Contrôle CNIL : comment s'y préparer sereinement

Un contrôle de la CNIL peut intervenir sur plainte, à la suite d'une violation ou dans le cadre d'une thématique annuelle. S'y préparer en continu transforme une épreuve en simple formalité.

Les pièces maîtresses

Registre des traitements à jour, analyses d'impact, mentions d'information, contrats de sous-traitance et politique de sécurité : ce sont les documents les plus fréquemment examinés.

Comment arrive un contrôle

Quatre origines principales : le programme annuel de la CNIL (chaque année, des thématiques prioritaires sont annoncées — la santé y figure régulièrement), les plaintes de patients ou de salariés, les violations de données notifiées (une notification peut déclencher une vérification), et les signalements — presse, lanceurs d'alerte, autres administrations. Le contrôle prend quatre formes : sur place, sur pièces, en ligne (vérification à distance de votre site ou application) ou sur audition.

Dans le secteur de la santé, les précédents rappellent que le risque est réel : en 2022, un éditeur de logiciels de laboratoires a été sanctionné à hauteur de 1,5 million d'euros à la suite d'une fuite massive de données de patients — avec des manquements de sécurité et d'encadrement contractuel au cœur du dossier.

Le jour J : déroulé et bons réflexes

Lors d'un contrôle sur place, les agents peuvent accéder aux locaux, demander communication de tout document utile, entendre les équipes et faire des copies. Tout est consigné dans un procès-verbal, sur lequel vos observations peuvent être portées — faites-le systématiquement. Vous pouvez être assisté d'un conseil. Deux erreurs à ne jamais commettre : l'improvisation (des réponses contradictoires entre interlocuteurs pèsent lourd) et l'obstruction — entraver l'action de la CNIL est un délit (article 226-22-2 du code pénal), et la frontière avec la simple mauvaise volonté est vite franchie.

Préparez en amont un « kit contrôle » : qui accueille, qui répond sur quoi, où sont les documents, qui prévient la direction et le DPO. Le jour venu, cette heure de préparation en vaut cent.

Ce que la CNIL scrute particulièrement en santé

Les habilitations et la traçabilité des accès au dossier patient (qui peut lire quoi, et le prouve-t-on ?), les durées de conservation effectivement appliquées, l'information des patients, l'encadrement des sous-traitants — hébergement HDS compris —, la sécurité (mots de passe, chiffrement, sauvegardes) et le traitement des violations passées. Autant de points qui se préparent en continu, pas la veille.

Et après ?

Trois issues : la clôture simple, la mise en demeure (publique ou non) avec délai de mise en conformité, ou l'engagement d'une procédure de sanction — amendes jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, injonctions sous astreinte, publicité de la décision. Une procédure simplifiée existe pour les dossiers moins complexes. La ligne de défense la plus efficace reste la même dans tous les cas : une documentation à jour qui démontre une conformité vivante, pas un classeur poussiéreux.

La liste des 12 documents à pouvoir produire sous 48 heures

1. Le registre des activités de traitement, daté et à jour. 2. Le registre des violations de données, même vide. 3. Les analyses d'impact (AIPD) des traitements à risque — fréquentes en santé — ou, à défaut, le dépistage documenté concluant qu'aucune n'est requise. 4. La désignation du DPO et la preuve de sa déclaration à la CNIL. 5. Les mentions et notices d'information remises aux patients et aux salariés. 6. Les contrats de sous-traitance (article 28) des prestataires critiques, éditeurs et hébergeur HDS en tête. 7. Le certificat HDS de l'hébergeur et son périmètre. 8. La politique de sécurité et la politique de gestion des habilitations. 9. Les procédures d'exercice des droits et les preuves de leur application. 10. La politique de durées de conservation et les preuves de purge. 11. Les supports de formation et les feuilles d'émargement. 12. La cartographie des transferts hors Union européenne, le cas échéant.

Ce n'est pas une liste théorique : c'est, à peu de chose près, la première demande de pièces d'une délégation de contrôle. Chaque document manquant ou obsolète oriente la suite du contrôle vers la profondeur.

Les cinq erreurs qui aggravent un contrôle

Répondre à côté ou trop : ne produisez que ce qui est demandé, exactement ce qui est demandé. Laisser chacun répondre dans son coin : une seule voix coordonne, le DPO. Improviser des engagements (« nous allons tout chiffrer d'ici un mois ») que la CNIL consignera et vérifiera. Antidater ou maquiller un document : c'est la faute qui transforme un manquement en dossier de sanction. Enfin, négliger le procès-verbal : relisez-le ligne à ligne et faites-y porter vos observations — c'est votre première pièce de défense.

En résumé : la to-do de ce trimestre

Constituez votre kit contrôle (pièces + rôles + circuit de décision), faites tourner un exercice à blanc d'une demi-journée sur la liste des 12 documents, corrigez les trous constatés, et inscrivez la revue au calendrier tous les six mois. Une organisation qui a fait cet exercice une fois aborde un contrôle réel avec 90 % du stress en moins — et des documents qui plaident pour elle.