Formalités préalables CNIL : l’avertissement sanctionne l’informatisation non déclarée des traitements

L’article 16 de la loi n° 78-17 du 6 janvier 1978 imposait aux organismes privés d’effectuer auprès de la CNIL les formalités préalables à la mise en œuvre de leurs traitements automatisés d’informations nominatives.

La Commission a constaté, à l’issue de ses investigations et d’une mission de vérification sur place, que les traitements relatifs aux clients, aux prospects, à la paie et à la gestion du personnel étaient informatisés depuis plusieurs années sans formalité préalable. Le dépôt ultérieur d’une déclaration simplifiée, intervenu après le contrôle, n’a pas supprimé le manquement antérieur.

La CNIL a retenu cette absence de formalités et adressé un avertissement au gérant. La décision illustre l’importance de régulariser les traitements avant leur mise en œuvre, la déclaration postérieure au contrôle ne neutralisant pas le manquement constaté.

⬇️Télécharger la décision version officielle

Le contrôle d’une société de vente par correspondance a révélé que ses fichiers de clients et de prospects, ainsi que la paie et la gestion du personnel, étaient informatisés depuis plusieurs années sans formalités préalables. Malgré le dépôt ultérieur d’une déclaration simplifiée, la CNIL a adressé un avertissement au gérant.

La CNIL a été saisie d’une plainte concernant l’envoi d’un catalogue destiné à la vente par correspondance. Elle a ensuite contrôlé la société concernée, notamment au moyen d’une mission de vérification sur place.

Les investigations ont révélé que les fichiers de clients et de prospects étaient informatisés depuis 1985. La paie et la gestion du personnel l’étaient également. Aucun traitement n’avait fait l’objet des formalités préalables requises auprès de la CNIL.

Après le contrôle, la société a déposé une déclaration simplifiée de référence à la norme 17. La CNIL a néanmoins adressé un avertissement au gérant en raison de l’absence de formalités avant la mise en œuvre des traitements.

• Traitements automatisés d’informations nominatives
• Mise en œuvre par un organisme privé
• Absence de formalités préalables auprès de la CNIL
• Constat de l’informatisation lors des investigations
• Déclaration simplifiée déposée seulement après le contrôle

• Plainte relative à l’envoi d’un catalogue
• Compte rendu de la mission de vérification sur place
• Investigations de la CNIL auprès de la société contrôlée
• Constat de l’informatisation des fichiers clients et prospects
• Constat de l’informatisation de la paie et du personnel

La société contrôlée a fait l’objet d’un avertissement en raison de l’absence de formalités préalables. La déclaration déposée après la mission ne neutralise pas le manquement déjà constitué.

• Formaliser les traitements avant toute mise en œuvre
• Recenser les fichiers clients et prospects informatisés
• Identifier séparément les traitements de paie et du personnel
• Conserver la preuve des formalités accomplies
• Régulariser sans attendre un contrôle de la CNIL

À faire

• Recenser tous les traitements automatisés
• Vérifier les formalités applicables avant mise en œuvre
• Documenter les traitements clients et prospects
• Documenter les traitements de paie et du personnel
• Conserver les justificatifs de déclaration

À éviter

• Mettre en œuvre un traitement sans formalité préalable
• Attendre un contrôle pour régulariser
• Limiter l’analyse aux seuls fichiers commerciaux
• Négliger les traitements de gestion du personnel
• Présenter une déclaration tardive comme rétroactive

L’obligation de formalités préalables des traitements automatisés

L’article 16 de la loi n° 78-17 du 6 janvier 1978 impose aux organismes privés d’effectuer auprès de la CNIL les formalités préalables à la mise en œuvre de traitements automatisés d’informations nominatives. La Commission a retenu que les traitements des clients, prospects, de la paie et de la gestion du personnel relevaient de cette obligation.

La portée d’une déclaration postérieure au contrôle

Le dépôt d’une déclaration simplifiée après la mission de contrôle ne régularise pas rétroactivement l’absence de formalités préalable à la mise en œuvre. La CNIL a donc maintenu le constat du manquement et adressé un avertissement au gérant.