RGPD

Le contrôle de la Cnil peut être exercé auprès de toutes les entreprises, quelle que soit leur taille :

• qui traitent des données personnelles (c'est-à-dire, par exemple, qui les collectent, les stockent, les modifient, les conservent, etc.)
• et qui disposent d'un établissement en France, ou qui traitent des données concernant des personnes résidant en France L. nº 78-17, 6 janv. 1978, art. 3.

La mise en œuvre des contrôles par la Cnil dépend notamment du programme annuel des contrôles défini chaque année par la Cnil. En 2022, les thématiques prioritaires de contrôle sont  :

• la prospection commerciale
• le cloud informatique en nuage
• la surveillance dans le cadre du télétravail.

Les autres contrôles sont menés suite à :

• des réclamations et signalements visant un organisme
• des sujets révélés dans l'actualité
• des procédures de contrôle clôturées, des mises en demeure et des sanctions notifiées, le contrôle intervenant, dans ce cas, dans le cadre d'une vérification de mise en conformité et de respect de la mesure prononcée.

La Cnil peut être amenée à effectuer quatre types de contrôles, qui peuvent d'ailleurs se cumuler L. nº 78-17, 6 janv. 1978 :

• le contrôle sur place : il se déroule au sein de l'entreprise
• le contrôle sur convocation : l'employeur peut être entendu sur convocation des agents de la Cnil, lesquels ont la possibilité d'entendre toute personne susceptible de lui fournir tout renseignement ou justification utile
• le contrôle sur pièces : les agents demandent communication d'un certain nombre de documents et informations
• le contrôle en ligne : les vérifications sont faites directement dans les locaux de la Cnil et portent sur les services de communication au public en ligne (site internet, application mobile par exemple) lorsque des données y sont directement accessibles ou rendues accessibles, y compris par imprudence, négligence ou fait d'un tiers.

Oui. L'employeur peut s'opposer au contrôle sur place de la Cnil, sauf si celle-ci dispose d'une autorisation spécifique du juge (voir ci-dessous).

Si l'employeur s'oppose au contrôle :

• la Cnil doit saisir le juge Il s'agit du juge des libertés et de la détention pour lui demander d'autoriser la visite sur place malgré le refus de l'employeur
• le juge doit statuer dans les 48 heures, il se prononce notamment sur les heures pendant lesquelles le contrôle sur place peut avoir lieu
• l'ordonnance du juge doit être notifiée au moment de la visite à l'employeur qui en reçoit une copie et est informé des recours dont il dispose :
  • l'ordonnance peut faire l'objet d'un appel devant le premier Président de la cour d'appel, dans les 15 jours suivant sa notification. L'appel n'a pas d'effet suspensif : le contrôle de la Cnil peut donc quand même avoir lieu
  • l'employeur a également la possibilité de saisir le juge qui a rendu l'ordonnance, afin de lui demander de suspendre ou arrêter la visite ordonnée. Cette saisine n'a pas non plus d'effet suspensif
  • l'employeur peut enfin, à l'issue des opérations de contrôle, effectuer un recours devant le premier Président de la cour d'appel contre le déroulement des opérations de visite ordonnées par le juge. Ce recours doit être formé dans les 15 jours suivant la notification du procès-verbal de la visite
• la visite se déroule sous l'autorité et le contrôle du juge, en présence de l'employeur qui peut être assisté de son avocat, ou en présence de deux témoins qui ne sont pas placés sous l'autorité des personnes chargées du contrôle D. nº 2019-536, 29 mai 2019, art. 27.

L'employeur ne peut pas s'opposer au contrôle de la Cnil lorsque celle-ci a obtenu une ordonnance du juge préalablement au contrôle :

• en cas d'urgence, de gravité des faits à l'origine du contrôle ou de risque de destruction ou de dissimulation de documents, la Cnil peut saisir le juge des libertés et de la détention d'une demande d'autorisation préalable de visite qui, lorsqu'elle est délivrée, permet aux agents de contrôle de mettre en œuvre la visite sans que le responsable des lieux n'en ait été informé et qu'il puisse s'y opposer L. nº 78-17, 8 janv. 1978, art. 19)
• l'employeur peut former un recours devant la cour d'appel, dans un délai de 15 jours suivant la notification de l'ordonnance d'autorisation de visite. Il peut également saisir le juge d'une demande de suspension ou d'arrêt de la visite, et former un recours auprès du premier président de la cour d'appel contre le déroulement des opérations de contrôle D. nº 2019-536, 29 mai 2019, art. 27.

Les agents de contrôle de la Cnil peuvent effectuer un contrôle dans les locaux de l'entreprise entre 6 heures et 21 heures L. nº 78-17, 6 janv. 1978, art. 19. Ils n'ont pas l'obligation de prévenir préalablement l'employeur D. nº 2019-536, 29 mai 2019, art. 26.

Au plus tard à son arrivée sur place, la Cnil doit informer le responsable des lieux ou son représentant D. nº 2019-536, 29 mai 2019, art. 26 :

• de l'objet des vérifications qu'elle entend entreprendre
• de l'identité et de la qualité des personnes en charge du contrôle
• et du droit dont il dispose de s'opposer à la visite.

La Cnil peut consulter les données librement accessibles en ligne ou rendues accessibles, y compris par imprudence, par négligence ou par le fait d'un tiers, à partir d'un service de communication au public en ligne, comme par exemple, un site internet ou une application mobile, ou un produit connecté L. nº 78-17, 6 janv. 1978, art. 19.

Le contrôle en ligne peut être réalisé sous une identité d'emprunt. En revanche, les agents de contrôle de la Cnil ne peuvent pas inciter à commettre une infraction D. nº 2019-536, 29 mai 2019, art. 33.

Les agents de contrôle peuvent :

• demander la communication de tous les documents qui sont nécessaires à l'accomplissement de leur mission, quel qu'en soit le support. Ils peuvent d'ailleurs en prendre une copie L. nº 78-17, 6 janv. 1978, art. 19
• accéder aux programmes informatiques et aux données et en demander la transcription dans des documents directement utilisables pour les besoins du contrôle
• s'entretenir avec les membres du personnel pour obtenir tout renseignement et toute justification utiles et nécessaires à leur mission. Ces échanges peuvent se faire sur place, mais également sur audition.

L'employeur ne peut pas refuser à la Cnil l'accès à des données en invoquant la confidentialité, sauf toutefois à invoquer :

• le secret professionnel applicable aux relations entre un avocat et son client
• le secret des sources des traitements journalistiques
• le secret médical pour les informations contenues dans les traitements relatifs à la médecine préventive, la recherche médicale, les diagnostics médicaux, l'administration de soins ou de traitements, ou la gestion de services de santé. La communication des données médicales individuelles ne peut alors se faire que sous l'autorité et en présence d'un médecin D. nº 2019-536, 29 mai 2019, art. 36.

À l'issue du contrôle, l'agent de contrôle de la Cnil doit dresser un procès-verbal portant sur les vérifications et visites menées L. nº 78-17, 6 janv. 1978, art. 19D. nº 2019-536, 29 mai 2019.

Ce procès-verbal mentionne :

• la nature, le jour, l'heure et le lieu des vérifications ou des contrôles effectués
• l'objet de la mission et les agents de contrôle
• les personnes rencontrées et, le cas échéant, leurs déclarations
• les demandes formulées par les agents de contrôle
• les éventuelles difficultés rencontrées.

Un inventaire des pièces et documents dont les agents de contrôle ont pris copie doit être annexé au procès-verbal.

Lorsque les vérifications et visites sont effectuées sur place ou sur convocation, le procès-verbal est dressé contradictoirement. Il est signé par les agents ayant réalisé le contrôle et par l'employeur ou son représentant. En cas d'audition, il est signé par l'agent de contrôle et la personne entendue. Il mentionne, le cas échéant, le refus ou l'absence de signature.

Il y a entrave à l'action de la Cnil lorsque l'employeur :

• s'oppose à l'exercice des missions confiées aux membres de la Cnil ou aux agents de contrôle habilités, lorsque la visite a été autorisée par le juge des libertés et de la détention (voir question dédiée)
• refuse de communiquer aux membres de la Cnil ou aux agents de contrôle les renseignements et documents utiles à leur mission, dissimule ces documents ou renseignements, ou les fait disparaître
• communique des informations qui ne sont pas conformes au contenu des enregistrements, tel qu'il était au moment où la demande a été formulée, ou qui ne présentent pas ce contenu sous une forme directement accessible C. pén., art. 226-22-2.

La personne commettant une entrave encourt un an d'emprisonnement et 15 000 € d'amende C. pén., art. 226-22-2. L'entreprise, elle, encourt 75 000 € d'amende C. pén., art. 131-38 ainsi que des peines complémentaires telles que l'interdiction d'exercer une ou plusieurs activités professionnelles ou sociales, ou encore une fermeture définitive ou temporaire d'établissement ainsi que l'exclusion des marchés publics C. pén., art. 226-24.