Contrôle de la CNIL : comment s'y préparer ?

Un contrôle n'est pas nécessairement la conséquence d'une faute : il peut découler d'une plainte, d'un thème prioritaire annoncé par la CNIL, d'un signalement ou d'un incident médiatisé. S'y préparer revient surtout à tenir sa documentation, ce qui sert de toute façon au quotidien. Cet article donne des repères généraux et ne constitue pas un conseil juridique.

Les formes que prend un contrôle

Le contrôle en ligne mérite une attention particulière : il ne nécessite aucun préavis et porte sur ce que n'importe qui peut observer. Le comportement réel de votre site constitue donc une pièce à part entière.

Ce qui est demandé le plus souvent

• le registre des traitements et sa date de dernière mise à jour ;
• les informations délivrées aux personnes : politique de confidentialité, mentions des formulaires ;
• les durées de conservation appliquées, et la preuve des suppressions effectuées ;
• les contrats conclus avec les prestataires qui traitent des données pour votre compte ;
• les éléments relatifs aux transferts hors de l'Union européenne ;
• la description des mesures de sécurité et les traces des contrôles réalisés ;
• le registre des incidents et le suivi des demandes d'exercice des droits ;
• les analyses d'impact lorsqu'elles étaient nécessaires.

Constituer le dossier avant d'en avoir besoin

1. Rassemblez ces pièces au même endroit, accessible à plus d'une personne.
2. Datez chaque document et conservez les versions précédentes.
3. Notez ce que vous avez corrigé et quand : une démarche en cours se démontre par ses traces.
4. Désignez qui répond : un référent, un remplaçant, et la consigne donnée à l'accueil.
5. Préparez une présentation courte de votre activité et de vos traitements principaux.
6. Relisez votre site comme le ferait un observateur extérieur.

Un dossier incomplet mais honnête, accompagné d'un plan d'action daté, se défend mieux qu'une documentation impeccable qui ne correspond à rien de réel.

Le jour du contrôle

• Vérifiez l'identité des agents et le cadre de leur intervention dès leur arrivée.
• Prévenez la direction et, le cas échéant, votre délégué à la protection des données et votre conseil.
• Répondez avec exactitude : ne devinez pas. Une réponse différée et vérifiée vaut mieux qu'une approximation.
• Faites intervenir les bonnes personnes pour les questions techniques plutôt que d'improviser.
• Notez tout : questions posées, documents remis, éléments consultés.
• Ne faites pas obstacle : refuser l'accès ou dissimuler des éléments constitue un manquement distinct, plus grave que celui recherché.
• Lisez le procès-verbal avant de le signer et demandez la correction de ce qui vous paraît inexact.

Après le contrôle

Les suites varient selon les constats : clôture, observations, mise en demeure de corriger dans un délai, ou procédure de sanction. Dans tous les cas, corrigez sans attendre les points relevés et gardez la trace de ces corrections. Un incident ayant touché des données personnelles suit par ailleurs sa propre procédure, décrite dans notre article sur la violation de données personnelles.

Selon les cas, l'accompagnement d'un conseil juridique est vivement recommandé dès la réception d'une demande : la CNIL détaille par ailleurs le déroulement des contrôles sur son site. NexSecure peut préparer les pièces techniques de ce dossier dans le cadre de son offre de conformité RGPD.