a un eventuel controle sur place de la cnil - L'Afcdp

• La possibilité de consulter les divers fichiers constitués ;• Le concours de personne(s) apte(s) à l’accès aux systèmes et à la mise en œuvre technique desapplicatifs ;• Le concours d’opérateur(s) manipulant sur un poste de travail (ou terminal) pour les applicationsinformatiques correspondantes à l’objet de la vérification.Il est possible de permettre aux contrôleurs d’accéder au restaurant d’entreprise, à leurs frais (ne pas inviter lesagents de la CNIL au restaurant).Si possible, il est souhaitable que les agents de la Commission soient accueillis par un nombre au plus égal decollaborateurs. Ils sont généralement deux ou trois ce qui revient à dire que, peuvent être présents : leresponsable du site, le responsable informatique et le relais local du Correspondant Informatique & Libertés.Dès le début du contrôle, il convient de leur présenter [à adapter suivant chaque cas] ;• l’établissement/le site (succinctement) ;• l’organisation/organigramme de l’entité (relatif au contrôle) ;• la cartographie des traitements ;• la procédure qualité ;• tous documents (papier ou électroniques) montrant l’importance accordée à la loi Informatique &Libertés par l’entité (Charte de l’usage de l’informatique, consigne de sécurisation des donnéestraitées, Intranet « Informatique & Libertés », etc.).Les contrôleurs peuvent demander (liste non exhaustive) ;• d’accéder à des documents et d’en prendre copie ;• d’avoir des entretiens avec toute personne ayant rapport avec les traitements ;• d’accéder au réseau informatique ;• d’accéder à une application ;• communication de la politique de sécurité (gestion des mots depasse, ségrégation des accès, moyens de sécurisation des donnéesles plus sensibles, etc.) ;• des précisions sur le processus de collecte des données ;• des précisions sur le processus de saisie (en particulier s’il y a unezone bloc-notes – ou zone de libre commentaire – dansl’application) ;• la description d’éventuelles routines qui sont activées pour mettreautomatiquement à blanc des zones de l’application qui ne seraientd’aucune utilité pour l’entité contrôlée ;• la durée d’archivage ;• etc.Figure 16 : Procédure mise en œuvre par un Membre AFCDP (extrait)Les agents peuvent accéder à l’intégralité des locaux du site (à l’exception des lieux privés) : Il est recommandéde les faire accompagner d’un collaborateur (CIL, « scribe », représentant local du Responsable destraitements, etc.) qui les présentera à toute personne qu’ils souhaitent interroger. Il est déconseillé de les laissercirculer seuls afin qu’ils ne captent pas à l insu de l’entité contrôlée des informations ».9. Les autres acteurs de la pièce : personnes et fonctionsconcernéesIl est important au préalable de déterminer le rôle de chacun, pour éviter les oublis et les actions en double.Cette liste ne comporte que les fonctions concernées par la visite proprement dite. D’autres fonctions (dont laDirection de la communication ou la personne en charge des relations sociales – si le contrôle fait suite à uneplainte d’un collaborateur ou d’un syndicat) seront naturellement intégrées au processus par la suite.Page 44 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net