Information préalable aux contrôles de la CNIL

Il résulte de l’article 44 de la loi du 6 janvier 1978 modifiée, dite loi « Informatique et Libertés » que :
- « I. - les membres de la CNIL (…) ont accès, de 6 heures à 21 heures, pour l'exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d'un traitement de données à caractère personnel et qui sont à usage professionnel, à l'exclusion des parties de ceux-ci affectées au domicile privé. Le procureur de la République territorialement compétent en est préalablement informé.
- II. - En cas d'opposition du responsable des lieux, la visite ne peut se dérouler qu'avec l'autorisation du président du tribunal de grande instance dans le ressort duquel sont situés les locaux à visiter ou du juge délégué par lui. Ce magistrat est saisi à la requête du président de la commission. Il statue par une ordonnance motivée, conformément aux dispositions prévues aux articles 493 à 498 du Code de procédure civile. La procédure est sans représentation obligatoire. La visite s'effectue sous l'autorité et le contrôle du juge qui l'a autorisée. Celui-ci peut se rendre dans les locaux durant l'intervention. A tout moment, il peut décider l'arrêt ou la suspension de la visite.
- III. - Les membres de la commission (…) peuvent demander communication de tous documents nécessaires à l'accomplissement de leur mission, quel qu'en soit le support, et en prendre copie ; ils peuvent recueillir, sur place ou sur convocation, tout renseignement et toute justification utiles ; ils peuvent accéder aux programmes informatiques et aux données, ainsi qu'en demander la transcription par tout traitement approprié dans des documents directement utilisables pour les besoins du contrôle. (...) Il est dressé contradictoirement procès-verbal des vérifications et visites menées en application du présent article.

Aux termes de l’article 61 du décret du 20 octobre 2005 :
« Lorsque la commission décide un contrôle sur place, elle en informe préalablement par écrit le procureur de la République dans le ressort territorial duquel doit avoir lieu la visite ou la vérification ».

L'article 62 du même décret ajoute que :
« Lorsque la commission effectue un contrôle sur place, elle informe au plus tard au début du contrôle le responsable des lieux de l'objet des vérifications qu'elle compte entreprendre, ainsi que de l'identité et de la qualité des personnes chargées du contrôle. Lorsque le responsable du traitement n'est pas présent sur les lieux du contrôle, ces informations sont portées à sa connaissance dans les huit jours suivant le contrôle. Dans le cadre de leurs vérifications, les personnes chargées du contrôle présentent en réponse à toute demande leur ordre de mission et, le cas échéant, leur habilitation à procéder aux contrôles.

Le Conseil d’Etat a annulé deux délibérations de la CNIL constatant des manquements (CE, 6 novembre 2009, n° 304300 et n° 304301 : Lebon 2009) au motif que le responsable des locaux ou le représentant qu'il a désigné à cette fin devait être préalablement informé de son droit de s'opposer à la visite et mis à même de l'exercer.

La seule mention que le contrôle est effectué en application de l’article 44 de la loi du 6 janvier 1978 modifiée ne saurait tenir lieu de l'information requise. La société contrôlée est alors fondée à soutenir que la sanction qui lui a été infligée, dès lors qu'elle reposait sur les faits constatés lors des contrôles effectués, a été prise au terme d'une procédure irrégulière.