a un eventuel controle sur place de la cnil - L'Afcdp

sensibilité, non seulement continuera, mais développera sa politique de contrôle. Pour ce faire, la CNILutilisera tous les moyens nécessaires. Et l'exercice de son pouvoir de contrôle ne sera pas compromis parl'invocation du secret professionnel ».Le CIL conseillera donc au Responsable du traitement de bien réfléchir au préalable sur les éventuellespossibilités d’opposer une forme quelconque de secret à la mission de contrôle.La personne qui invoque le secret professionnel est dans l’obligation de préciser les textes sur lesquels elles’appuie et la nature des données couvertes par ces dispositions (article 69 du décret). Il se peut que lesagents de la Commission ne soient en rien intéressés par ces données, et puissent poursuivre sans problème leurmission de contrôle sur place.Ainsi, l’invocation injustifiée du secret professionnel peut constituer une entrave à l’action de la CNIL (décisionConseil Constitutionnel 29 juillet 2004) : Dès lors que le contrôle a pour origine une plainte d’une personneconcernée par le traitement, l’invocation du secret professionnel est considérée comme abusive.Nota : L'article 226-13 du code pénal (secret professionnel) : La loi pénale ne précise ni la liste des professionsni la nature de l'information à caractère secret, elle se contente d'établir l'interdiction de leur révélation. Lajurisprudence s'est chargée de définir sur les bases de l'ancien article 378 du Code pénal ces différentes notions.12.1. Invoquer le secret bancaire ?Dans sa délibération n° 2006-174 du 28 juin 2006 prononçant une sanction pécuniaire à l’encontre d’une banque,la CNIL rappelait que « Si les données à caractère personnel concernant un client bancaire sont effectivementprotégées par le secret professionnel en application des dispositions de l'article L 511-33 du code monétaire etfinancier, force est de constater que ce secret a pour vocation de protéger le titulaire du compte lui-même ».Ainsi, dès lors que le titulaire d’un compte bancaire adresse à la CNIL un courrier écrit par lequel il dépose uneréclamation auprès de la CNIL et lui demande de procéder à des vérifications auprès d’un responsable detraitement, opposer à la CNIL l’existence du secret bancaire, c’est l’opposer au titulaire des comptes « qu’elle aen charge de protéger, ce qui viderait cette disposition de sa raison d’être ».En l’espèce l’invocation du secret bancaire est donc susceptible de constituer une entrave à l’action de la CNIL.Réflexions soulevées lors d’une audition effectuée par le groupe AFCDP :Les agents de la CNIL effectuent un contrôle sur place suite à la plainte d’un client, sollicité commercialementpar téléphone alors qu’il a demandé à ne pas l’être.a) Lors de ce contrôle, les agents prennent connaissance de « l’assise financière » de ce client. Mais en obtenantune copie d’écran de l’application, ils prennent également connaissance de données financières concernantd’autres clients.b) La plainte initiale ne concerne en rien les données financières – le plaignant a-t-il expressément autorisé lesagents de la Commission à accéder à ces informations spécifiques ?Pour apprécier la marge de manœuvre, étroite, du Responsable de traitement, il convient d’indiquer que l’ordrede mission dans ce cas ne donnait aucune indication quant à la plainte et au contexte, rendant ainsi délicatel’appréciation des limites des investigations des agents de la CNIL. A posteriori, le Responsable de traitement aestimé que les données financières concernant d’autres clients que celui s’étant plaint à la CNIL auraient du êtreanonymisées.12.2. Invoquer le secret professionnel des huissiers ?Dans sa délibération n°2006-173 du 28 juin 2006 prononçant une sanction pécuniaire à l’encontre de la SCP X 53 ,la CNIL notait que« La SCP X indique enfin qu’elle est bien soumise au secret professionnel et qu’elle était donc fondée à refuser53 http://www.cnil.fr/index.php?id=2141Page 49 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net