Contrôle CNIL : ce qu'on vous demande, et dans quel ordre

La crainte la plus répandue est celle de la sanction. Dans les faits, ce qui arrive d'abord est plus banal : un courrier, une demande de pièces, un délai. Ce moment se joue moins sur ce que vous avez publié que sur ce que vous pouvez montrer.

Un contrôle peut prendre quatre formes

La CNIL contrôle sur place, sur convocation, sur pièces — un simple courrier demandant des documents — ou en ligne, en constatant depuis l'extérieur ce que fait votre site. Cette dernière forme est la plus fréquente pour une petite structure, et la plus facile à sous-estimer : votre bandeau cookies, vos mentions légales et vos formulaires sont vérifiables sans que personne ne vous prévienne.

Les pièces réclamées, presque toujours les mêmes

• Le registre des traitements, à jour et daté.
• L'information donnée aux personnes : politique de confidentialité, mentions sur les formulaires.
• La preuve du consentement lorsqu'il est la base légale : qui a consenti, à quoi exactement, et quand.
• Les contrats de sous-traitance de l'article 28 avec vos prestataires.
• Les mesures de sécurité et la trace des actions menées.
• Le traitement des demandes d'exercice de droits reçues, et le délai dans lequel vous y avez répondu.

Le point sur lequel presque tout le monde tombe est le troisième. Afficher un bandeau cookies ne prouve rien : ce qui compte est de pouvoir montrer, pour un visiteur donné et une date donnée, quelles catégories il a acceptées ou refusées. Un consentement qu'on ne peut pas retrouver équivaut à une absence de consentement.

Le délai d'un mois n'est pas négociable

Si une personne exerce ses droits auprès de vous, la réponse est due dans un délai d'un mois à compter de la réception. Ce délai peut être prolongé de deux mois pour une demande complexe, mais à une condition impérative : informer la personne de cette prolongation et de ses motifs dans le mois initial. Une prolongation silencieuse est un manquement.

Ce qui est sanctionné n'est presque jamais l'absence d'un document, mais l'écart entre ce que vous affirmez et ce que vous faites.

Se préparer sans y passer ses semaines

La préparation utile tient en une question : si le courrier arrivait demain, combien de temps me faudrait-il pour réunir ces six pièces ? Si la réponse se compte en jours, le problème n'est pas juridique mais organisationnel — les informations existent, elles sont éparpillées.

C'est le trou que RGPDFlow adresse : le registre, l'information donnée aux personnes, la preuve de consentement, les mesures de sécurité et la trace des actions sont rassemblés au fil de l'eau et datés, dans un dossier que l'on présente tel quel. Deux pièces restent à votre main : le contrat de sous-traitance signé, que l'outil recense sans pouvoir l'attester, et le suivi des demandes d'exercice de droits, en cours de développement. Le principe vaut de toute façon avec ou sans outil : ce qui compte est que la preuve soit produite au moment où l'action a lieu, pas reconstituée après coup.