Contrôle CNIL, comment ça se passe vraiment

La personne qui cherche « contrôle CNIL » a rarement une curiosité académique. Elle vient de recevoir un courrier, ou une délégation s’est présentée à l’accueil. Voici, très concrètement, ce qui va se passer, et ce qui compte à chaque étape. C’est le déroulé que nous préparons avec nos clients dans les procédures que nous rédigeons pour eux, avant que le sujet devienne urgent.

Le contrôle sur place : parfois annoncé, parfois non

La CNIL est libre de prévenir ou non. Quand elle annonce sa venue, cela peut être une semaine avant comme la veille. La délégation compte en général au moins deux agents, un juriste et un auditeur des systèmes d’information, et le contrôle peut se dérouler entre 6 heures et 21 heures.

À l’arrivée, trois vérifications s’imposent avant toute chose : lire l’ordre de mission, qui délimite l’objet du contrôle, vérifier l’identité et l’habilitation des agents, et prévenir les personnes concernées en interne. En cas de doute sur la réalité de la mission, un appel à la CNIL suffit à vérifier.

Vous avez le droit de vous opposer au contrôle. Ne l’exercez pas, sauf motif sérieux : la CNIL reviendra avec l’autorisation du juge, et l’entrave à son action est un délit pénal. L’opposition transforme un contrôle ordinaire en contentieux.

Ce que les agents peuvent demander

Leur pouvoir est large : accéder aux locaux, hors parties à usage de domicile, consulter les applications et bases de données, faire des captures d’écran, demander copie de tout document utile. Registre des traitements, analyses d’impact, contrats de sous-traitance, mentions d’information, registre des violations, échanges avec le DPO : tout cela est communicable, et tout cela doit donc exister avant le contrôle.

Deux limites protègent des secrets particuliers : les données couvertes par le secret médical, sauf présence d’un médecin dans la délégation, et les correspondances entre un avocat et son client.

La discipline qui change tout : tout noter

Notre recommandation constante : désigner une personne dont le seul rôle est de consigner, heure par heure, ce que les agents demandent, ce qui est répondu, ce qui est remis. Ce journal n’est pas de la bureaucratie. En fin de contrôle, les agents dressent un procès-verbal, et c’est votre journal qui permet d’en vérifier l’exactitude ligne à ligne, de faire corriger ce qui est inexact, et à défaut de signer avec des réserves écrites. Signer avec réserves vaut toujours mieux que refuser de signer. Le procès-verbal ne dit rien de la conformité, il fige les faits : c’est sur ces faits que la suite se décide.

Même logique pour les documents remis : les numéroter, en garder copie, et ne fournir que ce qui entre dans l’objet du contrôle, en l’expliquant aux agents plutôt qu’en le dissimulant. Cacher un document, transmettre une version qui n’est pas la dernière ou rendre une information incompréhensible relève de l’entrave.

Les autres formes de contrôle

Sur pièces : un courrier avec questionnaire, et un délai de réponse. La discipline est la même que sur place : réunir, vérifier avant d’envoyer, transmettre de façon sécurisée, garder trace. Si le délai est intenable, envoyer une première partie en justifiant le report du reste vaut mieux que le silence.

En ligne : les agents constatent depuis leurs bureaux ce que votre site expose, cookies déposés, mentions, formulaires, y compris ce qui est accessible par négligence. Vous recevez le procès-verbal après coup, sans phase contradictoire. C’est la forme de contrôle la plus industrialisée.

Sur audition : une convocation, reçue au moins huit jours avant, pour être entendu dans les locaux de la CNIL, avec le droit de se faire assister. La préparation de la personne convoquée est décisive : écouter la question en entier, répondre strictement à ce qui est demandé, dire « je ne sais pas » plutôt qu’improviser, des faits, jamais des interprétations.

Après le départ des agents

Le contrôle ne s’arrête pas à la porte. Réunissez le jour même les personnes qui y ont participé, rédigez un compte rendu, listez ce qui a été emporté. Si un manquement est apparu de façon évidente pendant le contrôle, écrire à la CNIL pour présenter les mesures correctives engagées est souvent une bonne décision : la coopération pèse dans l’issue.

L’éventail des suites va de la clôture pure et simple au rappel à l’ordre, à la mise en demeure, publique ou non, jusqu’à l’amende, qui peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial, et jusqu’à 20 000 euros en procédure simplifiée. La majorité des contrôles ne finissent pas en sanction. Ceux qui y finissent sont rarement ceux où tout était parfait, et souvent ceux où la coopération a été défaillante.

Préparer ce moment à froid, avec une procédure écrite et des rôles distribués, fait partie de ce que nous mettons en place dans un accompagnement DPO.