Contrôle CNIL : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Le contrôle CNIL est la procédure par laquelle la Commission nationale de l'informatique et des libertés vérifie qu'un organisme respecte le RGPD et la loi Informatique et Libertés. Il peut se faire sur place, en ligne, sur pièces ou sur audition.
Ce qu'il faut comprendre
La CNIL peut contrôler tout organisme, public ou privé, quelle que soit sa taille. Les contrôles sont déclenchés par une plainte, un signalement, une violation de données, l'actualité ou un programme annuel de thèmes prioritaires. Le contrôle sur place peut avoir lieu sans prévenir ; le contrôle en ligne vérifie à distance un site ou une application.
Les agents habilités peuvent accéder aux locaux professionnels, demander tout document et consulter les traitements. Un procès-verbal est dressé et l'organisme peut formuler des observations. Faire obstacle à un contrôle est un délit. En pratique, on vérifie souvent le registre des traitements, l'information des personnes, la sécurité, les durées de conservation et les contrats de sous-traitance.
Le contrôle n'est pas une sanction : c'est une phase de constat. Il peut se clore sans suite, par un rappel, par une mise en demeure ou par l'ouverture d'une procédure de sanction. L'erreur fréquente est de ne rien préparer, alors qu'une documentation à jour et un interlocuteur identifié, souvent le DPO, facilitent beaucoup l'échange.
Exemple concret
Après plusieurs plaintes de parents, la CNIL contrôle sur place un club sportif associatif qui filme ses vestiaires « pour éviter les vols ». Les agents consultent le registre, les réglages des caméras et l'affichage. Le procès-verbal constate que les vestiaires sont filmés. L'association reçoit ensuite une mise en demeure de retirer ces caméras.
Textes de référence
- RGPD, art. 58
- RGPD, art. 31
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
