a un eventuel controle sur place de la cnil - L'Afcdp

• Les contrôleurs sont tenus au secret professionnel. Ils ne sauraient accepter aucun cadeaux ou avantaged’un organisme placé sous le contrôle de l’ACAM.• Les contrôleurs informent les organismes contrôlés du déroulement des opérations de vérification. Unedurée indicative est communiquée.• L’organisme contrôlé peut se faire assister par toute personne de son choix.• L’organisme contrôlé doit coopérer et répondre avec diligence et professionnalisme à toute demandedes contrôleurs.• Les contrôleurs ont accès aux locaux et peuvent se faire remettre tout document utile.• L’ACAM peut porter à la connaissance du public toutes les informations qu’elle estime nécessaires.• Tout obstacle au contrôle ou toute entrave sont constitutifs de délits (deux ans de prison et 300.000 €d’amende).• Les personnes morales peuvent être déclarées pénalement responsables et encourent la peine d’amendeprévue par le code.• A l’issue d’un contrôle plusieurs mesures peuvent être adoptées (mesures d’urgence, recommandation,sanction, etc.). Les décisions de l’ACAM sont susceptibles de recours.• L’ACAM peut décider de la mise sous surveillance spéciale et exiger la mise en œuvre d’un programmede rétablissement.• L’ACAM peut prononcer des sanctions disciplinaires à l’égard des personnes, allant du simpleavertissement au retrait total des agréments. Elle peut prononcer en outre des sanctions pécuniaires. Lesdirigeants peuvent faire l’objet d’une sanction à raison de leurs agissements personnels. Dans ce cas, lessanctions comprennent la suspension temporaire ou la démission d’office.• L’ACAM peut rendre publique ses décisions, aux frais de la personne sanctionnée.• Lorsqu’elle relève des faits de nature à justifier des poursuites pénales, l’ACAM transmet de dossier auProcureur de la République. Cette saisine intervient sans préjudice de sanctions que l’ACAM peutprononcer à l’encontre de l’organisme ou de ses dirigeants.18. Analyse de quelques cas de sanctionSur son site Web la CNIL dresse un inventaire des sanctions qu’elle prononce 68 .Le groupe de travail AFCDP s’est penché sur quelques cas notables.18.1. Quand la CNIL choisit de communiquerLa CNIL a choisi de communiquer sur certaines de ses sanctions.On perçoit à travers ces choix les différents messages que la commission veut faire passer ;• Crédit Lyonnais : « Vous voyez, désormais personne ne peut se sentir à l’abri des sanctions de la CNIL,et nous n’avons pas peur de pénaliser une société très connue, du secteur bancaire de surcroît »,• Huissier X : « Mais nous pouvons aussi nous attaquer à des structures plus petites et à des métiers quiauraient pu se croire au dessus des lois »,• HealthCare : « Avant de respecter les consignes de sa direction américaine, une société basée enFrance doit respecter la loi européenne… »Sur ce dernier exemple, le directeur informatique de la filiale française d’un (très) grand groupe américain nous aconfié que sa direction Corporate a changé d’attitude de façon radicale, suite à la condamnation d’HealthCareFrance. Alors que ses recommandations étaient restées jusque là lettre morte, il a été invité à « prendre toutemesure nécessaire » pour que sa société ne se retrouve pas dans une situation similaire. C’est le risque dedégradation de l’image de l’entreprise (impact « business ») qui prédomine ici.Dans son rapport d’activité pour l’année 2008, la CNIL souligne que « C’est même parfois tout un secteur outoute une profession qui tirent les leçons de l’intervention de la formation restreinte de la CNIL ».68 http://www.cnil.fr/en-savoir-plus/deliberations/sanctions/Page 67 sur 82AFCDP, Association Française des Correspondants à la protection des Données à caractère Personnelwww.afcdp.net