’amende de 1 100 000 € qui lui a été infligé le 16 octobre 2009 parl’autorité de contrôle berlinoise 39 . Cette amende constitue le record actuel.5. Les préliminaires : avant le contrôle sur placeLe groupe de travail a retenu comme sa convention la définition suivante dans le présent document : le contrôlesur place commence quand les agents de la CNIL se présentent à l’accueil (du site contrôlé). L’ « avantamont» correspond donc aux phases préalables.D’une façon générale – et partant de la constatation que le contrôle sur place est l’aboutissement d’un cycle –nous considérons qu’il est peu normal qu’une telle procédure (à l’exception des missions décidées dans le cadredu programme de contrôle annuel) intervienne dans une entité dotée d’un CIL, cette procédure de contrôle étantprécédée, la plupart du temps, par des demandes émanant de la cellule « Plaintes » de la CNIL. Outre le faitqu’un organisme qui s’est doté d’un Correspondant se doit de mettre tout en œuvre pour respecter sesobligations, la présence du CIL doit permettre de répondre à la quasi-totalité des cas litigieux dès le stade de lademande de renseignements et d’explications par la CNIL. Le CIL doit veiller à ce stade au respect du délai deréponse, et à la pertinence, la qualité, et l’exhaustivité de cette réponse.Au sein de la CNIL, il y a systématiquement une phase de préparation en interne. La présence d'un Commissairelors d'un contrôle est peu fréquente mais ceux-ci sont systématiquement informés des procédures en cours et ontla possibilité d'y participer s'ils le souhaitent.Sommes-nous avertis par la CNIL ?Jusqu’à la décision du Conseil d’Etat qui a décidé d’annuler le 6 novembre 2009 deux décisions de sanctionsprononcées par la CNIL à l’encontre de sociétés effectuant de la prospection commerciale par téléphone, il étaitestimé que la CNIL n’avait pas l’obligation d’informer de sa venue. Le Conseil d’Etat a considéré que, « enraison de l’ampleur des pouvoirs » de contrôle de la CNIL, « cette ingérence » n’est proportionnée que si elle a36 Source : CIL en Allemagne ou en France, même combat ? Témoignage d’un Externer Datenschutzbeauftragter - Richard BERTRAND -CIL et Datenschutzbeauftragter, Université AFCDP du 7 février 2008)37 Privacy Barometer 2009, http://www.xamit-leistungen.de/downloads/XamitPrivacyBarometer2009Abstract.pdf38 http://www.bundesnetzagentur.de/media/archive/18111.pdf39 De 2002 à 2005 l’opérateur ferroviaire avait surveillé un grand nombre de ses salaries dans le cadre de sa lutte contre les fraudes, maissans en les avertir. Un dossier similaire est en cours d’instruction concernant Airbus.Page 31 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net