a un eventuel controle sur place de la cnil - L'Afcdp

Il convient de fournir la signification des champs ainsi que la liste des codes et leur signification (pour lesdonnées mémorisées sous forme codifiée).Dans le cas où la recherche des documents/données demandés prend du temps, indiquer le délai nécessaire et sajustification. Il vous appartient d’en assurer la transcription par tout traitement approprié dans des documentsdirectement utilisables pour les besoins du contrôle. Il n’est pas possible d’arguer de difficulté technique.Par précaution ;• affectez un numéro d’ordre à chaque document ;• numérotez chaque page de ces documents ;• portez une mention « Confidentiel – réservé à la CNIL » sur les documents qui vous semblent les plussensibles ;• ne présentez pas les originaux des contrats, mais fournissez une copie de laquelle vous aurez retiré lesinformations hors périmètre du contrôle (par exemple des conditions tarifaires exceptionnelles) – enprenant soin de l’expliquer aux agents de la CNIL ;• chaque personne chargée d’accompagner en permanence chaque agent de la CNIL doit a) conserverune impression papier de chaque écran visualisé lors du contrôle b) conserver une image de chaqueécran sur une clé USB ;• listez et conservez une copie de tous les documents et données qu’emportent les agents de la CNIL ;• vérifiez que ces documents/données sont bien dans leurs versions courantes/finales (information àrelever) ;• vérifiez que la liste exhaustive des données prélevées figure bien au procès-verbal qui sera présentépour signature à l’issue du contrôle sur place.Les contrôleurs peuvent demander la communication de documents postérieurement à leur visite. Il convient deleur adresser rapidement, mais de façon sécurisée.Les agents peuvent également demander communication de tout élément leur permettant d’apprécier le respectde l’art. 34 sur la sécurisation des données à caractère personnel traitées : politique de sécurité, journal des accèsdes administrateurs techniques, description des moyens de sécurité mis en œuvre, etc. A titre d’exemple, lors ducontrôle, courant 2008, d’un Centre hospitalier, les agents ont soulevé les questions suivantes : « Qui pourraitavoir accès au Système d’information ? Les administratifs ? Le contrôle de gestion ? Ce collègue là, à quellesdonnées peut-il accéder ? Qui attribue les droits d’accès et selon quelle procédure ? Comment sont réinitialisésles mots de passe : Montrez nous ! Que deviennent les vieux PC en fin de vie ? Que deviennent les disques dursdes serveurs en panne ? ».L’une des entreprises contrôlées a eu la surprise de constater qu’un agent habilité utilisait un périphériqueamovible (clé USB). Une copie de son contenu a été réalisée à la fin de la mission et mention en a été portée surle procès-verbal.11. Attention au délit d’entrave !La loi du 6 Août 2004 a inséré un nouveau chapitre VIII « Dispositions pénales » dans la loi informatique etlibertés (articles non codifiés dans le code pénal), l’article 51.Les attitudes considérées comme des cas d’entrave par cet article sont les suivantes :• Le refus direct ou indirect de communication d’informations. Sont visés, les faits ;o de refuser de communiquer aux membres/agents habilités de la CNIL les renseignements etdocuments utiles à leur mission ;o de dissimuler ces documents ou renseignements ;o de les faire disparaître.• La transmission d’une information non conforme ou non compréhensible. Est visée, la communicationd’informations ;Page 47 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net