Contrôles Cnil : quels sont vos droits ?

La Commission nationale informatique et libertés (Cnil) a un pouvoir de contrôle des entreprises concernant l’application et le respect des dispositions de la loi Informatique et Libertés. Tour d'horizon de vos droits et devoirs...

Le 29 mars 2012, la Commission nationale informatique et libertés (Cnil) a annoncé des objectifs de contrôles pour l’année 2012 : 450 ciblant particulièrement les thèmes essentiels en termes de protection de la vie privée : smartphone, sécurité des données de santé, failles de sécurité, fichiers de police, fichiers de la vie courante.

Ces contrôles permettent à la Cnil de vérifier l’application et le respect des dispositions de la loi Informatique et Libertés du 6 janvier 1978 par les entreprises et les administrations.

Que faire en cas de contrôle de la Cnil ? Eléments de réponse…

Peut-on s’opposer à la visite des locaux ?

Il est possible de s’opposer à cette visite si les agents de la Cnil n’ont pas d’autorisation judiciaire en bonne et due forme. Toutefois, cette opposition permet seulement de gagner du temps avant que les agents de la Cnil obtiennent l’autorisation du juge. Il s’agit du juge des libertés et de la détention du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter. Ce dernier, doit statuer dans les 48 heures. Il peut désormais assister aux visites qu’il a autorisées.

Le décret du 29 décembre 2012 vient encadrer le contrôle effectué par les agents de la Cnil lors des contrôles effectués au sein des locaux. Ainsi, le responsable des lieux ou son représentant doit être informé au plus tard lors de son arrivée sur les lieux, de l'objet des vérifications, de l'identité et de la qualité des personnes chargées du contrôle ainsi que de son droit d'opposition à la visite.
Lorsque le responsable du traitement n'est pas présent sur les lieux du contrôle, ces informations sont portées à sa connaissance dans les huit jours suivant le contrôle. L'ordonnance autorisant la visite peut faire l'objet d'un appel devant le premier président de la cour d'appel dans un délai de quinze jours à compter de la notification de l'ordonnance.

Toutefois, la visite peut avoir lieu sans information préalable du responsable des locaux. Ceci est limité :

- aux cas d'urgence,
- aux faits à l'origine du contrôle considérés comme grave,
- aux risques de destruction ou de dissimulation de documents.

Un tel contrôle ne peut se faire qu’après l’autorisation du juge des libertés et de la détention. Dans ce cas, le responsable des lieux ne peut s'opposer à la visite.

Enfin, une telle solution n’est pas sans conséquence. En effet, refuser un contrôle peut être qualifié d’entrave. Cette entrave est sanctionnée par un an d’emprisonnement et une amende de 15.000 € (art 51 loi Informatique et Libertés). Il faut noter que la sanction est identique si l’ont refuse de communiquer ou si l’on dissimule les renseignements et documents utiles à leur mission ou encore si l’on communique des informations qui ne sont pas conformes au contenu des enregistrements.

Peut-on refuser de communiquer des pièces ?

Les membres de la Cnil disposent dans le cadre des contrôles :

1. du droit de demander communication de tout élément nécessaire quel qu’en soit le support et d’en prendre copie ;
2. du droit de recueillir tout renseignement et toute justification utile ;
3. du droit d’accéder à tout programme.

Refuser d’accéder à la requête des membres de la Cnil peut également être qualifié d’entrave.

Toutefois, dans certaines circonstances, il est possible d’opposer à l’agent de la Cnil le respect du secret professionnel. Il s’agit de situations particulières qui sont appréciées au cas par cas.

Attention : Seul un médecin peut requérir la communication de données médicales individuelles incluses dans un traitement nécessaire aux fins de la médecine préventive, de la recherche médicale, des diagnostics médicaux, de l'administration de soins ou de traitements, ou à la gestion de service de santé, et qui est mis en œuvre par un membre d'une profession de santé.

Peut-on refuser de signer les procès-verbaux ?

La signature des procès-verbaux après le contrôle des agents Cnil est contradictoire. Par conséquent, le responsable de traitement peut émettre des réserves et des commentaires suite à l’intervention des agents. Il peut refuser de signer. Dans ce cas, ce refus est mentionné au procès-verbal.

Désormais, le procès-verbal est notifié au responsable de traitement par lettre recommandée avec demande d'avis de réception.

En pratique, lors d’un tel contrôle, l’idéal est de contacter son conseil juridique habituel. En effet, aucune disposition légale ne s’oppose à une assistance juridique du responsable de traitement lors des contrôles Cnil.

Bernard Lamon
Avocat spécialisé en droit de l’informatique, Internet et télécoms
Société d’avocats Lamon & Associés

En application du code de la propriété intellectuelle, toute reproduction totale ou partielle est strictement interdite sans autorisation écrite de NetPME.

Question d'internaute En quoi consiste un contrôle de la Cnil ?

Lire l'article La cybersurveillance des salariés dans l'entreprise : quels sont les droits de l'employeur ?