a un eventuel controle sur place de la cnil - L'Afcdp

L’agent de contrôle peut-il questionner n’importe quel salarié ?La délégation peut recueillir, sur place ou sur convocation 65 , tout renseignement et toute justification utiles.Lors des contrôles, il n’est pas rare de voir les collaborateurs de l’organisme « rôder » spontanément autour desagents de la CNIL. Il est recommandé d’inviter au plus vite les agents de la Commission dans un local neutreprévu à cet effet.Peut-on laisser l’agent de contrôle seul durant sa mission ?Ce n’est pas recommandé.Entendu lors d’une formation : « Il est arrivé une fois que les agents de la CNIL se retrouvent seuls, livrés àeux-mêmes lors d’un contrôle ! Tout le personnel du site, persuadé qu’ils étaient accompagnés par un collègue,avait débauché… ».Peut-on refuser de signer le procès-verbal ?Oui. Le défaut de signature ne fait pas obstacle à l’établissement du procès-verbal, ce dernier devant simplementporter mention du refus (art. 64 décret).L’ambiance dans laquelle le contrôle s’est déroulé donne-t-elle une indication fiable de la suite qui seradonnée ?Non. Les auditions AFCDP ont montré des cas dans lesquels le contrôle s’est déroulé de façon tendue mais sansconséquence par la suite, et d’autres cas où, en dépit d’une ambiance détendue les suites se sont révélées moinssouriantes.Peut-on être informé du résultat d’un contrôle sur place que l’on a subi en lisant la presse ?C’est ce qui est arrivé à la RATP le 4 février 2010, la CNIL lui ayant adressé ses conclusions en même tempsqu’elle diffusait son communiqué de presse intitulé « Deuxième contrôle des passes anonymes NAVIGO ».Peut-on arguer du fait que la proposition de sanction est mal fondée si celle-ci ne s’appuie sur aucune miseen demeure préalable, mais uniquement sur une mission de contrôle sur place ?Non. Lors de son audition du 14 décembre 2006, la société Tyco Healthcare France a tenté de soutenir que laproposition de sanction proposée par le rapporteur serait mal fondée sur le plan juridique dans la mesure oùcelle-ci ne s’appuierait sur aucune mise en demeure préalable mais uniquement sur la réalisation de la mission decontrôle réalisée en ses locaux le 12 juillet 2006. Sur ce point, la Commission a observé qu’une procédure desanction peut être engagée lorsque le responsable d’un traitement ne se conforme pas à la mise en demeure quilui est adressée (article 45 de la loi du 6 janvier 1978 modifiée le 6 août 2004). La procédure de sanction engagées’appuyait donc sur la mise en demeure prononcée par la CNIL le 10 mai 2006 et sur la réponse adressée par lasociété Tyco le 1er juin 2006. La Commission estime à cet égard que les informations transmises par la sociétéTyco Healthcare France dans son courrier du 1er juin 2006 ne permettaient pas de connaître le sort exact ayantété réservé au traitement objet de la mise en demeure du 10 mai 2006.Peut-on opposer le fait que la décision de mission de contrôle ne vise pas formellement la mise en demeurepréalable ?Non. (cf. cas Tyco Healthcare) La Commission a estimé que l’existence d’une procédure de mise en demeure n’aaucune incidence sur le formalisme à respecter pour la réalisation d’une telle mission de contrôle et a considéréque la procédure de sanction était pleinement régulière.65Cette procédure de convocation figure à l’article 44-III. L’article 66 du décret définit clairement ce type de contrôle : « en application dupremier alinéa du III de l’article 44 de la loi du 6 janvier 1978 susvisée, les personnes chargées du contrôle peuvent convoquer et entendretoute personne susceptible de leur fournir tout renseignement ou toute justification utile pour l’accomplissement de leur mission ». Laconvocation, adressée par lettre remise contre signature, ou remise en main propre contre récépissé ou acte d’huissier, doit parvenir aumoins huit jours avant la date de son audition. La convocation rappelle à la personne convoquée qu’elle est en droit de se faire assister d’unconseil de son choix. Un procès verbal est dressé dans les conditions prévues à l’article 64. Lorsque l’intéressé ne se rend pas à l’audition, ilen est fait mention dans un procès-verbal de carence établi par les personnes chargées du contrôle.Page 63 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net