Nous utilisons des cookies et autres technologies pour :
Vous offrir les fonctionnalités essentielles
Analyser l'audience et les performances
Si vous cliquez sur « Tout accepter », nous et nos partenaires, dont Google, utiliserons également des cookies et autres technologies, notamment pour :
Personnaliser les annonces
Mesurer et améliorer l'efficacité des annonces
Vous pouvez accepter, refuser ou personnaliser vos choix à tout moment via le lien « Gérer les cookies » disponible en bas de toutes les pages.
Les cookies nécessaires contribuent à rendre un site web utilisable en activant des fonctions de base comme la navigation de page et l'accès aux zones sécurisées du site web. Le site web ne peut pas fonctionner correctement sans ces cookies.
Fonctionnel
Les cookies et traceurs fonctionnels servent à vous rendre un service que vous demandez, sans mesurer votre navigation ni alimenter de publicité. Ils sont actifs par défaut ; les refuser désactive la messagerie d'assistance, le reste du site continue de fonctionner.
Nom : crisp-client* | crisp-loader (stockage local du navigateur, et non cookies)
Objet : Crisp fait fonctionner la messagerie d'assistance de votre demande de devis. Le traceur conserve votre conversation d'une page à l'autre et rattache vos messages à votre dossier, afin que vous n'ayez pas à tout réexpliquer.
Information complémentaire : Le chargement de la messagerie contacte client.crisp.chat et client.relay.crisp.chat. Aucune donnée n'est utilisée à des fins publicitaires.
Période de stockage : Jusqu'à effacement des données de navigation
Marketing
Les cookies marketing sont utilisés pour effectuer le suivi des visiteurs au travers des sites web. Le but est d'afficher des publicités qui sont pertinentes et intéressantes pour l'utilisateur individuel et donc plus précieuses pour les éditeurs et annonceurs tiers.
Objet : Avec Google Analytics, nous mesurons comment vous utilisez nos sites, comment vous avez trouvé notre site et si vous rencontrez des erreurs. Nous utilisons ces données pour améliorer notre site.
Information complémentaire : Google peut stocker ou utiliser une partie ou l'ensemble des cookies ou technologies similaires dans votre navigateur, appli ou appareil aux fins décrites ci-dessus. Pour gérer la manière dont les cookies sont utilisés, consultez g.co/privacytools. Vous pouvez aussi gérer les cookies dans votre navigateur.
Objet : Ces cookies gardent la trace des pages que vous consultez. Cela nous permet de vous montrer des annonces pertinentes sur Google et ses partenaires et de mesurer l'efficacité de nos campagnes.
Nom : MSCC | MUID | MUIDB | SRCHD | SRCHHPGUSR | SRCHUID | SRCHUSR | _uetsid
Objet : Ces cookies gardent la trace des pages que vous consultez. Cela nous permet de vous montrer des annonces pertinentes sur Bing et ses partenaires et de mesurer l'efficacité de nos campagnes.
Objet : Ces cookies permettent d'afficher des annonces publicitaires personnalisées (ciblage et reciblage publicitaire), de mesurer l'efficacité de nos campagnes Facebook et d'analyser le fonctionnement du site.
La perspective d'un contrôle de la Commission nationale de l'informatique et des libertés (CNIL) demeure souvent source d'inquiétude pour les entreprises. Pourtant, dans la majorité des cas, ce n'est pas tant le contrôle lui-même qui pose difficulté que l'absence de préparation de l'organisme contrôlé. Un registre des traitements incomplet, des contrats de sous-traitance introuvables ou des interlocuteurs ne sachant pas répondre aux questions des agents constituent autant de facteurs susceptibles de compliquer inutilement les opérations de contrôle.
Le RGPD repose sur le principe d'accountability, consacré à l'article 5, paragraphe 2, et à l'article 24 du règlement. En pratique, cela signifie que le responsable du traitement doit être en mesure de démontrer, à tout moment, sa conformité aux règles relatives à la protection des données personnelles. Un contrôle CNIL ne s'improvise donc pas : il se prépare.
Trouvez votre avocat en droit des nouvelles technologies
Gratuit et sans engagement
Continuer
Anticiper l'organisation interne du contrôle
La première étape consiste à définir, en amont, une véritable procédure interne dédiée à la gestion d'un contrôle. Il est fréquent que les agents de la CNIL se présentent sans que les équipes sachent précisément qui doit les accueillir, quels documents doivent être communiqués ou encore qui est habilité à répondre aux questions.
Cette désorganisation constitue souvent une première difficulté. Les réponses contradictoires de plusieurs collaborateurs, les recherches improvisées de documents ou encore l'absence d'un interlocuteur clairement identifié peuvent donner l'impression d'une gouvernance défaillante, indépendamment même du niveau réel de conformité de l'entreprise.
Il est donc recommandé de désigner un référent chargé de coordonner l'ensemble des opérations. Selon l'organisation de l'entreprise, ce rôle pourra être assuré par le délégué à la protection des données (DPO), le responsable juridique ou encore un membre de la direction. Les autres services, notamment les équipes informatiques, les ressources humaines ou le marketing, devront savoir qu'ils ne répondent aux questions des contrôleurs qu'en coordination avec ce référent.
Il est opportun d'anticiper les modalités d'intervention d'un avocat avant même qu'un contrôle ne soit engagé. Celui-ci pourra assister l'entreprise tout au long des opérations, veiller au respect des droits de l'organisme contrôlé et, lorsque cela est possible, accompagner les échanges avec les agents de la CNIL ainsi que formuler des observations sur le procès-verbal.
Au-delà de son rôle de défense, l'avocat participe également à sécuriser la communication de l'entreprise et à éviter certaines erreurs qui pourraient, sans être constitutives d'un manquement au RGPD, compliquer les suites du contrôle.
Constituer un dossier documentaire immédiatement disponible
L'une des principales difficultés rencontrées lors des contrôles réside dans la capacité de l'entreprise à produire rapidement les documents justifiant sa conformité. Les agents de la CNIL vérifient moins l'existence théorique d'une politique RGPD que sa traduction concrète dans la documentation de l'entreprise.
À cet égard, plusieurs documents méritent une attention particulière. Le registre des activités de traitement prévu par l'article 30 du RGPD constitue naturellement la pièce centrale du dispositif. Celui-ci doit être à jour et refléter fidèlement les traitements effectivement réalisés. Les contrats conclus avec les sous-traitants, conformément à l'article 28 du RGPD, les analyses d'impact lorsque celles-ci sont requises par l'article 35, les politiques de conservation des données, les procédures de gestion des violations de données ainsi que les registres relatifs à l'exercice des droits des personnes concernées doivent également pouvoir être produits sans délai.
La simple existence de ces documents ne suffit toutefois pas. Encore faut-il qu'ils correspondent à la réalité des pratiques de l'entreprise.
Vérifier la cohérence entre la documentation et les pratiques
Une erreur fréquente consiste à considérer qu'une documentation RGPD élaborée plusieurs années auparavant demeure suffisante. Or, les traitements évoluent continuellement : nouveaux logiciels, nouveaux prestataires, évolution des activités, recours accru aux services cloud ou encore développement de l'intelligence artificielle.
Le contrôle constitue précisément l'occasion pour la CNIL de confronter les documents internes aux traitements effectivement réalisés. Un registre mentionnant des durées de conservation qui ne sont plus appliquées, une politique de confidentialité ne correspondant plus aux traitements effectués ou des contrats de sous-traitance obsolètes peuvent rapidement être identifiés.
Une revue régulière de l'ensemble de la documentation constitue donc un préalable indispensable à toute préparation sérieuse.
Former les équipes avant toute intervention de la CNIL
La conformité ne repose pas uniquement sur les juristes ou le DPO. Les agents de la CNIL peuvent être amenés à interroger différents collaborateurs afin de comprendre le fonctionnement concret des traitements de données personnelles.
Il est dès lors recommandé de sensibiliser les équipes aux principaux réflexes à adopter. Les collaborateurs doivent notamment être informés que, lorsqu'ils ne disposent pas de l'information, ils peuvent éviter toute réponse improvisée, orienter les agents vers le référent désigné et répondre avec précision sans spéculer sur des éléments qu'ils ne maîtrisent pas.
Une telle préparation permet généralement de limiter les maladresses de communication qui peuvent compliquer inutilement le déroulement des opérations de contrôle.
À l'instar des exercices de gestion de crise ou des simulations d'incident informatique, il peut être particulièrement utile d'organiser un contrôle blanc.
L'objectif n'est pas seulement de vérifier l'existence des documents obligatoires, mais également d'évaluer la capacité de l'entreprise à les produire rapidement, à identifier les bons interlocuteurs et à répondre de manière coordonnée aux demandes des agents. Cette démarche permet fréquemment de mettre en évidence des lacunes organisationnelles qui seraient passées inaperçues en l'absence d'un exercice pratique.
Fiche pratique rédigée par
Maître Nathan BENZACKEN
Avocat au barreau de PARIS (droit bancaire, droit commercial, droit de l'environnement)
Mon voisin a renouvelé son système de vidéosurveillance et a installé une nouvelle caméra, qui est dirigée directement sur ma propriété. l'entente avec mon...
