Risques technologiques et cybercriminalité : contrôles, mises en demeure et procédure de sanction de la CNIL, gestion des violations de données
La Commission nationale de l’informatique et des libertés (CNIL) contrôle le respect du règlement général sur la protection des données (RGPD) et de la loi Informatique et Libertés. Ses contrôles peuvent intervenir sur place, en ligne, sur pièces ou sur audition, à la suite d’une plainte, d’une notification de violation de données, d’un signalement ou dans le cadre de son programme annuel.
Une cyberattaque, une fuite de données ou un dispositif de surveillance des salariés mal encadré peuvent déclencher un contrôle et, au-delà, une procédure de sanction.
OSTEN assiste les entreprises à chaque étape et articule cette assistance avec le volet pénal des atteintes aux systèmes d’information.
Le déroulement du contrôle
Les agents de la CNIL peuvent accéder aux locaux professionnels, se faire communiquer tout document ou support, accéder aux programmes informatiques et aux données, et recueillir sur place ou sur convocation tout renseignement utile. Le contrôle donne lieu à un procès-verbal, puis à une phase d’échanges au cours de laquelle l’organisme peut apporter des éléments complémentaires et régulariser.
Les suites du contrôle
La présidente de la CNIL peut clore le dossier, prononcer un rappel aux obligations légales, adresser une mise en demeure, le cas échéant rendue publique, ou saisir la formation restreinte. Celle-ci peut prononcer, à l’issue d’une procédure contradictoire, des injonctions sous astreinte et des amendes administratives pouvant atteindre vingt millions d’euros ou quatre pour cent du chiffre d’affaires mondial. Une procédure simplifiée permet de traiter plus rapidement les dossiers de moindre gravité.
Violations de données et cybercriminalité
Une violation de données à caractère personnel doit être notifiée à la CNIL dans les soixante-douze heures et, lorsque le risque est élevé, communiquée aux personnes concernées. Lorsqu’elle résulte d’une attaque – intrusion, rançongiciel, fraude au président, détournement de paiements – l’entreprise doit en parallèle préserver les preuves, déposer plainte et organiser sa défense ou son action en tant que victime.
Les enjeux pour le dirigeant
Le dirigeant répond de l’organisation de la conformité : désignation d’un délégué à la protection des données, registre des traitements, analyses d’impact, encadrement des sous-traitants, sécurité des systèmes. Les manquements révélés par un contrôle engagent la responsabilité de l’entreprise et peuvent, dans certains cas, relever du droit pénal.
L’accompagnement d’OSTEN
Le cabinet prépare les entreprises aux contrôles, les assiste pendant les vérifications et les auditions, rédige les réponses aux demandes de la CNIL et aux mises en demeure, assure la défense devant la formation restreinte et accompagne la gestion des violations de données, en lien avec les prestataires techniques et les autorités judiciaires.
Voir aussi : Cybercriminalité et fraudes numériques · Infractions financières, comptables et de gestion · Enquête interne en entreprise et dans le secteur public
