Framaforms

Créez rapidement et simplement des formulaires en ligne

Savez-vous « gérer » un contrôle de la CNIL ?

La CNIL dispose d’un pouvoir de contrôle.

Si le risque statistique pour un organisme d’en faire l’objet est faible, il n’est pas nul et tout Délégué à la Protection des Données se doit de préparer son responsable de traitement à cette éventualité.

Cher confrère, nous vous proposons de répondre à ce quiz qui aborde quelques grandes questions qui se posent quand on souhaite « gérer » au mieux un contrôle de la CNIL.

C’est à vous !
--
Christophe Champoussin, Gérant d’Anaxia Conseil / Responsable pédagogique

- Vous devez répondre à toutes les questions
- Les questions qui appellent une réponse unique voient les propositions précédées d'un rond
- Les questions qui appellent une ou plusieurs réponses voient les propositions précédées d'un carré

_{Les données de ce formulaire sont recueillies par ANAXIA CONSEIL au titre de son intérêt légitime à développer son activité de formation ; elle sont destinées au service formation et}_{conservées pour une durée maximale de 3 ans après la fin de la relation commerciale, ou après votre dernière demande, puis seront anonymisées. Conformément à la loi "Informatique et Libertés" du 6 janvier 1978 modifiée et au Règlement Européen 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, vous disposez d'un droit d'accès et de rectification aux informations qui vous concernent ainsi que d'un droit d'opposition, du droit à la limitation du traitement et à l'effacement dans le cadre de la réglementation en vigueur. Vous pouvez exercer ces droits par courrier postal (joindre un justificatif d’identité) auprès de ANAXIA CONSEIL • 400 Avenue Roumanille • Village Greenside • BP 309 • 06906 SOPHIA ANTIPOLIS Cedex. Si vous estimez, après nous avoir contactés, que vos droits Informatique et Libertés ne sont pas respectés, vous pouvez adresser une réclamation à la CNIL. Pour votre parfaite information, ANAXIA CONSEIL a désigné un délégué à la protection des données, que vous pouvez joindre à l’adresse mail dpo@anaxia-conseil.fr.}

Quelles sont les différentes modalités de contrôle de la CNIL ? *

Uniquement sur place

Sur place et sur pièces

Sur place, sur pièces, sur convocation et en ligne

La CNIL peut-elle « enchaîner » plusieurs formes de contrôle auprès d’un même responsable de traitement ? *

En aucun cas

Oui, naturellement (par exemple en commençant par un contrôle en ligne suivi d’un contrôle sur pièces)

Mais pourquoi donc la CNIL vient-elle nous contrôler ? *

Elle a reçu de nombreuses plaintes concernant notre organisme

Notre organisme figure dans l’une des « cibles » du programme annuel de contrôle

L’une de nos filiales européennes a été contrôlée par l’autorité locale qui a trouvé de nombreuses non-conformités et les a signalées à la CNIL

La CNIL veut établir des comparaisons avec un organisme similaire au nôtre qu’elle vient de contrôler

Elle nous a déjà contrôlés et veut vérifier la bonne application de nos engagements

Elle vient de lire l’un de nos communiqués de presse dans lequel on annonce la mise en œuvre d’un traitement de données très « innovant »

Qu’est-il possible de faire pour réduire les risques d’être contrôlé ou pour en détecter l’imminence ? *

Rien

Traiter correctement les droits RGPD des personnes (pour éviter qu’elles se plaignent à la CNIL)

Observer que notre organisme figure parmi les « cibles » potentielles du programme annuel de contrôle de la CNIL

Être informé par l’une de nos filiales européennes qu’elle vient de se faire contrôler

Le responsable de traitement est-il obligatoirement prévenu d’un contrôle en ligne ? *

Oui, c’est obligatoire

Non : il en prend connaissance à réception du procès-verbal du contrôle (ses constats)

Que peuvent faire les agents de la CNIL dans le cadre d’un contrôle en ligne ? *

Ils se comportent comme tout internaute, qui, bien que pouvant être expérimenté, ne pourrait être assimilé à un « attaquant »

Ils peuvent se cacher derrière une identité d’emprunt

Ils peuvent s’introduire dans votre système d’information si celui-ci présente une vulnérabilité exploitable

Comment sommes-nous informés d’un contrôle sur audition ? *

Le responsable de traitement et son DPO sont convoqués sous 48 heures à la CNIL et découvrent en séance les griefs qui sont à l’origine du contrôle

Une convocation est adressée à l’organisme au moins huit jours avant la date de l’audition ; ce courrier indique l’objet du contrôle, la date, l’heure et le lieu de l’audition ainsi que le droit de l’organisme de se faire assister d’un conseil de son choix

Le DPO est-il obligatoirement prévenu d’un contrôle sur place ? *

Oui, c’est obligatoire

Le RGPD ne le demande pas, mais c’est la pratique actuelle de la CNIL en l’absence de risque de destruction de preuves

Non, jamais

Faut-il prendre copie de la pièce d’identité des agents de la CNIL à leur arrivée ? *

C’est vivement recommandé

S’il est indispensable de vérifier leur identité, nul besoin de prendre copie de la pièce qu’ils ont présentée

Lors d’un contrôle sur place, nous avons la surprise de constater que l’un des membres de la délégation de la CNIL est l’un de nos anciens collègues *

Cela ne pose aucun problème

Cela n’est possible que si cette personne a quitté notre entreprise il y a plus d’un an

Cela n’est possible que si cette personne a quitté notre entreprise il y a plus de trois ans

Que comprend l’ordre de mission présenté par les membres de la délégation de la CNIL ? *

Il est très détaillé et indique clairement l’origine du contrôle (l’identité des plaignants, par exemple) et le traitement qui va être contrôlé

Il est générique et indique juste que la CNIL vient vérifier le respect des règles en cours

Dans quel cas l’organisme ne peut pas s’opposer au contrôle sur place ? *

Si son DPO est présent

Si le contrôle a été autorisé par le juge des libertés et de la détention

Les « organismes étatiques » peuvent-ils s’opposer à un contrôle sur place ? *

Oui, comme tout autre responsable de traitement

Non, en aucun cas

Peut-on refuser les autres formes de contrôle (que le contrôle sur place) ? *

Oui, de la même façon qu’un responsable de traitement peut s’opposer à un contrôle sur place

Non, la CNIL ne le propose pas

Peut-on se faire assister d’un conseil ? *

Non, en aucun cas

Oui et les agents de la CNIL sont obligés d’attendre l’arrivée de votre avocat, si vous avez demandé la présence de celui-ci

Oui, le responsable de traitement peut se faire assister du conseil de son choix ou à défaut, de deux témoins n’étant pas sous l’autorité de la délégation de la CNIL (mais les agents de la CNIL n’ont pas l’obligation d’attendre son arrivée)

Notre organisme doit-il « faciliter » le contrôle ? *

Oui, l’organisme contrôlé doit coopérer avec la CNIL et prendre toutes mesures utiles afin de faciliter le déroulement des opérations

Ce n’est pas une obligation

Peut-on interdire aux agents de la CNIL d’interagir avec certains salariés ? *

Oui, naturellement

Non, les agents de la délégation pourraient interpréter cela comme une résistance au contrôle

Peuvent-ils avoir accès à tout lieu ? *

Oui, sans aucune limite

Oui, y compris aux locaux privés avec l’autorisation du juge des libertés et de la détention

Non, ils n’ont jamais accès aux locaux privés

Peuvent-ils avoir accès à tout document ? *

Non, ils n’ont pas accès aux codes sources

Oui, les agents peuvent demander communication de tous documents ou renseignements utiles et nécessaires à l’accomplissement de leur mission

Oui, les agents peuvent demander communication de tous documents ou renseignements utiles à l’exception des informations protégées par l’un des secrets professionnels cités à l’article 19(III) de la loi Informatique et Libertés

Quels sont les risques si on cherche à gêner le contrôle ? *

Absolument aucun

Le Code pénal punit d'un an d'emprisonnement et de 15 000 € d'amende le fait d'entraver l'action de la CNIL

Qu’est-ce que la CNIL considère comme une « entrave » à son contrôle sur place ? *

Le fait de s’opposer au contrôle alors que la visite a été autorisée par le juge

Le fait de refuser de communiquer les renseignements et documents utiles à leur mission

Le fait de dissimuler des documents ou renseignements qui sont demandés par la délégation, ou en les faisant disparaître

Le fait de communiquer des informations « qui ne sont pas conformes au contenu des enregistrements tel qu'il était au moment où la demande a été formulée ou qui ne présentent pas ce contenu sous une forme directement accessible »

Doit-on laisser les agents de la CNIL se connecter sur notre système d’information ? *

Surtout pas ; c’est totalement interdit

Ils peuvent le demander ; dans ce cas, il est recommandé de prévoir un accès créé spécifiquement (et non pas de permettre l’utilisation par usurpation du compte de l’un des salariés)

Lors d’un contrôle sur place, si les agents de la CNIL se connectent à notre système d’information, peuvent-ils prendre copie de données hébergées chez notre sous-traitant ? *

En aucun cas ; pour ce faire, ils sont obligés de se déplacer chez ce sous-traitant

Sans aucun problème, s’il est possible d’accéder à distance aux données concernées

Quelles précautions prendre concernant les documents dont ils prennent copie ? *

Aucune en particulier

Vérifier qu’il s’agit de la version à jour et établir une liste des documents communiqués

Vérifier qu’ils figurent bien dans la liste portée dans le procès-verbal établi en fin de visite

Peut-on refuser de signer le procès-verbal en fin de contrôle ? *

Non, les agents de la CNIL ne partent pas tant que le procès-verbal n’est pas signé

Oui, mais tout refus ou absence de signature est inscrit dans le procès-verbal

Jusqu’à quelle heure les agents de la CNIL peuvent-il rester dans nos locaux ? *

18h00

21h00 (ils doivent impérativement être partis à cette heure)

Au-delà de 21h00 s’ils ont commencé le contrôle avant cette heure

Les agents peuvent-ils revenir le lendemain ? *

En aucun cas

Tout à fait ; dans ce cas, ils établissent un procès-verbal par journée

Que faire une fois les agents de la CNIL partis ? *

Rien de particulier, tout le monde est épuisé nerveusement et n’a qu’une idée en tête : rentrer chez soi

Il faut absolument se réunir pour noter à chaud tous les détails de la journée

Que dire à son responsable de traitement une fois les agents de la CNIL partis ? *

« Tout s’est bien passé »

« Il est difficile de tirer la moindre hypothèse sur la suite que va donner la CNIL à son contrôle »

Faut-il revenir vers la CNIL pour s’inquiéter des suites qui seront données au contrôle ? *

Surtout pas ; il vaut mieux qu’elle nous oublie !

C’est recommandé, notamment pour « sentir » quels sont les principaux points d’intérêt de la Commission

Combien de temps peut prendre la CNIL pour exploiter les constats qu’elle a réalisés dans le cadre de son contrôle ? *

L’instruction d’une procédure de contrôle est réalisée dans les meilleurs délais mais sans aucune limite de temps

L’instruction d’une procédure de contrôle ne peut pas dépasser vingt-quatre mois ; passé ce délai, aucune sanction ne peut être prononcée par la CNIL

Que deviennent les documents prélevés par la CNIL lors du contrôle, dont certains sont confidentiels ? *

Ils sont versés aux Archives de France et seront librement disponibles à l’issue d’une durée légale

La CNIL les détruit un an après la clôture du contrôle

La CNIL les détruit cinq ans après la clôture du contrôle, sous réserve de l’exercice de voies de recours

Contacter l'auteur⋅rice de ce formulaire

Pour contacter l'auteur⋅rice de ce formulaire, cliquez ici

Ne communiquez aucun mot de passe via Framaforms.

Savez-vous « gérer » un contrôle de la CNIL ?

Contacter l'auteur⋅rice de ce formulaire

Propulsé par Yakforms