166 contrôles sur place
Article 58 RGPD · contrôles sur place, sur pièces, sur audition et en ligne
Contrôles CNIL
Le contrôle lui-même peut déjà mettre en difficulté une structure qui n’a ni dossier, ni pilote, ni réponse ordonnée. L’enjeu est de savoir ce que la CNIL peut demander, comment elle contrôle et ce qu’il faut pouvoir justifier sans improvisation.
Les quatre formes de contrôle à connaître
La CNIL peut combiner plusieurs modalités. Une vérification en ligne peut être prolongée par une demande sur pièces, puis par une visite sur place si la situation le justifie.
99 contrôles en ligne
44 contrôles sur pièces
12 contrôles sur audition
Sur place
Une délégation se rend dans les locaux pour vérifier concrètement les traitements, les documents, les outils, l'organisation et la réalité des mesures annoncées.
En ligne
La CNIL vérifie un site, une application ou un service connecté depuis ses propres locaux, y compris sous identité d'emprunt si nécessaire.
Sur pièces
Un questionnaire et une demande documentaire sont adressés à l'organisme, qui doit répondre de façon complète, structurée et justifiée.
Sur audition
Des représentants sont convoqués dans les locaux de la CNIL pour répondre à des questions précises et, si besoin, rendre accessible l'environnement technique.
Répartition d'ensemble des contrôles
La photographie la plus parlante n'est pas seulement le nombre total de contrôles, mais leur diversité. Un site public peut être exposé d'abord en ligne, puis sur pièces.
Ce qui peut déclencher un contrôle
La CNIL ne contrôle pas uniquement après une grande affaire médiatique. Un contrôle peut partir d'un signal faible mais crédible, surtout si l'écart est visible sur le site ou si la réponse donnée à une personne concernée est mauvaise.
Plainte ou réclamation
Exercice des droits mal géré, surveillance excessive, défaut d'information, cookies mal paramétrés, fuite de données ou réponse défaillante.
Signalement ou alerte
Alerte interne, prestataire, presse, veille publique, faille exposée, contenu librement accessible ou découverte d'un défaut grave.
Programme annuel
La CNIL arrête des thématiques prioritaires annuelles, puis cible certains secteurs, pratiques ou technologies jugés sensibles.
Suites d'un dossier antérieur
Une mise en demeure, une sanction ou des engagements de mise en conformité peuvent conduire à un nouveau contrôle de vérification.
Comment un contrôle se déroule en pratique
Attendre le dernier moment aggrave presque toujours la situation. Dès qu’une demande arrive, le dossier devient documentaire, organisationnel et chronométré.
Qualifier
Identifier la forme de contrôle, le périmètre exact, les traitements visés, les personnes à mobiliser et les systèmes concernés.
Rassembler
Registre, politiques, captures, contrats de sous-traitance, paramétrages CMP, journaux, procédures internes, réponses antérieures, analyses de risques.
Répondre
Construire une réponse cohérente, justifiée, lisible, sans contradiction entre le site, la documentation et l'organisation interne.
Corriger
Traiter immédiatement les points visibles les plus sensibles et ouvrir, si besoin, un chantier de remédiation ordonné et traçable.
Le responsable des lieux est notifié au début du contrôle. Le procureur territorialement compétent est informé 24 heures avant le début du contrôle sur place.
La convocation doit parvenir au moins huit jours avant la date retenue et rappelle le droit de se faire assister d'un conseil.
Le questionnaire appelle des réponses justifiées. Une réponse floue, incomplète ou contradictoire aggrave souvent la perception du dossier.
Ce que la CNIL peut demander et regarder
Une structure en difficulté n'est pas seulement celle qui a un écart juridique. C'est souvent celle qui n'a aucun dossier propre à produire quand le contrôle commence.
Pièces souvent attendues
- registre des activités de traitement ;
- politiques publiées, mentions et parcours de collecte ;
- inventaire des traceurs, CMP, preuves de consentement ;
- contrats de sous-traitance et documentation prestataires ;
- procédures d'exercice des droits ;
- mesures de sécurité, habilitations, gestion des incidents ;
- journalisation ou preuve des réponses déjà données.
Signaux qui fragilisent très vite
- site public propre en apparence mais documentation inexistante ;
- politique de confidentialité déconnectée des outils réellement utilisés ;
- traceurs actifs avant consentement ou sans preuve sérieuse ;
- gestion floue des demandes de droits ;
- prestataires nombreux mais contrats ou instructions imprécis ;
- réponse improvisée, tardive ou contradictoire.
| Bloc contrôlé | Question de la CNIL | Ce qu'il faut pouvoir montrer |
|---|---|---|
| Cookies et traceurs | Quels traceurs sont déposés, pour quoi faire et sur quelle base ? | Inventaire, CMP, captures, logique d'exemption, preuve des choix, durée de vie. |
| Formulaires | Quelles données sont demandées et pourquoi ? | Mentions d'information, champs justifiés, finalités, destinataires, durée de conservation. |
| Sécurité | Quelles mesures protègent les données ? | Habilitations, journalisation utile, sauvegardes, gestion des incidents, documentation SSI minimale. |
| Droits des personnes | Comment les demandes sont-elles reçues et traitées ? | Canal de contact, procédure, délais, vérification d'identité proportionnée, preuves de réponse. |
| Sous-traitants | Qui intervient réellement sur les traitements ? | Contrats, instructions, répartition des rôles, encadrement des transferts éventuels. |
Après le contrôle
Le contrôle n'aboutit pas automatiquement à une sanction. Mais la suite dépend beaucoup de la qualité du dossier et de la capacité à corriger rapidement ce qui doit l'être.
Clôture avec observations
Lorsque les manquements sont jugés peu significatifs, la procédure peut être clôturée avec des observations et recommandations.
Mise en demeure
La présidence de la CNIL peut exiger une mise en conformité dans un délai imparti, parfois très court en cas d'urgence.
Procédure de sanction
En cas de manquements significatifs, de non-réponse ou de non-respect des injonctions, une procédure de sanction peut être engagée.
Repère juridique
L'article 58 du RGPD fonde les pouvoirs d'investigation et de correction de l'autorité de contrôle. La loi Informatique et Libertés encadre le déroulement des contrôles et rappelle que les responsables de traitement et sous-traitants doivent coopérer et ne peuvent pas s'opposer à l'action de la CNIL.
Questions fréquentes
Les contrôles CNIL génèrent souvent les mêmes erreurs de lecture. Cette partie vise à remettre les choses à plat sans répéter la page d’ensemble sur les sanctions.
Peut-on refuser un contrôle de la CNIL ?
Non. Le principe est le devoir de coopération. En cas de contrôle sur place, le responsable des lieux peut s'opposer à la visite, mais la CNIL peut demander au juge des libertés et de la détention l'autorisation de poursuivre le contrôle. Pour les organismes étatiques, cette opposition n'est pas ouverte.
Un site public peut-il être contrôlé sans préavis ?
Oui, notamment en ligne. Les vérifications peuvent commencer depuis les locaux de la CNIL à partir des éléments librement accessibles ou rendus accessibles en ligne, y compris par négligence ou du fait d'un tiers.
Le vrai sujet est-il uniquement le site visible ?
Non. Le visible compte beaucoup, mais le contrôle devient rapidement documentaire : registre, contrats, logique des traceurs, sécurité, réponses aux droits, organisation interne et pilotage de la conformité.
Que vaut une réponse envoyée dans l'urgence ?
Une réponse envoyée vite mais mal structurée peut aggraver la situation. Il faut répondre dans le temps utile, mais surtout avec un dossier cohérent, des pièces justifiées et un plan de correction crédible.
Le contrôle CNIL récompense surtout la préparation
Quand un site, ses formulaires, ses traceurs et sa documentation disent la même chose, la réponse est plus simple. Quand tout est dispersé, contradictoire ou mal piloté, le contrôle devient immédiatement plus risqué.