Que se passe-t-il en cas d'enquête de la CNPD sur un dispositif de surveillance ?
Réponse courte
Lorsque la CNPD ouvre une enquête sur un dispositif de surveillance — sur plainte d'un salarié, contrôle d'office ou notification de violation — l'employeur reçoit une demande d'informations écrite à laquelle il doit répondre dans le délai imparti, généralement entre 15 et 30 jours. La CNPD peut procéder à des visites sur place, examiner le registre des traitements RGPD, l'AIPD et tous les documents pertinents.
L'employeur dispose du droit d'être entendu avant toute sanction et peut formuler des observations à chaque étape, de manière analogue à ce qui se passe lorsque l'enquête relève des pouvoirs de l'[ITM](https://itm.public.lu/). La CNPD peut prononcer un avertissement, une mise en demeure, une limitation du traitement ou une amende administrative allant jusqu'à 4 % du chiffre d'affaires mondial. Les décisions sont publiées et susceptibles de recours devant les juridictions administratives.
Définition
L'enquête de la CNPD désigne la procédure de contrôle conduite par la Commission nationale pour la protection des données pour vérifier la conformité d'un traitement au RGPD et à la loi du 1er août 2018. Elle peut être déclenchée par une plainte, un contrôle programmé ou une notification de violation.
La coopération avec la CNPD est une obligation légale : l'employeur doit fournir toutes les informations demandées dans les délais, sans pouvoir invoquer le secret des affaires pour faire obstacle au contrôle (article 31 du RGPD).
Questions fréquentes
Conditions d’exercice
L'enquête CNPD est encadrée par une phase contradictoire obligatoire : l'employeur doit recevoir les griefs par écrit avant toute sanction et dispose d'un délai pour formuler ses observations.
| Étape | Caractéristique |
|---|---|
| Saisine | Plainte d'un salarié, contrôle programmé, notification de violation ou signalement |
| Demande d'informations | Lettre officielle précisant les éléments demandés et le délai de réponse |
| Visite sur place | Préavis ou contrôle inopiné selon les circonstances ; accès aux locaux et aux systèmes |
| Audition | Possibilité d'auditionner le DPO, le responsable de traitement, les salariés concernés |
| Phase contradictoire | Communication des griefs, droit pour l'employeur de présenter ses observations |
| Décision motivée | Notification écrite avec mesures correctrices, sanctions éventuelles et voies de recours |
Modalités pratiques
L'absence de registre des traitements ou d'AIPD lors du contrôle est presque toujours sanctionnée comme manquement autonome, indépendamment du grief initial qui a déclenché l'enquête.
| Démarche | Précision |
|---|---|
| Mobilisation immédiate du DPO | Pilotage de la réponse, coordination avec direction et juriste |
| Constitution du dossier | Registre des traitements, AIPD, notices d'information, contrats sous-traitance, journaux d'accès |
| Réponse documentée | Lettre exhaustive dans le délai imparti, avec annexes probantes |
| Préparation des entretiens | Briefing des personnes auditionnées, cohérence des positions |
| Coopération de bonne foi | Aucune dissimulation ; toute rétention d'information aggrave la sanction |
| Conseil juridique | Recours à un avocat spécialisé en droit de la protection des données |
| Communication interne | Information ciblée des dirigeants et de la délégation, sans dramatisation |
Pratiques et recommandations
Anticiper une éventuelle enquête en tenant à jour en permanence le registre des traitements, l'AIPD et la documentation de conformité — l'absence de ces documents aggrave systématiquement la sanction.
Désigner un point de contact unique (DPO ou référent) pour l'ensemble des échanges avec la CNPD afin de garantir la cohérence des réponses.
Conserver la trace écrite de chaque échange avec la CNPD, des positions exprimées et des engagements pris.
Coopérer pleinement et dans les délais, sans contester abusivement les demandes — la CNPD valorise la transparence et la diligence.
Solliciter rapidement un conseil juridique spécialisé dès la première demande d'informations pour calibrer la stratégie de réponse.
Informer la direction générale et la délégation du personnel proportionnellement aux enjeux, sans alarmer mais en associant les parties prenantes.
Cadre juridique
| Référence | Objet |
|---|---|
| Art. 31 du RGPD | Obligation de coopération avec l'autorité de contrôle |
| Art. 57 et 58 du RGPD | Pouvoirs et missions de l'autorité de contrôle |
| Art. 83 du RGPD | Conditions générales pour imposer des amendes administratives |
| Loi modifiée du 1er août 2018 | Procédure devant la CNPD au Luxembourg |
| Loi du 5 juillet 2016 | Réorganisation et compétences de la CNPD |
| Règlement de procédure CNPD | Modalités pratiques des contrôles |
Note
Le défaut de coopération ou la fourniture d'informations incomplètes constitue un manquement autonome au RGPD, sanctionné jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial. La décision de la CNPD est susceptible de recours devant le tribunal administratif dans un délai de trois mois.