a un eventuel controle sur place de la cnil - L'Afcdp

égulièrement notifiés ». La société a été déboutée. La note du Conseil d’Etat indique « qu'en l'absence de griefspécifique, le défaut de signature de certains membres de la délégation ne peut entraîner la nullité du procèsverbal».13.1. Les textes de référenceL’article 44 de la loi Informatique & Libertés du 6 août 2004 précise qu’ « Il est dressé contradictoirementprocès-verbal des vérifications et visites menées en application du présent article ».Le décret n° 2005-1309 du 20 octobre 2005 précise dans son article 64 la nature de ce procès-verbal : « Leprocès-verbal énonce la nature, le jour, l'heure et le lieu des vérifications ou des contrôles effectués. Il indiqueégalement l'objet de la mission, les membres de celle-ci présents, les personnes rencontrées, le cas échéant,leurs déclarations, les demandes formulées par les membres de la mission ainsi que les éventuelles difficultésrencontrées. L'inventaire des pièces et documents dont les personnes chargées du contrôle ont pris copie estannexé au procès-verbal ».Lorsque la visite n'a pu se dérouler, le procès-verbal mentionne les motifs qui ont empêché ou entravé sondéroulement.Le procès-verbal est signé par les personnes chargées du contrôle qui y ont procédé et par le responsable deslieux ou par toute personne désignée par celui-ci. En cas de refus ou d'absence de celles-ci, mention en est portéeau procès-verbal.Le procès-verbal est notifié au responsable des lieux et au responsable des traitements.14. « Ouf ! Ils sont partis » - Une urgence, tenir uneréunion de debriefingDans ce document, le groupe de travail AFCDP retient comme sa convention la définition suivante : le contrôlesur place se termine quand les agents de la CNIL quittent le site (la procédure en elle-même ne prend pasnaturellement fin à ce moment). L’ « après-aval » correspond aux phases qui suivent ce départ.Les points principaux qui doivent être traités sont les suivants ;• Que faire en cas d'erreur sur le procès verbal de la CNIL (ou PV incomplet) ?• Que faire si une irrégularité a été détectée par la CNIL durant son contrôle (mentionnée oralement et/ounotifié sur le PV) ? Anticiper et corriger ?• Répondre aux demandes de la CNIL : Qui, comment et quand ?• Que va-t-il se passer « après » ?Après le départ des agents de la CNIL, il est recommandé de réunir immédiatement les collaborateurs ayantparticipé au contrôle et d’établir un compte-rendu détaillé, qui sera adressé au responsable des traitements et auCIL.Le journal (chrono) est immédiatement relu, commenté et enrichi (avec gestion de version, pour distinguer lesajouts a posteriori).Ce compte-rendu doit comprendrea. Un rappel de l’ordre de mission (périmètre, objectif, etc.) ;b. Une relation la plus précise possible des faits et dires des agents de la CNIL pendant leurcontrôle : méthodes et outils utilisés, ambiance, etc. (Ces « détails » qui ne sont généralementpas portés au procès-verbal peuvent prendre toute leur importance par la suite) ;c. La liste des documents et données emportés par ces agents ;d. Les actions prises par l’entité contrôlée (Qui a fait quoi, dans quelles conditions, avec quelsrésultats ?) ;e. Le journal (chrono) est annexé au compte-rendu.Page 53 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net