Intelligence artificielle23 octobre 20265 min
Contrôle, plainte, sanction : comment la CNIL procède
Un contrôle de la CNIL commence rarement par une visite : il commence par une plainte, un article de presse ou un questionnaire. Ce que vous répondez dans les premières semaines pèse plus lourd que tout ce qui suivra.
Deux publics très différents cherchent la même information sur ce sujet : la personne qui veut se plaindre d'un organisme, et l'entreprise qui vient de recevoir un courrier de la CNIL. Les deux parcours sont traités ici, en commençant par le second.
Les quatre formes de contrôle
L'article 19 de la loi du 6 janvier 1978 organise quatre voies, et elles ne se valent pas en termes de pression.
- Le contrôle sur pièces : un questionnaire écrit, avec un délai de réponse. C'est le plus fréquent, et le plus sous-estimé
- Le contrôle sur convocation : vos représentants sont entendus dans les locaux de la CNIL
- Le contrôle sur place : des agents habilités se présentent dans vos locaux
- Le contrôle en ligne : les agents constatent depuis l'extérieur ce que montre votre site, y compris sous une identité d'emprunt
Ce qui déclenche un contrôle
Une plainte, d'abord : un client dont la demande d'effacement est restée sans réponse, un ancien salarié, un concurrent. Ensuite le programme annuel de contrôles, que la CNIL publie et qui cible chaque année quelques thèmes. Enfin, et c'est le cas que les entreprises n'anticipent pas, la notification d'une violation de données que vous avez faite vous-même : elle ouvre un dossier.
Le déroulé d'un contrôle sur place
La visite a lieu entre six heures et vingt et une heures, et le procureur de la République en est informé au préalable. Vous êtes informé de votre droit de vous y opposer. Si vous l'exercez, la visite ne peut se tenir qu'avec l'autorisation du juge des libertés et de la détention.
Cette opposition n'est pas sans conséquence et se réfléchit en quelques minutes : en cas d'urgence, de gravité des faits ou de risque de destruction de documents, le juge peut avoir autorisé la visite à l'avance, et vous ne pouvez alors plus vous y opposer.
Sur place, les agents demandent communication de tout document utile, en prennent copie, accèdent aux programmes et aux données, et recueillent les explications du personnel. Le secret professionnel ne leur est pas opposable, à trois exceptions près : la relation entre un avocat et son client, le secret des sources journalistiques et, dans certaines limites, le secret médical. Un procès-verbal contradictoire est dressé.
Les documents saisis sont restitués dans un délai de six mois à compter de la visite, ou de la décision de la formation restreinte si une procédure a été engagée.
La mise en demeure : le délai, et ce qu'il faut répondre
C'est l'issue la plus fréquente. Le président de la CNIL enjoint de corriger, dans un délai qui va en pratique d'un à six mois. La mise en demeure peut être rendue publique, et c'est cette publicité qui coûte, bien avant l'argent.
La réponse utile ne discute pas le principe. Elle prend chaque grief, dit ce qui a été fait, joint la preuve, et donne une date pour ce qui ne l'est pas encore. Une mise en demeure à laquelle on répond sérieusement se clôt sans sanction, et la clôture peut elle aussi être publiée.
La procédure simplifiée, et les amendes jusqu'à 100 000 euros
Depuis 2022, la CNIL traite les dossiers sans difficulté particulière par une procédure simplifiée, prévue à l'article 22-1 de la loi. Un seul membre de la formation restreinte statue, sur rapport, et la décision n'est pas rendue publique.
Le plafond y est de 20 000 euros d'amende et de 100 euros par jour d'astreinte. Lorsque le chiffre d'affaires mondial du responsable de traitement dépasse cinquante millions d'euros, ces montants passent à 100 000 euros et 500 euros par jour. C'est dans cette fourchette que se joue la quasi-totalité des dossiers de PME.
Les plafonds de l'article 83, et ce qui fait monter le montant
La procédure ordinaire, devant la formation restreinte, peut atteindre dix millions d'euros ou 2 % du chiffre d'affaires mondial, et vingt millions ou 4 % pour les manquements aux principes et aux droits des personnes.
- La nature, la gravité et la durée du manquement
- Le caractère délibéré ou négligent
- Les mesures prises pour atténuer le dommage subi par les personnes
- Le degré de coopération avec l'autorité, qui pèse lourd dans les deux sens
- Les manquements précédents, et le respect d'une mise en demeure antérieure
Vous voulez porter plainte : la démarche
Commencez par écrire à l'organisme lui-même, en visant le droit que vous exercez. Il dispose d'un mois pour répondre, délai prolongeable de deux mois pour les demandes complexes. Gardez la trace de votre envoi : c'est la pièce que la CNIL vous demandera.
Sans réponse ou en cas de refus, la plainte se dépose en ligne sur le site de la CNIL. Elle n'ouvre pas droit à une indemnisation : la réparation d'un préjudice se demande au juge, et les deux voies peuvent être menées en parallèle.
Questions fréquentes
Peut-on refuser un contrôle sur place de la CNIL ?
Oui, vous êtes informé de ce droit d'opposition. La visite ne peut alors se tenir qu'avec l'autorisation du juge des libertés et de la détention. Mais lorsque le juge a déjà autorisé la visite par avance, en raison de l'urgence ou d'un risque de destruction de documents, l'opposition n'est plus possible.
Combien de temps dure une procédure de sanction ?
Comptez plusieurs mois entre le contrôle et la décision, et davantage en procédure ordinaire. La mise en demeure, elle, fixe son propre délai, d'un à six mois le plus souvent.
Une mise en demeure est-elle une sanction ?
Non. C'est une mesure correctrice : elle ordonne de se mettre en conformité. Elle ne figure pas au casier de l'entreprise et se referme sans suite si vous vous exécutez dans le délai. Elle devient lourde si elle est rendue publique, ou si elle reste sans effet.
La plainte d'un client peut-elle rester anonyme ?
La CNIL n'a pas à communiquer l'identité du plaignant à l'organisme mis en cause, mais le contenu de la plainte rend souvent l'auteur identifiable. Ce n'est pas le sujet du dossier : ce qui est instruit, c'est le manquement, pas la personne qui l'a signalé.
Yasminatou Lassissi, avocate au barreau de Paris. Cet article donne un cadre général et ne remplace pas l'examen de votre dossier : aucune situation n'est identique à une autre, et aucun résultat ne peut être garanti.