[et_pb_section fb_built=\u00a0\u00bb1″ _builder_version=\u00a0\u00bb4.27.2″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_row _builder_version=\u00a0\u00bb4.27.2″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_column type=\u00a0\u00bb4_4″ _builder_version=\u00a0\u00bb4.27.2″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb][et_pb_text _builder_version=\u00a0\u00bb4.27.2″ _module_preset=\u00a0\u00bbdefault\u00a0\u00bb global_colors_info=\u00a0\u00bb{}\u00a0\u00bb]<\/p>\n
Lorsqu\u2019une entreprise re\u00e7oit un courrier de la Commission Nationale de l’Informatique et des Libert\u00e9s (CNIL) demandant des explications sur ses pratiques en mati\u00e8re de traitement de donn\u00e9es personnelles, elle est confront\u00e9e \u00e0 une situation d\u00e9licate qui n\u00e9cessite une r\u00e9ponse rapide, rigoureuse et conforme aux exigences du R\u00e8glement G\u00e9n\u00e9ral sur la Protection des Donn\u00e9es (RGPD). En effet, une r\u00e9ponse inad\u00e9quate peut entra\u00eener des cons\u00e9quences lourdes, notamment des sanctions administratives pouvant aller jusqu\u2019\u00e0 20 millions d\u2019euros ou 4 % du chiffre d\u2019affaires annuel mondial (article 83 du RGPD). Cet article examine les d\u00e9marches \u00e0 suivre face \u00e0 un tel courrier, les risques encourus, l\u2019opportunit\u00e9 de transmettre une Analyse d\u2019Impact relative \u00e0 la Protection des Donn\u00e9es (AIPD), ainsi que les trois \u00e9l\u00e9ments cl\u00e9s \u00e0 fournir dans la r\u00e9ponse pour \u00e9viter un contentieux.<\/strong><\/p>\n La CNIL, en tant qu\u2019autorit\u00e9 de contr\u00f4le charg\u00e9e de veiller au respect des lois sur la protection des donn\u00e9es, peut envoyer un courrier aux entreprises pour obtenir des informations sur le traitement de donn\u00e9es personnelles qu\u2019elles effectuent. Ce courrier peut avoir diff\u00e9rentes motivations : une plainte d\u2019un particulier, un contr\u00f4le programm\u00e9, ou une v\u00e9rification li\u00e9e \u00e0 un signalement. Quelles que soient les raisons, il est essentiel de traiter la demande avec s\u00e9rieux et rapidit\u00e9.<\/p>\n La premi\u00e8re \u00e9tape consiste \u00e0 lire attentivement la demande de la CNIL<\/a>. Le courrier peut demander des informations sp\u00e9cifiques sur certains traitements de donn\u00e9es, la justification de leur base l\u00e9gale, les mesures de s\u00e9curit\u00e9 mises en place, ou encore des pr\u00e9cisions sur les proc\u00e9dures internes permettant l\u2019exercice des droits<\/a> des personnes concern\u00e9es. Il est crucial de bien comprendre ce qui est attendu, les d\u00e9lais de r\u00e9ponse indiqu\u00e9s, et les documents \u00e0 fournir.<\/p>\n Apr\u00e8s avoir identifi\u00e9 les informations demand\u00e9es, il convient de constituer un dossier complet et document\u00e9. Ce dossier doit notamment inclure :<\/p>\n Si l\u2019entreprise a d\u00e9sign\u00e9 un D\u00e9l\u00e9gu\u00e9 \u00e0 la Protection des Donn\u00e9es (DPO), il est imp\u00e9ratif de l\u2019impliquer dans le processus de r\u00e9ponse \u00e0 la CNIL. Le DPO joue un r\u00f4le cl\u00e9 dans<\/p>\n <\/p>\n <\/p>\n l\u2019assistance \u00e0 la conformit\u00e9 de l\u2019organisation et dans la gestion des relations avec l\u2019autorit\u00e9 de contr\u00f4le. Sa mission inclut la supervision des traitements de donn\u00e9es, la sensibilisation des employ\u00e9s, et le conseil sur les r\u00e9ponses \u00e0 apporter aux demandes des autorit\u00e9s. Sa consultation est donc un gage de bonne foi et de diligence dans le cadre du dialogue avec la CNIL.<\/p>\n Une r\u00e9ponse inad\u00e9quate ou l\u2019absence de r\u00e9ponse \u00e0 une demande d\u2019explications de la CNIL peuvent entra\u00eener divers risques pour l\u2019entreprise, allant des sanctions financi\u00e8res aux restrictions sur le traitement des donn\u00e9es.<\/p>\n L\u2019article 83 du RGPD pr\u00e9voit des amendes administratives proportionn\u00e9es \u00e0 la gravit\u00e9 de la violation. Les infractions aux principes de base de la protection des donn\u00e9es, aux droits des personnes concern\u00e9es, ou aux obligations de s\u00e9curit\u00e9 peuvent entra\u00eener des amendes allant jusqu\u2019\u00e0 20 millions d\u2019euros ou 4 % du chiffre d\u2019affaires annuel mondial de l\u2019entreprise, le montant le plus \u00e9lev\u00e9 \u00e9tant retenu.<\/p>\n Si la CNIL estime que le traitement de donn\u00e9es n\u2019est pas conforme aux exigences du RGPD, elle peut adresser \u00e0 l\u2019entreprise une mise en demeure<\/a> de se conformer dans un d\u00e9lai pr\u00e9cis. \u00c0 d\u00e9faut de r\u00e9gularisation, l\u2019autorit\u00e9 peut prendre des mesures coercitives telles qu’une injonction de cesser le traitement ou d’en limiter les finalit\u00e9s.<\/p>\n Dans les cas les plus graves, la CNIL peut ordonner la suspension temporaire ou d\u00e9finitive des activit\u00e9s de traitement, ce qui peut consid\u00e9rablement affecter l’activit\u00e9 de l’entreprise. Par exemple, une soci\u00e9t\u00e9 de e-commerce pourrait \u00eatre emp\u00each\u00e9e d’utiliser ses bases de donn\u00e9es clients, ce qui nuirait directement \u00e0 son chiffre d’affaires.<\/p>\n1. Les d\u00e9marches \u00e0 suivre en r\u00e9ponse \u00e0 un courrier de la CNIL<\/strong><\/h2>\n
a. Analyser attentivement le contenu du courrier<\/em><\/h3>\n
b. Constituer un dossier complet pour r\u00e9pondre \u00e0 la demande<\/em><\/h3>\n
\n
c. Consulter le D\u00e9l\u00e9gu\u00e9 \u00e0 la Protection des Donn\u00e9es (DPO)<\/em><\/h3>\n
2. Les risques en cas de non-conformit\u00e9 ou de r\u00e9ponse insuffisante<\/strong><\/h2>\n
a. Risque de sanctions administratives<\/em><\/h3>\n
b. Risque de mise en demeure ou d’injonction de mise en conformit\u00e9<\/em><\/h3>\n
c. Suspension du traitement des donn\u00e9es<\/em><\/h3>\n
3. Transmettre une AIPD : quand et pourquoi ?<\/strong><\/h2>\n