Le Conseil d'Etat restreint le pouvoir de contrôle de la Cnil

Les pouvoirs de contrôle de la Cnil viennent d’être sérieusement écornés par le Conseil d’État, dans deux arrêts du 6 novembre (consulter les arrêts en fin de texte). Le responsable des locaux ou le représentant qu’il a désigné à cette fin doit avoir « été préalablement informé de son droit de s’opposer à la visite et mis à même de l’exercer », décide la Haute juridiction, alors même qu’aucune disposition ne le prévoit. Une solution de portée générale que le Conseil d’État justifie par le principe de proportionnalité.

Lourdes sanctions financières

Des particuliers, ulcérés par le démarchage de deux sociétés spécialisées dans la vente et la pose de fenêtres, ont déposé plainte auprès de la Cnil. Celle-ci a diligenté une mission de contrôle au siège des sociétés. Première conséquence des contrôles : une délibération enjoignant aux sociétés de cesser d’utiliser la base de données non mise à jour et de prendre toute mesure de nature à garantir l’effectivité du droit d’opposition à recevoir une prospection commerciale, et ce dans un délai de 15 jours.
Par la suite, la Cnil a effectué de nouvelles visites dans l’entreprise. Le système n’étant pas conforme malgré la mise en demeure, chacune des sociétés a écopé d’une sanction de 30 000 euros plus une injonction de cesser d’utiliser la base de données tant qu’une procédure efficace des demandes de radiation ne serait pas mise en place et notifiée à la commission.

Les sociétés ont demandé au Conseil d’État d’annuler les délibérations, demande à laquelle la Haute juridiction administrative a accédé, jugeant les contrôles irréguliers.

Accès aux locaux professionnels et aux programmes informatiques

Les membres de la Cnil ont accès, de 6 heures à 21 heures, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d’un traitement de données à caractère personnel. Le législateur prévoit simplement l’information préalable du procureur de la République.
Lors de leur visite, les membres de la Cnil ont des pouvoirs étendus, puisqu’ils peuvent demander communication de tous documents nécessaires à l’accomplissement de leur mission, quel qu’en soit le support, et en prendre copie ; ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles ; ils peuvent accéder aux programmes informatiques et aux données, ainsi qu’en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle (art. 44 de la loi du 6 janvier 1978 modifié par la loi du 6 août 2004). Et toute entrave à l’exercice du droit de visite est passible de sanctions pénales.

Droit de s’opposer au contrôle

De tels pouvoirs ne sont toutefois pas sans limite, puisque la loi prévoit la possibilité pour le responsable des lieux de s’opposer à la visite, qui ne peut alors se dérouler qu’avec l’autorisation du président du tribunal de grande instance. La visite s’effectue sous l’autorité et le contrôle du juge qui l’a autorisée.

Un droit de s’opposer est ainsi accordé, mais aucun droit d’en être informé n’est prévu. Et c’est la faille que dénonce le Conseil d’État, dans les arrêts du 6 novembre : « En raison, tant de l’ampleur de ces pouvoirs de visite des locaux professionnels et d’accès aux documents de toute nature qui s’y trouvent que de l’imprécision des dispositions qui les encadrent, cette ingérence ne pourrait être regardée comme proportionnée aux buts en vue desquelles elle a été exercée, qu’à la condition d’être préalablement autorisée par un juge ; toutefois, la faculté du responsable des locaux de s’opposer à la visite offre une garantie équivalente à l’autorisation préalable du juge ; une telle garantie ne présente néanmoins un caractère effectif que si le responsable des locaux ou le représentant qu’il a désigné à cette fin a été préalablement informé de son droit de s’opposer à la visite et mis à même de l’exercer ».

La Cnil a déclaré prendre acte de ces décisions et avoir d’ores et déjà modifié ses pratiques de contrôle, afin de se conformer aux exigences du Conseil d’État. Elle procède dorénavant systématiquement à l’information des personnes faisant l’objet d’un contrôle sur place de l’ensemble des éléments prévus à l’article 44 de la loi, et notamment :

– de leur droit à s’opposer à ce contrôle ;

– dans cette hypothèse, de la possibilité pour le président de la Cnil de saisir le président du TGI, afin que ­celui-ci autorise la mission de contrôle, y compris en faisant appel à la force publique. La Cnil affirme solennellement son intention de saisir systématiquement le juge en cas d’opposition.

- Conseil d'Etat, 6 novembre 2009, n° 304300

- Conseil d'Etat, 6 novembre 2009, n° 304301

A lire aussi...

• Grippe A : la Cnil simplifie les obligations des employeurs

• Une vidéosurveillance des salariés doit être proportionnée au but recherché

• La Cnil et le CHSCT au chevet des systèmes d’évaluation

• La Cnil autorise des dispositifs biométriques