a un eventuel controle sur place de la cnil - L'Afcdp

Les commissaires de la CNIL peuvent-ils prendre part aux contrôles sur place ?Oui. Les 17 commissaires peuvent procéder à des missions de contrôle en sus des 44 agents de la CNIL qui sonthabilités par la CNIL à participer à des missions de contrôle 62 (dont 28 agents sont habilités à participer aucontrôle de fichiers de police et de justice et dont certains sont habilités « secret-défense»).Les agents de la CNIL peuvent-ils être accompagnés d’observateurs ?Les auditions ont montré qu’il arrive que les agents habilités soient accompagnés d’observateurs : magistrats enformation, membre des entités chargées de la lutte contre la cybercriminalité, etc. Ces personnes ne peuvent enaucun cas prendre part au contrôle et, en conséquence, ne signent pas le procès-verbal. Le groupe AFCDP n’apas – pour le moment – obtenu de réponses aux questions suivantes : Le Responsable de traitement peut-ils’opposer à la présence de ces observateurs, et s’il s’y oppose quelles en sont les conséquences ? Quelle est lagarantie de confidentialité de ces observateurs ?Les agents de la CNIL peuvent-ils être accompagnés de journalistes ?C’est visiblement ce qui s’est passé lors d’un contrôle sur place effectué en 2009 à la mairie d’une grande villede Bretagne. Cette procédure a été relatée par le journaliste Franck Johannès dans un article intitulé « Sentinellesde l’informatique » paru dans Le Monde du 5 janvier 2010.« Il a sorti son costume du dimanche qui le serre un peu et il sue à grosses gouttes. Richard S. sait qu'il joue sachemise dans l'histoire. Les voilà. Les trois jeunes gens, parfaitement courtois et sérieux comme des papes, seprésentent d'une voix douce et lui tendent leur lettre de mission : ce sont les contrôleurs de la Commissionnationale de l'informatique et des libertés. Ils viennent vérifier le système bluetooth installé par la mairie : septbornes, disséminées dans la ville, envoient un message sur les portables lorsqu'on passe devant …/… La mairieet son prestataire vont recevoir une mise en demeure, comme dans 90 % des contrôles, avec desrecommandations classiques : le fichier doit être déclaré, puisqu'il s'agit du traitement d'informationspersonnelles; les bornes doivent signaler aux passants qu'ils peuvent accéder à leurs données personnelles et lasécurité informatique doit être renforcée. Richard S. s'éponge le front. Rien de bien méchant. L'équipe de laCNIL s'en retourne à Paris, rue Vivienne, dans l'hôtel particulier de la commission. L'immense majorité descontrôles de la CNIL - plus de 200 par an, presque tous inopinés - se passe paisiblement ».« Sentinelles de l’informatique » (extraits), Franck Johannès, Le Monde 5 janvier 2010.Il a également été reporté que la CNIL avait demandé à une société contrôlée si elle acceptait la présence decamera de télévision. La société a refusé.Dans le cas où le contrôle est effectué suite à une plainte, quand prend-t-on connaissance des détails decelle-ci ?D’après les auditions effectuées par le groupe AFCDP, il semble que les lettres de mission ne donnent aucuneinformation quant à la genèse du contrôle. Ce n’est que lors de celui-ci, au fur et à mesure de son déroulement, àpartir des questions posées par les agents et l’identification du traitement visé que le Responsable de traitementpeut commencer à se faire une idée de la raison à l’origine de ce contrôle sur place.Que doit-on mettre à disposition de l’agent de contrôle ?Comme l’indique l’article 21 de la loi Informatique & Libertés, « Les ministres, autorités publiques, dirigeantsd’entreprises publiques ou privées, responsables de groupements divers et plus généralement les détenteurs ouutilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de lacommission ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche ».Plus concrètement, il convient de prévoir ;• un poste de travail pouvant être mis rapidement à disposition62 Source : Entendu lors d’un Atelier de la CNILPage 61 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net