a un eventuel controle sur place de la cnil - L'Afcdp

Par contre, dans le cas où la plainte a été déclenchée par une plainte, le plaignant est informé des suites données :« Vous avez déposé une plainte il y a plus de deux mois, et vous souhaitez être informé des suites données par laCNIL. Vous pouvez nous contacter par téléphone (01 53 73 22 22) en rappelant le numéro de votre dossier quifigure sur l’accusé de réception qui vous a été adressé » (site Web de la CNIL).Le CIL est-il en copie du courrier adressé par la CNIL au Responsable de traitement suite au contrôle ?Par le passé ça n’a pas toujours été le cas. Le Service des Correspondants Informatique et Libertés de la CNIL yremédie mais il est conseillé aux CIL de demander à leur Responsable de traitements de les informersystématiquement des courriers qu’ils reçoivent de la Commission.La CNIL peut-elle procéder à un nouveau contrôle pour vérifier que ses « recommandations » suite à unpremier contrôle ont bien été appliquées ?Oui. La formation contentieuse de la CNIL a condamné en juillet 2009 deux études pour avoir enregistré desinformations excessives dans leur fichier de débiteurs. A la suite d'un premier contrôle, il est apparu que deuxSCP d'huissiers de Montpellier partageaient les mêmes locaux et aussi le même fichier de débiteurs. Ce fichiercomprenait des commentaires qui n’auraient pas dû s’y trouver. Mis en demeure, les deux organismes s'étaientengagés en mars 2007 à effacer les termes illicites de leur fichier. Toutefois, un second contrôle, réalisé en 2009,a permis de constater que le fichier contenait toujours des renseignements excessifs concernant l'état de santé etles infractions commises par les débiteurs. Compte tenu de la réitération des manquements et du non-respect desengagements pris en 2007, la Commission a prononcé le 9 juillet 2009 une sanction pécuniaire de 10 000 euros àl'encontre de chacune des études. Au-delà des faits constatés, cette affaire illustre ainsi la vigilance de la CNILdans le cadre de ses pouvoirs de contrôle a posteriori. Elle rappelle aussi sa faculté de réaliser de nouveauxcontrôles et, le cas échéant, de sanctionner les manquements persistants. Si un organisme mis en demeure peutéchapper à une sanction, c'est à la condition que les modifications qu'il s'est engagé à effectuer soient réelles etconcrètes. (source : « Des huissiers persistent, la CNIL sanctionne ! » Site Web de la CNIL le 22 février 2010).On peut également citer la société de prêt-à-porter qui a fait l’objet le 16 avril 2009 d’une sanction pécuniaired’un montant de 10 000 euros et qui avait fait l’objet de plusieurs contrôles sur place.Sur quels critères la CNIL décide de rendre publique ses sanctions ?Comme la Loi le lui permet, la Commission rend publique les sanctions qu’elle inflige en cas de mauvaise foi.Une fois au moins, cependant, c’est l’entité sanctionnée qui a provoqué cette publication 66 !Notons que l’article 10 de la proposition de loi desSénateurs Yves Détraigne et Anne-Marie Escoffier 67 vise àrendre publique les séances de la commission restreinte dela CNIL « afin de tirer les conséquences d'une ordonnancedu Conseil d'État du 19 février 2008 qui reconnaît soncaractère juridictionnel ».Figure 19 : Page du site Web de la CNIL listant lessanctions.Vaut-il mieux être contrôlé par la CNIL ou saisi devantun juge ?Des auditions menées par le groupe de réflexion AFCDP –notamment d’organismes ayant vécu ces deux expériences –il apparaît que la procédure CNIL laisse plus de place pourla discussion et le contradictoire.66 « Dans la mesure où le responsable de Palmares.com met en cause cette décision sur son site, la CNIL a décidé, à titre exceptionnel, derendre publique cette mise en demeure ».http://www.cnil.fr/la-cnil/actu-cnil/article/article/2/la-cnil-ninterdit-rien-mais-veille-au-respect-de-la-loi/67 http://www.senat.fr/leg/ppl09-093.htmlPage 65 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net