a un eventuel controle sur place de la cnil - L'Afcdp

1. Le contrôle sur place : une réalité qui s’impose au CILAu titre de l’article 11 de la loi du 6 août 2004 1 , la CNIL (Commission Nationale Informatique & Libertés) peutcharger ses agents de se rendre partout où est mis en œuvre un traitement de données à caractère personnel, afinde procéder à des vérifications sur place comme l’indique l’article 11.2.f : « Elle peut, par décisionparticulière, charger un ou plusieurs de ses membres ou des agents de ses services, dans les conditions prévuesà l’article 44, de procéder à des vérifications portant sur tous traitements et, le cas échéant, d’obtenir des copiesde tous documents ou supports d’information utiles à ses missions. »Ces missions de contrôle sur place ont pour buts d'examiner la régularité des traitements, de s'assurer que letraitement mis en œuvre correspond au traitement ayant fait l'objet des formalités préalables, de vérifier quel'ensemble des dispositions de la loi sont respectées.Lors de ces contrôles sur place – inopinés le plus souvent –, la délégation peut recueillir tout renseignement ettoute « justification utiles ». Elle peut demander communication de tous documents nécessaires àl’accomplissement de sa mission, quel qu’en soit le support, et en prendre copie. Elle peut accéder auxprogrammes informatiques et aux données, ainsi qu’en demander la transcription par tout traitement appropriédans des documents directement utilisables pour les besoins du contrôle.Lors de l’intervention de M. Guillaume Desgens-Pasanau (à l’époque Chef du service des Affaires juridiques dela CNIL) à l’occasion de la première Université AFCDP des Correspondants Informatique & Libertés qui s’esttenue à Paris le 23 novembre 2006, un membre de l’AFCDP a mentionné le besoin de disposer d’une« procédure à suivre en cas de contrôle sur place de la Commission ».C’était justement l’une des quatre recommandations de Monsieur Desgens-Pasanau à l’issue de sa présentation,intitulée Plaintes, contrôles, sanctions : comment le Correspondant peut-il développer une politique deconformité ?• Sensibiliser le responsable de traitement et les opérationnels à l’obligation de coopération et aux risquesencourus ;• Définir une procédure de gestion des courriers CNIL garantissant une réponse satisfaisante et rapideaux demandes formulées par la Commission ;• Tenir à la disposition des opérationnels une fiche descriptive des droits et obligations du responsable detraitement en cas de mission de contrôle sur place ;• Développer une politique de « contrôle interne ».Un groupe de travail AFCDP a donc été constitué, à l’initiative de M. Bruno Rasle. Ce groupe s’est réuni àplusieurs reprises à partir du printemps 2007 et a travaillé principalement par auditions d’entités contrôlées.Ce groupe a choisi de se focaliser sur le contrôle sur place proprement dit : d’autres travaux pourraient êtreentamés au sein de l’association quant à la phase qui suit le contrôle (jusqu’à l’éventuelle sanction).Le groupe a procédé à de multiples auditions d’organismes qui ont été contrôlés, de tout secteur.L’objet du présent document est d’aider les membres de l’AFCDP à produire leur propre « fiche descriptive » età bâtir une procédure qui vise à informer et préparer les personnels concernés à telle éventualité (comportement àadopter, devoirs et droits).Ces fiches et ces procédures sont par nature spécifique à chaque organisation, chaque entité, chaque cas defigure (voir quelques exemples à la fin de ce document).Ce document est défini perfectible : les membres de l’AFCDP sont invités à faire part de leurs remarques,commentaires et suggestions pour l’améliorer (par simple email : charge-mission@afcdp.net ).1 Loi relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n°78-17du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.Page 6 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net