Article 31 RGPD : répondre à un contrôle CNIL

Un courrier de la CNIL arrive pendant l’absence du DPO. L’organisme doit retrouver le délai, les documents demandés et les personnes capables de répondre. L’article 31 impose une coopération à la demande de l’autorité ; cette obligation s’organise avant le contrôle, avec un circuit qui fonctionne aussi pendant les absences.

Qui doit coopérer et dans quel cadre ?

L’Art. 31 du RGPD vise le responsable de traitement, le sous-traitant et, le cas échéant, leurs représentants. Ils coopèrent avec l’autorité de contrôle à sa demande dans l’exécution de ses missions.

Un prestataire ne peut donc pas considérer que seul son client est concerné. L’obligation ne se limite pas non plus à une procédure de sanction. Les pouvoirs d’enquête de l’Art. 58 et, en France, l’Art. 19 de la loi Informatique et Libertés encadrent les vérifications.

La CNIL distingue les contrôles sur place, sur pièces, sur audition et en ligne. Ces modalités peuvent se compléter. N’inventez pas un délai général d’un mois : relevez celui de la demande ou de l’acte reçu et le cadre applicable.

Organiser la réponse sur pièces

Dès réception, vérifiez l’authenticité du courrier, sa référence, son objet, son échéance et les moyens de transmission. Informez les responsables concernés et le DPO. Répartissez les questions sans perdre le suivi central.

Cette grille est une recommandation pratique. Si le délai pose difficulté, expliquez-la rapidement et sollicitez une adaptation. Une demande de prolongation n’est pas une prolongation acquise ; n’annoncez pas une nouvelle échéance comme si l’autorité l’avait acceptée.

Le rôle du DPO dans la coopération aide à organiser les contributions. Le DPO n’est pas automatiquement le représentant légal ni l’unique personne autorisée à répondre.

Préserver l’état réel des pièces

Les réponses doivent décrire ce qui existait à la période demandée. Si une correction est intervenue après le début du contrôle, indiquez sa date et distinguez la situation initiale de la situation actuelle.

Exemple hypothétique : le registre a été complété après le courrier de la CNIL. L’organisme conserve la version antérieure et explique les ajouts. Présenter le nouveau registre comme une preuve de conformité à la date du contrôle donnerait une image inexacte des faits.

Notre guide sur l’intégrité des preuves pendant un contrôle détaille les versions, la chronologie et les corrections. Préservez les éléments utiles et leur contexte ; ne réécrivez pas un historique pour faire disparaître un écart.

Contrôle sur place : coopération et garanties procédurales

L’Art. 19 de la loi Informatique et Libertés prévoit notamment l’accès de 6 heures à 21 heures aux lieux servant à un traitement, ainsi qu’un cadre particulier pour les parties affectées au domicile privé.

Son paragraphe II organise un droit d’opposition du responsable des lieux : lorsque ce droit est exercé, la visite nécessite l’autorisation du juge des libertés et de la détention. Une autorisation judiciaire peut également être obtenue préventivement dans les conditions prévues par le texte. Il est donc faux de présenter toute opposition initiale comme un délit automatique.

Identifiez le cadre de la visite, mobilisez le conseil compétent et les interlocuteurs techniques, et conservez les références des documents copiés. Si une formulation du procès-verbal appelle une observation, formulez-la précisément ; coopérer n’impose pas d’approuver une constatation que vous estimez inexacte.

Les secrets ne justifient pas un refus général

L’Art. 19(III) encadre les documents et accès nécessaires au contrôle. Il prévoit des règles particulières pour les correspondances entre avocat et client, le secret des traitements journalistiques et les données médicales individuelles, auxquelles l’accès s’effectue en présence et sous l’autorité d’un médecin.

Une note interne n’est pas automatiquement couverte par le secret de l’avocat parce qu’un juriste l’a relue. Qualifiez le document et le régime applicable avec le conseil concerné. Évitez de bloquer tout un dossier lorsque la difficulté porte sur certaines pièces seulement.

La coopération demeure compatible avec les garanties procédurales et la contestation des qualifications selon les voies prévues. Une argumentation juridique motivée se distingue de la dissimulation de faits ou du refus de répondre.

Distinguer manquement de coopération et entrave pénale

L’Art. 226-22-2 du Code pénal réprime l’entrave à l’action de la CNIL d’un an d’emprisonnement et de 15 000 euros d’amende pour les personnes physiques. Il vise notamment l’opposition à une visite autorisée par le juge, le refus ou la dissimulation de renseignements utiles, leur disparition et certaines communications inexactes ou inaccessibles.

Ces dispositions sont distinctes des mesures et amendes administratives du RGPD. Aucun barème général ne prévoit une hausse de 30 à 40 % de l’amende selon la qualité de coopération. L’analyse dépend des faits et des textes applicables.

L’Art. 31 ne remplace pas les démarches spontanées requises dans d’autres situations. La notification des violations et la consultation préalable pour risque résiduel élevé suivent leurs propres conditions.

Ce qu’il faut retenir

• L’organisme et ses sous-traitants doivent organiser des réponses exactes et dans les délais applicables.
• Préservez les versions et distinguez les corrections postérieures au contrôle.
• Respectez les garanties de la visite sans confondre opposition initiale et entrave.
• Qualifiez les secrets et difficultés pièce par pièce, avec les interlocuteurs compétents.

FAQ

La CNIL accorde-t-elle automatiquement un mois pour répondre ?

Non. L’article 31 ne fixe pas ce délai. Consultez la demande reçue et sollicitez rapidement un aménagement si nécessaire, sans présumer qu’il est accordé.

Peut-on corriger un manquement pendant le contrôle ?

Oui, mais la correction doit être datée et expliquée. Conservez les éléments décrivant la situation antérieure et évitez toute présentation trompeuse du calendrier.

Le DPO doit-il être présent pour que le contrôle commence ?

Sa mobilisation est utile, mais sa seule absence ne suspend pas automatiquement le contrôle. Prévoyez des relais et identifiez les personnes habilitées à représenter l’organisme.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.