Contrôle CNIL : préserver les versions des preuves

Une demande de la CNIL arrive pendant que l’équipe corrige des accès trop larges. Faut-il envoyer l’ancienne matrice d’habilitation ou la nouvelle ? Les deux peuvent être utiles, mais elles ne prouvent pas la même chose. La première décrit un état antérieur ; la seconde peut démontrer une correction, à condition de connaître sa date et sa mise en œuvre.

Préserver l’intégrité des preuves consiste à rendre leurs versions, leur provenance et leurs limites compréhensibles. Un dossier fidèle distingue ce qui était en place, ce qui a été constaté et ce qui a changé. Il ne transforme pas une mesure récente en conformité historique.

Ce qu’il faut retenir

• Conservez les pièces pertinentes sans modifier silencieusement leur contenu.
• Distinguez date des faits, date d’extraction et date d’une éventuelle reconstitution.
• Reliez chaque réponse à une pièce identifiable et à son périmètre exact.
• Corrigez les problèmes urgents tout en préservant les éléments utiles au contrôle.
• Une pièce absente doit rester une limite expliquée, pas devenir une preuve inventée.

Ce que la coopération exige

L’Art. 31 du RGPD impose au responsable et au sous-traitant de coopérer avec l’autorité à sa demande. Les pouvoirs d’enquête comprennent la communication d’informations et l’accès aux données nécessaires à ses missions, selon l’Art. 58(1). L’organisation du dossier doit faciliter cette vérification. Art. 31 et Art. 58(1).

La fidélité des réponses a aussi une portée pénale. L’Art. 226-22-2, 2° et 3°, vise notamment le refus, la dissimulation ou la disparition de renseignements utiles, ainsi que la communication d’informations non conformes aux enregistrements au moment de la demande ou qui ne les présentent pas sous une forme directement accessible. Le texte prévoit un an d’emprisonnement et 15 000 euros d’amende. Cela ne signifie pas que toute erreur matérielle constitue automatiquement une entrave. Code pénal, Art. 226-22-2.

La CNIL peut contrôler sur place, sur pièces, sur audition ou en ligne. Le déroulement présenté par la CNIL permet d’identifier le contexte de la demande. Ce guide traite l’organisation des documents ; l’exercice des droits procéduraux et les questions de secrets protégés demandent une analyse propre au dossier.

Partir de la demande, pas d’un dossier standard

Conservez la demande reçue et relevez ses questions, son périmètre, ses échéances et le format attendu. Désignez un coordinateur pour rapprocher les réponses et un détenteur pour chaque pièce. La coordination n’empêche pas les interlocuteurs compétents de répondre aux agents ; elle évite surtout l’envoi de fichiers contradictoires sans explication.

Pour une question sur les habilitations, recherchez les exports techniques, décisions d’attribution, procédures et vérifications disponibles. Chaque support répond à une question différente. Une procédure affirme ce qui devrait être fait ; un export montre un état du système ; un journal peut documenter certaines opérations. Aucun ne remplace automatiquement les autres.

Si le périmètre demandé est ambigu, faites préciser le besoin par le circuit du contrôle. Une demande de précision ou de délai complémentaire ne vaut pas accord. Préparez les éléments disponibles et signalez les difficultés avant l’échéance, sans présumer que celle-ci est reportée.

Un dossier renseigné : accès à l’espace clients

Cas hypothétique. Le 10 septembre 2026, Services Aubier reçoit un questionnaire portant notamment sur les accès à son espace clients. L’export du même jour montre douze comptes disposant d’un accès global. L’analyse métier établit que quatre n’en ont pas besoin. Les droits sont retirés le 11 septembre et vérifiés le 12.

Les journaux disponibles couvrent seulement la période du 1er au 10 septembre. L’entreprise ne dispose pas d’un export antérieur au 10. Elle ne peut donc pas affirmer que les douze comptes avaient les mêmes droits depuis janvier, ni qu’aucun accès excessif n’a eu lieu avant septembre.

Le coordinateur prépare ce bordereau. Les références et dates illustrent une méthode ; elles ne correspondent pas à un contrôle réellement effectué.

L’entreprise distingue ainsi décision, action et vérification. Si une restriction porte seulement sur l’interface alors qu’un accès direct reste possible, la pièce P-04 doit le mentionner. Elle ne conclut pas à une correction complète sur la seule disparition d’un menu.

Préserver les originaux et documenter les transformations

Conservez une copie de référence des éléments collectés, avec accès limités. Travaillez sur des copies distinctes pour les conversions, extraits et annotations. Une « copie de référence » est ici une mesure d’organisation ; son nom ne lui confère pas une valeur probante particulière par lui-même.

Pour P-01, la fiche de provenance indique : système « espace clients », export des habilitations globales, date et heure, fuseau horaire, compte autorisé ayant réalisé l’extraction, absence de filtre par service et format d’origine. Elle conserve également les paramètres utiles pour expliquer l’extraction. Un export ultérieur ne reproduira pas nécessairement l’ancien état si le système a changé.

Une conversion en PDF peut supprimer une feuille, une colonne ou des métadonnées. Joignez une version lisible lorsque c’est utile, mais gardez la correspondance avec le fichier source. Signalez les transformations au bordereau. Pour une capture d’écran, indiquez le compte utilisé, le contexte et la date ; une vue partielle ne démontre pas à elle seule l’état de toute l’application.

Une empreinte numérique peut aider à vérifier que deux exemplaires correspondent au même fichier. Elle ne prouve pas, à elle seule, que le contenu était vrai, qu’il existait à une date ancienne ou qu’il a été effectivement appliqué. Ce guide ne présente aucune obligation générale d’empreinte pour chaque pièce : choisissez un dispositif proportionné et compréhensible.

Rédiger une réponse qui ne dépasse pas les preuves

La réponse du scénario peut être formulée ainsi :

À la date de l’extraction du 10 septembre, douze comptes disposaient d’un accès global à l’espace clients (P-01). Après analyse du besoin, quatre droits ont été retirés le 11 septembre (P-03). La vérification du 12 septembre est documentée en P-04. Nous ne disposons pas d’un export antérieur au 10 septembre. Les journaux disponibles et leurs limites sont décrits en P-02. La procédure P-05 a été approuvée le 12 septembre ; elle est présentée comme une mesure nouvelle.

Cette réponse distingue les faits établis de l’inconnu. Elle est préférable à « seuls les salariés habilités ont toujours eu accès », affirmation que les pièces ne soutiennent pas.

Si une notice ancienne manque, recherchez les versions disponibles, les dates de publication documentées et les archives pertinentes. Une reconstitution fondée sur des témoignages reste présentée comme telle : auteur, date de rédaction, éléments utilisés et incertitudes. L’historique des notices facilite ce travail lorsqu’il a été entretenu avant le contrôle.

Ne comblez pas un silence par une attestation absolue. L’absence d’événement dans des journaux incomplets ne démontre pas l’absence d’accès. Expliquez les recherches réalisées et ce qu’elles permettent réellement de conclure.

Corriger sans effacer l’état antérieur

La préservation des preuves ne justifie pas de laisser un accès dangereux ouvert. Organisez rapidement la collecte des éléments pertinents et la mesure de protection, en consignant leur chronologie. Si une action urgente doit intervenir avant une extraction complète, documentez cette contrainte et les éléments qui restent disponibles.

Le plan de correction des écarts suit les responsables, échéances et vérifications. Il reste distinct du dossier historique. Une correction clôturée aujourd’hui ne permet pas de dater rétroactivement sa réalisation.

Examinez séparément si les faits révèlent une violation de données. La coopération au contrôle ne remplace pas l’analyse des risques, la documentation et, lorsque leurs conditions sont réunies, la notification ou la communication des Art. 33 et 34. RGPD, Art. 32 à 34.

Encadrer les occultations et les pièces confidentielles

N’effacez pas discrètement une partie d’une pièce demandée au motif qu’elle est embarrassante ou contient des données personnelles. L’Art. 19(III) de la loi Informatique et Libertés organise les pouvoirs de communication et les secrets opposables, avec notamment des règles particulières pour les relations avocat-client, les sources journalistiques et le secret médical. Texte national, Art. 19(III).

Lorsqu’une restriction ou une occultation paraît nécessaire, identifiez précisément son fondement et échangez sur la modalité appropriée. Conservez l’original, la copie transmise et la trace de ce qui a été retiré. Une occultation apparente doit aussi être effective dans le fichier remis ; vérifiez les commentaires, couches ou textes récupérables.

Vérifier l’envoi et conserver sa version exacte

Avant transmission, rapprochez chaque référence du bordereau avec le fichier effectivement joint. Vérifiez l’ouverture des documents, leur périmètre et le canal indiqué. La charte des contrôles, version du 1er juin 2023, décrit la transmission sécurisée et la possibilité d’observations complémentaires. Elle ne remplace pas les dispositions légales. Pour l’envoi électronique chiffré qu’elle décrit, le secret est transmis par un autre moyen.

Conservez le paquet remis, son bordereau et l’accusé disponible. Si une erreur apparaît ensuite, adressez une rectification identifiée : pièce concernée, erreur, effet sur la réponse et nouvelle référence. Ne remplacez pas simplement le fichier local en laissant croire que la version corrigée avait été envoyée.

Limitez les accès au dossier et fixez une conservation justifiée par la procédure et ses suites possibles, avec réexamen. Une passation DPO doit transmettre les échéances et la version réellement remise, pas seulement un dossier de travail dispersé.

FAQ

Peut-on envoyer une procédure rédigée après le contrôle ?

Oui, si elle est utile et correctement datée. Distinguez son approbation, son déploiement et la vérification de son application. Sa rédaction ne prouve pas une pratique antérieure.

Que faire si une pièce historique n’existe plus ?

Expliquez son absence, les recherches et les éléments de remplacement disponibles. Identifiez clairement toute reconstitution et ses limites ; ne lui attribuez pas la date ni la portée d’un original retrouvé.

Une empreinte numérique suffit-elle à garantir la preuve ?

Non. Elle contribue à identifier un fichier, mais ne démontre pas seule sa provenance, la vérité du contenu ou sa date historique. Le contexte et la chaîne documentaire restent nécessaires.

Recevez nos analyses pratiques sur la conformité RGPD dans la newsletter.

Thiébaut Devergranne, docteur en droit et fondateur de donneespersonnelles.fr, travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.