Un contrôle CNIL n'est ni une sanction ni une présomption de manquement : c'est une procédure d'enquête encadrée par la loi Informatique et Libertés et par le décret n° 2019-536 du 29 mai 2019. Tout organisme qui traite des données personnelles peut y être soumis, qu'il soit responsable de traitement ou sous-traitant, public ou privé.
Ce guide suit la procédure telle que l'organisme la vit : ce qui déclenche le contrôle, ses quatre formes, le déroulé d'une visite, vos droits, le procès-verbal, les suites possibles et la préparation documentaire. Pour le statut et les missions de l'autorité, voyez notre article CNIL : définition, missions et pouvoirs.
Chapitre 01 — Déclenchement
Pourquoi la CNIL déclenche-t-elle un contrôle ?
La décision de contrôler appartient à la présidence de la CNIL. Selon la CNIL, elle repose sur cinq sources principales.
- Le programme annuel de thématiques prioritaires.
- Les réclamations et signalements, dont une plainte à la CNIL.
- L'actualité, par exemple une fuite de données rendue publique.
- La vidéoprotection dans les lieux ouverts au public.
- Le suivi d'une mise en demeure ou d'une sanction antérieure.
Selon la charte des contrôles de la CNIL (1er juin 2023), un contrôle CNIL peut viser tout organisme établi en France ou ciblant des personnes qui y résident, sous-traitants compris.
Chapitre 02 — Quatre formes de contrôle
Quelles sont les formes de contrôle de la CNIL ?
La CNIL dispose de quatre modalités : sur place, sur audition, en ligne et sur pièces. Elles peuvent être combinées, par exemple un contrôle en ligne suivi d'une visite dans les locaux.
| Forme | Ce qui se passe | Cadre et délais |
|---|---|---|
| Sur place | Une délégation se rend dans vos locaux, en général sans prévenir. | Accès de 6 heures à 21 heures (article 19 de la loi). Procureur de la République informé par écrit au plus tard 24 heures avant (article 25 du décret). |
| Sur audition | Vos représentants sont convoqués dans les locaux de la CNIL pour répondre aux questions. | Convocation reçue au moins huit jours avant, avec rappel du droit à un conseil (article 34 du décret). |
| En ligne | Les agents consultent depuis leurs locaux les données librement accessibles, au besoin sous une identité d'emprunt. | Procès-verbal des constatations adressé à l'organisme (article 33 du décret). |
| Sur pièces | Vous recevez un questionnaire et transmettez les justificatifs demandés. | Délai de réponse fixé dans le courrier de la CNIL. |
Dans un domicile privé, la visite exige l'autorisation du juge des libertés et de la détention (article 19 de la loi).
Chapitre 03 — Déroulé et droits
Comment se déroule une visite sur place, et quels sont vos droits ?
La visite suit une séquence fixée par le décret : information à l'arrivée, constatations, procès-verbal. Vous gardez des droits à chaque étape.
- 1Vérifier — Les agents indiquent l'objet du contrôle et leur identité, et présentent sur demande leur ordre de mission (article 26 du décret).
- 2Être informé — Le responsable des lieux est informé de son droit de s'opposer à la visite.
- 3Répondre — Les agents interrogent les personnes présentes et accèdent aux programmes et aux données.
- 4Copier — Ils copient tout document utile, quel que soit son support.
- 5Relire et signer — Un procès-verbal contradictoire est signé par les agents et le responsable des lieux, ou leur refus est mentionné.
Vos droits pendant le contrôle CNIL, rappelés par la CNIL :
- vous faire assister d'un conseil, dont l'attente ne suspend pas le contrôle ;
- vous opposer à la visite, qui ne peut alors avoir lieu qu'avec l'autorisation du juge, sauf autorisation donnée d'avance en cas d'urgence ;
- opposer trois secrets seulement : le secret entre l'avocat et son client, le secret des sources journalistiques et, sous conditions, le secret médical (article 19, III de la loi) ;
- faire consigner au procès-verbal vos observations et les difficultés rencontrées.
Chapitre 04 — Procès-verbal et suites
Que se passe-t-il après le contrôle ?
Le procès-verbal vous est notifié par lettre recommandée avec avis de réception, puis la CNIL instruit le dossier. Selon les constats, la procédure est clôturée, donne lieu à une mise en demeure ou ouvre une procédure de sanction.
Il mentionne l'objet des vérifications, les personnes rencontrées, leurs déclarations et les difficultés rencontrées, avec l'inventaire des pièces copiées (article 31 du décret n° 2019-536). Pendant l'instruction, transmettez vos observations et les corrections adoptées depuis le contrôle CNIL.
| Suite possible | Ce que cela signifie | Publicité |
|---|---|---|
| Clôture | Aucun manquement relevé : un courrier clôt la procédure. | Non |
| Clôture avec observations | Manquements limités : recommandations ou rappel des obligations. | Non |
| Mise en demeure | La présidence fixe un délai pour se mettre en conformité, qui peut être très bref en cas d'urgence. | Possible, sur décision du bureau |
| Sanction par la formation restreinte | Après procédure contradictoire : rappel à l'ordre, injonction, limitation du traitement, amende jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial. | Possible |
| Procédure simplifiée | Affaire sans difficulté particulière : rappel à l'ordre, amende ou injonction sous astreinte, dans des plafonds réduits. | Non |
La mise en demeure relève de l'article 20 de la loi Informatique et Libertés. La sanction RGPD prononcée par la formation restreinte suit les plafonds de l'article 83 du RGPD, rappelés dans la fiche CNIL sur les sanctions. La procédure de sanction simplifiée, prévue par l'article 22-1 de la loi, limite les mesures et leurs plafonds, et ses décisions ne sont pas rendues publiques.
Chapitre 05 — Préparation
Comment se préparer avant l'arrivée des agents ?
Rassemblez les preuves de conformité et fixez une procédure d'accueil. Un dossier à jour réduit le temps de réponse et le risque d'imprécision.
Le socle reste le registre des traitements et, pour les traitements à risque élevé, l'analyse d'impact. La liste ci-dessous suit les points que la charte décrit comme vérifiés. Toutes ces pièces ne sont pas demandées à chaque contrôle CNIL.
Documentation
Procédures
Sécurité
Accueil des agents
Après le contrôle, corrigez les écarts sans modifier les documents déjà transmis.
À retenir
- Le contrôle établit des faits ; la décision sur les suites vient après l'instruction.
- Quatre formes existent : sur place, sur audition, en ligne et sur pièces.
- Vous pouvez vous opposer à une visite et vous faire assister d'un conseil, mais l'entrave est un délit.
- Le procès-verbal, notifié par lettre recommandée, fonde la suite du dossier : relisez-le.
- Un registre, des contrats et des procédures à jour constituent la base de la préparation.
Définitions utiles
Tout le lexique RGPD- CNILLa CNIL, Commission nationale de l'informatique et des libertés, est l'autorité administrative indépendante chargée en France de veiller à la protection des données personnelles. Elle conseille, contrôle et sanctionne.
- Sanction RGPDUne sanction RGPD est une mesure prononcée par une autorité de contrôle, en France la formation restreinte de la CNIL, contre un organisme qui ne respecte pas le règlement. Elle peut aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
- Contrôle CNILLe contrôle CNIL est la procédure par laquelle la Commission nationale de l'informatique et des libertés vérifie qu'un organisme respecte le RGPD et la loi Informatique et Libertés. Il peut se faire sur place, en ligne, sur pièces ou sur audition.
- Registre des traitementsLe registre des traitements est le document, tenu par écrit, qui recense l'ensemble des traitements de données personnelles d'un organisme : finalités, catégories de données et de personnes, destinataires, durées de conservation et mesures de sécurité.
- Mise en demeureLa mise en demeure est une décision de la présidente ou du président de la CNIL qui ordonne à un organisme de se mettre en conformité avec le RGPD dans un délai fixé. Ce n'est pas une sanction, mais son non-respect peut conduire à une sanction.
- Loi Informatique et LibertésLa loi Informatique et Libertés est la loi française n° 78-17 du 6 janvier 1978 qui a créé la CNIL. Réécrite en 2018, elle complète aujourd'hui le RGPD sur les points laissés aux États et encadre certains traitements spécifiques.
À vous de jouer
La conformité n'attend pas le prochain contrôle.
Vous avez la méthode. Pour la mettre en œuvre sans y passer des semaines, faites le point avec une juriste dédiée : 30 minutes pour identifier vos écarts et repartir avec un plan d'action clair.
