Le Conseil d'État vient de rappeler une règle de procédure que bien des organisations ignorent au moment où la CNIL se présente. Avant tout contrôle sur place, la Commission doit informer les dirigeants de leur droit de s'opposer à la visite et de saisir le juge. Sans cette information, la procédure est irrégulière. Et les sanctions qui en découlent tombent. Deux amendes annulées pour vice de procédure Les faits sont nets. Deux entreprises n'avaient pas été informées de ce droit lors d'un contrôle. Le Conseil d'État a jugé la procédure irrégulière et annulé les sanctions prononcées à leur encontre. Deux amendes de 30 000 euros. La CNIL a indiqué qu'elle appliquerait la décision. Le fondement n'a rien de nouveau. La loi du 6 janvier 1978, celle qui a créé la CNIL, prévoit qu'en cas d'opposition du responsable des lieux, la visite ne peut se dérouler qu'avec l'autorisation du juge. Le responsable qui s'oppose voit ses motifs consignés au procès-verbal, et le juge des libertés et de la détention tranche ensuite. Ce que la décision remet au centre, c'est le caractère substantiel de cette information préalable. Pas une formalité de confort. Une condition de validité de toute la procédure. Un droit encadré, à ne pas confondre avec l'entrave Il ne faut pas surinterpréter la portée de ce droit. Il connaît des limites précises. En cas d'urgence, de gravité particulière des faits, ou de risque de destruction ou de dissimulation de documents, le contrôle peut avoir lieu sans information préalable, sur autorisation du juge. Dans ce cas, le responsable ne peut pas s'opposer. Et surtout, s'opposer n'est pas entraver. Exercer son droit d'opposition est légal et prévu par les textes. Dissimuler, détruire des documents ou faire obstacle à une visite autorisée par le juge relève du délit d'entrave, passible de sanctions pénales lourdes. La nuance est capitale. L'un est un droit, l'autre est une infraction. Ce que les organisations doivent en tirer Pour un DPO ou un dirigeant, l'enseignement est double. D'un côté, cette information préalable devient un point de contrôle de la régularité que l'on peut désormais vérifier lors d'une visite. De l'autre, elle ne dispense de rien sur le fond. Un contrôle reste un contrôle. Le vrai risque se joue sur la conformité réelle des traitements, pas sur un vice de forme qui n'annulera pas grand-chose si la procédure a été correctement suivie. La leçon opérationnelle tient en une phrase : préparer l'accueil d'un contrôle autant que la conformité elle-même. Savoir qui prévenir, ce que l'entreprise peut et ne peut pas faire, et à quel moment. Le jour de la visite, personne n'a le temps de relire la loi de 1978.
