Données et CNIL
Avocat RGPD et CNIL à Strasbourg
Entreprises et associations : notifier une violation de données à la CNIL, répondre à un contrôle ou à une mise en demeure, tenir le registre et traiter les demandes des personnes, avec un avocat au Barreau de Strasbourg.
Incident ou contrôle· Documenter avant de notifier
Plan
Violation de données, contrôle CNIL : par où commencer ?
Choisissez l’événement. Une violation et un contrôle CNIL ne se préparent pas avec les mêmes pièces.
Comprendre le domaine
Transformer les obligations en procédures concrètes.
Le RGPD concerne les organismes qui traitent des données personnelles : fichiers clients, données de salariés, prospection, vidéosurveillance, dossiers numériques ou services en ligne. La conformité suppose d’identifier les traitements, leurs finalités, leurs bases juridiques, les destinataires et les durées de conservation.
Le registre des activités de traitement constitue un outil de pilotage. Il doit refléter la réalité de l’organisme et être actualisé lorsque les usages, les outils ou les destinataires évoluent.
CNIL, Conseil d’État, tribunal judiciaire : qui décide
Les réclamations et les contrôles relèvent de la CNIL, autorité nationale ; une sanction de la CNIL se conteste devant le Conseil d’État. L’action en réparation d’un dommage causé par un organisme privé relève en principe du tribunal judiciaire, à Strasbourg pour son ressort.
Interventions
De l’audit au contentieux.
Le cabinet accompagne les entreprises, associations et professions réglementées. L’intervention dépend de la structure, de la nature des données, de l’urgence et de l’état de la procédure.
Réagir à une violation de données
Une perte, une divulgation, une altération ou un accès non autorisé peut constituer une violation. L’incident doit être documenté. Lorsqu’un risque existe pour les personnes, la notification à la CNIL intervient au plus tôt et, si possible, dans les 72 heures après la prise de connaissance. En cas de risque élevé, l’information des personnes peut aussi être requise.
- Fixer l’heure de prise de connaissance, avec un degré raisonnable de certitude.
- Décrire les données, les personnes, les conséquences et les premières mesures.
- Notifier sans attendre la fin de toutes les investigations, puis compléter.
Répondre à un contrôle CNIL
La CNIL peut contrôler sur place, sur pièces, en ligne ou sur convocation. Les demandes se traitent dans leur délai, avec une chronologie et la preuve des mesures déjà engagées.
- Lire le périmètre exact du contrôle.
- Préserver les preuves et les échanges techniques.
- Centraliser les réponses déjà transmises.
Mise en demeure et sanction
Selon le dossier, la procédure peut se conclure sans suite, donner lieu à une mise en demeure ou conduire à une sanction. La réponse porte sur les faits, le droit, la proportionnalité et la coopération de l’organisme.
- Établir un plan de correction daté.
- Relier chaque grief à une pièce.
- Préparer la défense devant la formation restreinte si elle est saisie.
Registre, mentions et sous-traitants
Cartographier les traitements, rédiger les mentions, encadrer les sous-traitants et les transferts, documenter la sécurité et les durées de conservation : le registre doit décrire ce que l’organisme fait vraiment.
- Lister les traitements réellement opérés.
- Mettre à jour le registre quand un outil change.
- Vérifier les contrats de sous-traitance et les transferts.
Droits des personnes
Accès, rectification, effacement ou opposition se traitent dans le périmètre de la demande, avec une trace de la réponse. Une demande isolée peut aussi révéler un traitement absent du registre.
- Dater la demande et identifier le demandeur.
- Chercher dans les traitements concernés, pas dans toute l’entreprise au hasard.
- Conserver la réponse et les pièces communiquées.
Déroulé
De l’incident ou du contrôle à une réponse datée.
On documente d’abord, on qualifie le risque ensuite, on répond dans le délai du document — notification, contrôle ou mise en demeure.
- 01 Qualifier l’événement Violation, contrôle, mise en demeure ou simple demande d’une personne.
- 02 Figer les faits Chronologie, données concernées, mesures déjà prises.
- 03 Répondre sur le périmètre Ni plus large ni plus tard que le document ne l’exige.
- 04 Corriger et dater Un plan de correction sans date ne se prouve pas.
Préparer le dossier
Les documents à réunir pour un dossier RGPD.
La liste exacte dépend du dossier. Ces pièces permettent en général de situer l’urgence et la voie utile.
- Description de l’incident ou copie de la demande CNIL.
- Registre des activités de traitement.
- Contrats de sous-traitance et mentions d’information.
- Preuves des mesures de sécurité et des durées de conservation.
- Échanges déjà envoyés à la CNIL ou aux personnes.
- Plan de correction daté, s’il existe.
Points de vigilance
Les réflexes à conserver avant toute démarche.
- Les 72 heures partent de la prise de connaissance, pas de la clôture de l’enquête interne.
- Le calculateur ne dit pas si une notification est obligatoire.
- Une notification peut être complétée ensuite, mais le raisonnement doit être documenté.
- Un contrôle, une mise en demeure et une violation n’ont pas le même dossier de réponse.
- Les données de salariés peuvent aussi relever du droit du travail.