a un eventuel controle sur place de la cnil - L'Afcdp

Ils peuvent prendre connaissance du dossier comme cela leur est proposé afin de savoir d’où vient la plainteet donc ce qui a été relevé. Ils doivent disposer d’arguments et d’un plan d’amélioration avec des dates deréalisation.Un procès verbal d’audition sera rédigé par la commission.Ensuite la formation restreinte délibère et rédige un compte rendu.Dans le cas où les informations fournies ou le plan d’amélioration présenté ne satisfait pas la CNIL, la formationrestreinte peut infliger des sanctions : Avertissement, mise en demeure de faire cesser le manquement, injonctiond’arrêter le traitement, sanction pécuniaire, publicité dans la presse en cas de délit d’entrave.Cette délibération est publiée sur www.legifrance.gouv.fr et sur le site de la CNIL. Il s’agit d’une décisionadministrative qui peut être attaquée devant le juge administratif.Il est important de vérifier que les contrôleurs ne participent pas à la délibération (ceci constitue un vice deprocédure).Une fois la mission terminée, le responsable des traitements recevra 57 :- une lettre de clôture, dans le cas où aucune anomalie n’a été constatée- un courrier d’observation si des manquements de faible gravité ont été relevés (une ou plusieursrecommandations peuvent y être jointes)- une lettre d’avertissement si une ou plusieurs anomalies significatives ont été constatées. Si lesmanquements sont graves, le dossier est transmis au service de la gestion des sanctions.- une lettre de mise en demeure de cesser le traitement si au moins une anomalie grave a été constatée.Le délai d’exécution laissé par la CNIL est de 10 jours à trois mois.Au terme de la procédure de contrôle, le CIL archive toutes les pièces du contrôle (copie de la lettre de mission,compte-rendu fait par le scribe, procès-verbal des contrôleurs, courrier avec la CNIL). Après le prononcé de lasanction, l’entité contrôlée a deux mois pour faire appel.15.2. Enrichir son bilan annuelLe CIL fera naturellement état de ce contrôle dans son bilan annuel, de façon élargie (genèse, analyse aposteriori, mesures prises, etc.).L’AFCDP met à disposition de ses Membres un bilan type accompagné d’une FAQ très opérationnelle (partieprivative du site Web www.afcdp.net).16. Mille questions se posentCette procédure de contrôle sur place effectué par l’autorité existe-t-il chez nos voisins ?Actuellement seuls dix pays européens – dont la France – effectuent un contrôle sur le terrain. La Directiveeuropéenne 95/46 ne contraignait pas la France à adopter une telle démarche.Peut-on estimer la probabilité de subir un contrôle sur place ?En Allemagne, comme l’indique le rapport du cabinet Xamit, le laps de temps théorique entre deux contrôles estde 39.400 ans. Ce risque n’a pas fait l’objet d’estimation pour la France. Néanmoins il peut être utile pour le CILde se constituer un « cockpit » (technique inspirée des pratiques de l’intelligence économique) à partir desplaintes reçues par le service de relation clients, des courriers reçus de la Cnil, du programme de contrôle publiépar la Cnil, des informations distillées par l’AFCDP 58 , par la publication des articles de presse parlant de sonentreprise, etc.).57 Lors des auditions menées par le groupe de travail AFCDP, des entreprises attendaient encore un tel document, plus d’un an après lecontrôle sur place.58 A l’automne 2009 l’AFCDP a informé ses membres que la CNIL avait entamé une série d’une trentaine de contrôles sur place auprèsd’entités ayant mis en œuvre des dispositifs d’alerte professionnelle.Page 55 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net