a un eventuel controle sur place de la cnil - L'Afcdp

Si des insuffisances manifestes ont été détectées lors du contrôle, le CIL fera rechercher les traitements similairessouffrant des mêmes points perfectibles, y compris dans ses établissements à l’étranger.Dans le cas d’un contrôle se déroulant sur plusieurs jours, une réunion de débriefing intermédiaire se tiendrachaque fin de journée (se garder de porter modification aux traitements objets du contrôle), entre autres pourinformation du Responsable de Traitement.Il est recommandé de commencer à travailler immédiatement sur les réponses qu’il faudra apporter à la CNIL :• pendant que tout est encore frais dans les mémoires ;• pour pouvoir répondre au plus vite afin de montrer sa bonne foi.15. Et la suite ?15.1. Que va faire la CNIL ?Dans les jours qui suivent le contrôle sur place, les agents de la CNIL peuvent demander des précisions auResponsable de traitement par messagerie électronique : il convient donc de s'organiser pour valider lesréponses avant de les émettre, d’étudier la possibilité de les envoyer après signature et en mode chiffré, d’engarder la trace, d’utiliser systématiquement la fonction « accusé de réception » sur ces emails et de garder latrace des accusés.Si une plainte est à l’origine du contrôle sur place, il convient de noter que la CNIL peut conseiller un plaignantsur l’opportunité de saisir le juge des Prud’hommes ou le tribunal de commerce. La CNIL peut égalementconseiller au plaignant de saisir le Tribunal administratif pour tous les traitements opérés par des entitéspubliques.La CNIL peut saisir le juge pénal en application de l’article 40 du nouveau Code de procédure pénale.Les agents de la CNIL rédigent un rapport communiqué à la formation restreinte. La CNIL adresse une copie dece rapport au Responsable de Traitement.Le Responsable de Traitement dispose d’un délai de quinze jours à compter de la réception pour faire connaîtreses observations et demander à être entendu par la CNIL.Le CIL participe aux réunions préparatoires (rédaction de la réponse à adresser à la CNIL, préparation del’audition).Audition d’un Centre hospitalier contrôlé :« Suite à un contrôle sur place de plusieurs jours nous avons reçu un courrier de mise en demeure accompagnédu rapport de la Commission. Parmi les reproches qui nous étaient formulées figuraient – entre autres – uneinformation insuffisante des personnes (« ne pas se contenter des affiches »), une gestion des accès aux donnéespersonnelles à revoir (existence de droits d’accès orphelins, après le départ de collègues) et des locauxd’archives insuffisamment protégés (« il devrait y avoir un registre sur lequel sont portées les entrées etsorties »). De plus, quelques collaborateurs informaticiens avaient accès aux données de santé sans êtreprofessionnels de santé : nous leur avons fait signer un engagement personnel de confidentialité. Répondre à cecourrier nous a demandé un travail très important, car il fallait nous engager sur un plan d’actions et sur unplanning. Dans notre cas, celui-ci est étalé sur plusieurs mois car nous sommes obligés d’apporter de lourdesmodifications à des applications informations anciennes… »La formation restreinte peut également souhaiter entendre le responsable des traitements. Celui-ci reçoit alorsune convocation à laquelle il doit se rendre. Il dispose de quinze jours pour répondre aux demandes qui lui sontfaites. Lors de l’audition par la formation restreinte, le responsable des traitements et le CIL se déplacent.Page 54 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net