a un eventuel controle sur place de la cnil - L'Afcdp

Les contrôleurs ont-ils accès à l’intégralité des locaux du site ?Les contrôleurs peuvent se déplacer dans tous les locaux du site, à l’exception des lieux privés (appartement defonction).Où « installer » les agents de la CNIL ?Il est recommandé de les installer dans une pièce prévue à cet effet, neutre (éviter les bureaux, à commencer parles open space). On pensera également à prévoir le chemin menant à ce local.Les agents de la CNIL peuvent-ils prendre l’initiative lors de leur contrôle de se déplacer du sitementionné sur la lettre de mission vers un autre site ?Oui. Les contrôleurs peuvent se déplacer sur tous les sites de l’entité contrôlée qu’ils jugent utiles pour mener àbien leur mission. L’un des délégués à la protection des données auditionné par le groupe de travail AFCDP aindiqué la présence des agents de la CNIL sur un premier site en matinée : leurs investigations ayant rapidementmontré que le traitement incriminé était hébergé sur un second site, ils s’y sont rendus aussitôt.Les agents de la CNIL peuvent-ils prendre l’initiative lors de leur contrôle de se déplacer du sitementionné sur la lettre de mission vers le site d’un sous-traitant, et ceci sans que la lettre de mission leprévoie ?Oui. Les contrôleurs peuvent se déplacer sur tous les sites de l’entité contrôlée qu’ils jugent utiles pour mener àbien leur mission.Les agents de la CNIL prennent-ils en compte les impondérables et situations particulières (une sociétéauditionnée par le groupe de travail AFCDP a indiqué que nul ne peut pénétrer dans ses enceintes en casde passage au seuil « Ecarlate » du plan Vigie Pirate auquel ils sont soumis) ?Lorsque l'entreprise est de bonne foi et apporte une justification satisfaisante, il est d'usage que la délégation dela CNIL fasse preuve de souplesse même si rien ne l'y oblige sur le plan juridique.Peut-on refuser le contrôle sur place au motif qu’aucun médecin n’accompagne les agents de la CNILalors que les traitements contiennent des données de santé et que le contrôle porte sur celles-ci ?Selon l’article 44-III de la loi « Seul un médecin peut requérir la communication de données médicalesindividuelles incluses dans un traitement nécessaire aux fins de la médecine préventive, de la recherchemédicale, des diagnostics médicaux, de l’administration de soins ou de traitements, ou à la gestion de service desanté, et qui est mis en œuvre par un membre d’une profession de santé ». En l’absence de médecin, le refus estdonc légitime, sous réserve que le contrôle vise ce type de traitement.A contrario, si le responsable d’un traitement n’est pas un professionnel de santé (médecin, pharmacien,profession paramédicale) et que les finalités ne concernent pas la médecine préventive, la recherche médicale,des diagnostics médicaux, l’administration de soins ou de traitements, ou à la gestion de service de santé, laprésence d’un médecin n’est pas obligatoire, et il est impossible de s’opposer au contrôle.NB : Toutefois l’esprit du texte devrait permettre d’inclure les traitements des intermédiaires de santé (assurance,mutuelle) dont la finalité du traitement est de gérer un service de santé.NB : L’article 68 du décret autorise le Président de la Commission à désigner un médecin à partir d’une listed’experts judiciairesLes agents de la CNIL peuvent-ils être accompagnés d’experts techniques tiers ?Oui. Lors des missions de contrôle sur place, l’assistance d’experts désignés par l’autorité dont ils dépendentpeut être demandée par le président de la commission. Leurs frais et honoraires sont à la charge de laCommission (article 63 du règlement intérieur – délibération CNIL n°2006-147 du 23 mai 2006).Page 60 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net