a un eventuel controle sur place de la cnil - L'Afcdp

Qui supporte les frais provoqués directement par le contrôle ?L’entité contrôlée. A ce jour, la CNIL estime que ses exigences, lors de ces missions, n’a jamais engagé de fraisexagérés (par exemple, lorsque les agents demandent une copie de données). Les frais de conseils (avocats) et dedéplacement du CIL sur les lieux du contrôle restent naturellement à la charge de l’entité contrôlée.En Allemagne, une entreprise de la Région de Niedersachsen a été contrôlée et s’est vue infligée une amendepour non respect du Bundesdatenschutzgesetz. L’autorité de contrôle lui a en plus facturé le tempsd’intervention de ses agents au taux horaire de 100€. L’entreprise a porté l’affaire en justice : Le tribunal adonné raison à l’Autorité Administrative et a informé le plaignant que s’il avait été en conformité il n’aurait paseu à régler cette facture.Les frais et honoraires des experts qui accompagnent les agents de la CNIL sont à la charge de la commission.Un contrôle sur place peut-il faire suite à un contrôle sur pièces ?Oui, les agents de la Commission peuvent venir vérifier sur place la véracité des réponses apportées parl’entreprise dans le cadre d’un contrôle sur pièces. Le cas s’est produit par exemple pour une entreprisecommercialisant des fenêtres. En juin 2007 une mission de contrôle sur pièces avait été réalisée auprès de cetteentité sous la forme de l’envoi d’un courrier portant sur la politique commerciale mise en œuvre au sein de lasociété. La CNIL lui a notamment demandé de préciser la nature des opérations de prospection réalisées, lesdonnées utilisées et les conditions de prise en compte du droit d’opposition. La commission, s’estimantinsuffisamment informée par la réponse fournie par la société a décidé de procéder à une mission de vérificationsur place en novembre, visite qui a mis en évidence des écarts entre annonces et faits.Un contrôle CNIL peut-il avoir pour origine la HALDE ?Oui. La CNIL a établi, en mai 2006, une convention de partenariat avec la HALDE (Haute autorité de luttecontre les discriminations et pour l’égalité) qui prévoit échanges d’informations et contrôles communs aux deuxautorités. www.halde.frLors de ses propres contrôles, si les agents de la Halde constatent des points importants de non-conformité« Informatique et Libertés » (comme des collectes de données interdites telles que les données dites « raciales »),il y a communications des éléments d’une autorité vers l’autre. Messieurs Alex Türk et Louis Schweitzer ontsigné le 3 mai 2006 une convention qui prévoit – entre autres – « des échanges d'informations entre les deuxautorités, la réalisation commune de missions d'information, de réflexion ou encore de contrôle ».Pouvez-vous indiquer quelques manquements relevés à l’occasion de contrôles sur le périmètreRessources Humaines ?• dossiers papier Ressources humaines comportant des CV d’anciens candidats ou des copies dediplômes ;• outils de CRM (gestion de la relation clients) non déclarés ;• dispositifs de destruction de documents (shredder) non-effectifs (Courant 2009, lors d’un contrôle surplace, les agents de la CNIL ont tenu à « recadrer » un dispositif de ce type, pas assez sécurisé à leurgoût au sein d’un acteur du monde de la santé).Nous avons fait l’objet d’un contrôle sur place il y a déjà plusieurs mois et aucune suite n’a été donnée.Cela signifie-t-il que la procédure est terminée ?En aucune façon. Lors des auditions menées par l’AFCDP, plusieurs entités nous ont indiqué avoir reçu unelettre de la CNIL plus d’un an après la visite. Dans le cas de clôture, apparemment rien n’oblige la Commission àtenir informée l’entité contrôlé des suites données : celle-ci se retrouve ainsi dans une situation bieninconfortable. Tant qu’un courrier de la CNIL n’est pas parvenu, le CIL ne peut assurer à son Responsable detraitement que l’incident est définitivement clos. Le Correspondant a donc intérêt, passé un délai raisonnable, deprendre attache avec la Commission.Page 64 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net