Que demande la CNPD lors d'un contrôle ?
Réponse courte
Le registre des traitements en premier. L'article 30 du RGPD impose de tenir un registre des activités de traitement mentionnant les finalités, les catégories de données et de destinataires, les transferts éventuels et les durées prévues : c'est la pièce qui structure tout le contrôle, et son absence est en soi un manquement.
Viennent ensuite les documents qui démontrent la cohérence entre ce qui est déclaré et ce qui est pratiqué : l'information donnée aux salariés (article 13), les contrats de sous-traitance (article 28), les mesures de sécurité (article 32) et la politique de conservation, avec les traces de purge.
En matière de surveillance, une pièce spécifique s'ajoute : l'information préalable de la délégation du personnel ou de l'ITM exigée par l'article L.261-1, qui précède la mise en œuvre du dispositif.
Définition
La CNPD est l'autorité de contrôle en matière de protection des données. Elle dispose des pouvoirs d'enquête de l'article 58 du RGPD, notamment celui d'obtenir l'accès aux informations nécessaires à l'accomplissement de ses missions.
Le registre des traitements n'est pas un document de conformité parmi d'autres : il est le point d'entrée du contrôle, et l'écart entre ce qu'il annonce et la réalité des systèmes constitue le manquement le plus simple à établir.
Conditions d’exercice
Le contrôle porte sur la cohérence de l'ensemble, non sur des pièces isolées.
| Pièce | Ce qu'elle démontre | Base |
|---|---|---|
| Registre des activités de traitement | Les finalités, les catégories et les durées prévues | RGPD, article 30 |
| Information des salariés | Ce qui leur a été communiqué, y compris les durées | RGPD, article 13 |
| Contrats de sous-traitance | L'encadrement des prestataires et hébergeurs | RGPD, article 28 |
| Mesures de sécurité | Habilitations, journalisation, chiffrement | RGPD, article 32 |
| Politique de conservation et traces de purge | Que les durées annoncées sont appliquées | RGPD, article 5 |
| Information préalable en matière de surveillance | Le respect du régime propre au droit du travail | L.261-1 |
Modalités pratiques
Ce qui se prépare avant un contrôle est un dossier, non une réponse : les mêmes pièces servent à chaque fois.
| Élément | État attendu |
|---|---|
| Registre des traitements | À jour, incluant les archives papier |
| Durées | Identiques dans le registre, l'information et les systèmes |
| Sous-traitants | Liste tenue à jour, contrats disponibles |
| Demandes des personnes | Historique des demandes et des réponses, dans le délai d'un mois |
| Violations de données | Registre interne des violations, notifications effectuées |
| Surveillance | Information préalable datée, saisine éventuelle de la délégation |
Pratiques et recommandations
L'écart entre le registre et la réalité est le manquement le plus facile à constater, et le plus fréquent. Annoncer trois ans et conserver dix ans crée une contradiction documentée par l'entreprise elle-même : mieux vaut inscrire la durée réellement pratiquée, avec son fondement.
Les archives papier sont le second angle mort. Le registre décrit les applications et oublie les cartons, alors que ceux-ci contiennent les dossiers les plus anciens, souvent sans inventaire ni durée. Les y faire figurer est l'action la plus rentable avant un contrôle.
L'historique des demandes des salariés se conserve. Il démontre que les droits d'accès, de rectification et d'effacement sont traités dans le délai d'un mois — élément que la CNPD vérifie systématiquement lorsqu'elle a été saisie d'une réclamation.
Cadre juridique
| Référence | Objet |
|---|---|
| RGPD, article 30 | Registre des activités de traitement |
| RGPD, article 58 | Pouvoirs d'enquête de l'autorité de contrôle |
| RGPD, article 13 | Information des personnes concernées |
| RGPD, article 28 | Contrats de sous-traitance |
| RGPD, article 32 | Sécurité du traitement |
| Article L.261-1 du Code du travail | Information préalable en matière de surveillance et saisine de la CNPD |
Note
Le registre des traitements est la première pièce demandée, et l'écart entre les durées annoncées et la réalité le manquement le plus simple à établir. Faites-y figurer les archives papier, qui échappent presque toujours aux inventaires.