Contrôle de la CNIL

Contrôle de la CNIL : Vérification pouvant se dérouler sur place, en ligne, sur pièces ou sur audition, à l’issue de laquelle un procès-verbal recense les constats effectués.

Le mot appartient à la famille « Juridique et RGPD » du lexique. Cette page dit ce qu’il recouvre, comment il se formule dans un cahier des charges, et ce qu’il vaut mieux ne pas écrire.

À quoi sert Contrôle de la CNIL

Contrôle de la CNIL relève du cadre légal applicable à l’application. Il ne se négocie pas avec le prestataire, et il se contrôle après coup, souvent au pire moment.

Sur un projet réel, la question ne se pose jamais en théorie : elle arrive dans un devis, dans une réunion de cadrage ou dans un rapport de recette.

Comment l’écrire dans un cahier des charges

Le cahier des charges doit désigner qui répond de « Contrôle de la CNIL ». L’éditeur de l’application en porte la responsabilité, le prestataire doit livrer ce qui la rend possible.

À écrire noir sur blanc, dans le chapitre qui correspond :

• Les données personnelles collectées, leur finalité et leur durée de conservation.
• La base légale de chaque traitement, consentement compris quand il s’impose.
• Le parcours de suppression de compte, exigé par les boutiques.
• La conduite à tenir en cas de violation de données, et qui la déclare.

Reste à désigner qui écrit cette ligne et qui la valide. Sans nom en face, la rubrique se remplit la veille de la signature, avec les mots du prestataire.

Pour le cadre général, le guide des prix donne les fourchettes constatées en France et le modèle de cahier des charges la structure qui les rend opposables.

Vérifier plutôt que croire

À la recette, Contrôle de la CNIL s’examine avec le registre des traitements en main, pas de mémoire.

• Relire la politique de confidentialité en la comparant aux données réellement collectées.
• Vérifier la liste des sous-traitants et le pays où les données sont hébergées.
• Vérifier que le consentement se refuse aussi facilement qu’il s’accorde.

Chacun de ces contrôles prend quelques minutes. Les découvrir après la mise en ligne prend des jours.

Ce qui tourne mal le plus souvent

Aucune de ces erreurs ne se voit le jour où elle est commise. Toutes se paient plus tard, au moment le moins commode.

• Ne pas tenir le registre des traitements, obligatoire dans la plupart des situations.
• Collecter des données par défaut, au motif qu’elles pourraient servir un jour.
• Confondre la responsabilité de l’éditeur de l’application et celle de son prestataire.
• Publier une application grand public sans avoir regardé les obligations d’accessibilité.
• Ne relier le sujet à aucun critère de recette : ce qui ne se vérifie pas ne se livre pas.

Termes liés

Les entrées du glossaire déjà publiées sur des sujets voisins :

• Consentement
• DPA
• Suivi entre applications
• Registre des violations
• Vérification de l’âge

Questions fréquentes

Que signifie « Contrôle de la CNIL » ?

Vérification pouvant se dérouler sur place, en ligne, sur pièces ou sur audition, à l’issue de laquelle un procès-verbal recense les constats effectués. Cette définition suffit pour une discussion de cadrage. Pour un contrat, il faut y ajouter ce que le terme recouvre exactement sur votre application.

Faut-il un avocat pour traiter ce point ?

Pas toujours pour le comprendre, souvent pour le rédiger. Le cahier des charges peut décrire l’exigence en français courant ; la formulation contractuelle et les documents publiés gagnent à être relus par un professionnel.

Par où commencer quand le sujet est nouveau ?

Par les parcours et les règles de gestion, pas par les outils. Le guide du cahier des charges donne l’ordre dans lequel poser les questions à une agence.

Toutes les définitions publiées sont rassemblées dans l’index du glossaire, classées de A à Z et par famille.