[Brèves] Relations avec la CNIL pendant l’état d’urgence sanitaire

► Dans un communiqué du 17 avril 2020, la CNIL a précisé qu’en cette période de crise, elle traite en priorité les dossiers en lien avec l'épidémie de covid-19. Elle a également précisé l’organisation de ses relations, notamment à la suite de l’ordonnance n° 2020-306 du 25 mars 2020 relative à la prorogation des délais échus pendant la période d'urgence sanitaire et à l'adaptation des procédures pendant cette même période (N° Lexbase : L5730LW7), modifiée par l’ordonnance n° 2020-427 du 15 avril 2020 (N° Lexbase : L6859LWX).

• Les saisines des professionnels

Tous les services en ligne mis à disposition des usagers professionnels restent accessibles pendant la période d’état d’urgence sanitaire et il reste également possible, en l’absence des permanences juridiques pendant cette période, de joindre la CNIL par téléphone en cas d’urgence.

En application de l’ordonnance n° 2020-306 du 25 mars 2020 modifiée, les délais d’examen des demandes d’avis et d’autorisation auprès de la CNIL sont suspendus jusqu’au 24 juin pour toute saisine adressée avant le 12 mars 2020. Ils courent à compter du 24 juin pour toute demande qui lui a été adressée après le 12 mars 2020. Dès lors, le silence de la CNIL sur les demandes qui lui ont été ou lui sont adressées durant cette période ne vaut pas autorisation pour les traitements de données de santé ou avis favorable pour les projets de texte réglementaire qui lui sont soumis.

Néanmoins, en pratique, la CNIL s’engage à traiter de manière prioritaire tous les projets de traitements ou de textes liés au covid-19 : elle instruit en priorité et dans des délais particulièrement resserrés toute demande d’autorisation relative aux traitements de recherche portant sur l’épidémie, ainsi que toute demande d’avis en lien avec la crise sanitaire actuelle.

En outre, la CNIL continue d’instruire les autres demandes dans les conditions habituelles, sous réserve du ralentissement possible de l’activité de ses services causé par les mesures de confinement. Dans la mesure du possible, les délais légaux habituellement applicables à ces demandes d’avis et d’autorisation sont respectés par la CNIL, afin d’éviter tout retard inutile dans la mise en œuvre des traitements par les organismes concernés.

De leur côté, les organismes peuvent bénéficier durant cette période de délais plus importants que ceux qui leur sont usuellement accordés pour apporter les éléments complémentaires nécessaires au traitement de leur demande. Dès lors que cela leur est possible, ils sont néanmoins invités à fournir au plus vite les éléments qui leur ont été ou leur seront demandés dans ce cadre, afin de ne pas différer l’instruction de leur demande. Les échanges électroniques sont à privilégier dans ce contexte.

Les mêmes éléments s’appliquent aux autres demandes adressées à la CNIL par les usagers professionnels, en matière de code de conduite, de certification ou de règles d'entreprise contraignantes (BCR) par exemple. Il en est de même pour toute demande de conseil adressée à la CNIL, par les organismes ou leurs délégués à la protection des données, ou pour l’instruction des notifications de violation de données qui lui sont faites : les demandes liées à l’épidémie sont traitées prioritairement et les autres saisines, dans la mesure du possible, dans les délais habituels.

• Le traitement des plaintes et réclamations

Tous les services en ligne mis à disposition des usagers particuliers restent accessibles pendant la période d’état d’urgence sanitaire et les personnes peuvent donc adresser à la CNIL des plaintes en ligne. Si les permanences téléphoniques sont suspendues, il reste également possible de joindre la CNIL par téléphone en cas d’urgence.

Durant l’état d’urgence sanitaire, la CNIL poursuit les actions nécessaires au traitement des plaintes qui lui sont adressées. Les délais de réponse sont toutefois inévitablement allongés, en raison tant du contexte général du pays que de l’ordonnance du 25 mars 2020 modifiée.

Les saisines qui concernent les traitements de données personnelles mis en œuvre dans le contexte de l’épidémie de coronavirus ainsi que celles qui portent sur les atteintes les plus graves à la protection des données et à la vie privée sont instruites en priorité. Les plaintes en ligne doivent être privilégiées par les personnes, les échanges postaux étant ralentis.

La CNIL peut avoir besoin d’éléments complémentaires de la part des plaignants pour l’instruction de leur plainte. Dans la mesure du possible, les plaignants sont invités à lui adresser ces éléments complémentaires dès qu’ils le peuvent pour ne pas ralentir excessivement le traitement de leur saisine. Là aussi, les échanges électroniques doivent être privilégiés.

En ce qui concerne les échanges avec les organismes mis en cause par les plaintes, l’ordonnance du 25 mars 2020 modifiée leur permet, par principe, de répondre au plus tard le 24 août aux demandes de la CNIL.

Toutefois, lorsque les intérêts dont elle a la charge le justifient, la CNIL peut exiger le respect de délais plus resserrés, tout en tenant compte des contraintes liées au contexte d’urgence sanitaire. Elle peut donc indiquer, au cas par cas, par exemple lorsque l’effectivité des droits garantis par le « RGPD » (Règlement n° 2016/679 du 27 avril 2016 N° Lexbase : L0189K8I) est en jeu ou lorsque l’urgence le commande, des délais de réponse antérieurs au 24 août 2020.

• L’exercice du droit d’accès indirect

En ce qui concerne les demandes adressées à la CNIL en matière de droit d’accès indirect, les délais dont dispose la CNIL pour informer les personnes du résultat de leur demande sont suspendus jusqu’au 24 juin pour toute demande reçue avant le 12 mars 2020. Pour les demandes adressées après le 12 mars 2020, ces délais courent à compter du 24 juin 2020.

Les mesures de confinement empêchent de procéder dans les conditions habituelles aux vérifications sur place auprès des gestionnaires des fichiers concernés. Ceux-ci disposent également de délais allongés par l’ordonnance précitée pour répondre aux demandes de la CNIL. Dès lors, la CNIL ne pourra informer les personnes qui l’ont saisie qu’à l’issue des nouveaux délais précités.

Dans le même temps, les délais dont disposent les usagers auprès desquels la CNIL a sollicité, avant le 12 mars 2020, des éléments complémentaires aux fins d’instruire leur demande d’exercice indirect des droits sont également allongés : leur durée est identique mais leur point de départ est dorénavant fixé au 24 juin 2020. La CNIL ne procèdera donc pas au rejet de la demande si ces éléments ne lui sont pas communiqués dans les délais initialement requis. Elle invite néanmoins les demandeurs qui le peuvent à lui adresser ces éléments dès que possible, afin de pouvoir reprendre l’instruction de leur demande dès la fin de l’état d’urgence sanitaire.

• Les procédures de contrôle et de sanction

En ce qui concerne la chaîne répressive de la CNIL, il est naturellement tenu compte de la situation exceptionnelle dans laquelle les organismes concernés sont susceptibles d’être placés. La CNIL tire par ailleurs toutes les conséquences de l’ordonnance du 25 mars 2020 modifiée.

La politique de contrôle est adaptée à la crise exceptionnelle afin de préserver la santé des personnes et de prendre en compte les contraintes pesant sur les organismes contrôlés. Pendant l’état d’urgence sanitaire, seules les situations dont la gravité exige des investigations urgentes donnent lieu à des vérifications, y compris en ligne. En outre, les organismes peuvent disposer des délais allongés prévus par l’ordonnance pour répondre aux demandes de compléments formulées à la suite d’un contrôle.

Sauf décision contraire de la CNIL, les délais imposés pour se conformer à une mise en demeure sont quant à eux suspendus jusqu’au 24 juin 2020 pour les mises en demeure dont le délai n’a pas expiré avant le 12 mars 2020, conformément à l’ordonnance du 25 mars. De même, pour les mises en demeure adressées après le 12 mars 2020, le point de départ du délai pour se mettre en conformité est reporté, sauf décision contraire, au 24 juin 2020.

Pour les procédures de sanction engagées devant la formation restreinte de la CNIL, les organismes concernés disposent également, par principe, de nouveaux délais pour toutes leurs observations attendues pendant la période comprise entre le 12 mars et le 24 juin 2020 : sauf décision contraire de la CNIL, ces observations des parties peuvent lui être adressées jusqu’au 24 août 2020.

Néanmoins, la CNIL peut engager l’ensemble de ces procédures dans des délais plus resserrés lorsque les intérêts dont elle a la charge le justifient. Par exemple, en cas d’atteinte grave aux droits des personnes ou au cadre juridique en vigueur ou en cas de besoin d’intervenir en urgence pour faire cesser cette atteinte, des délais moindres peuvent être fixés par la CNIL tout en tenant compte des contraintes liées à l'état d'urgence sanitaire.

© Reproduction interdite, sauf autorisation écrite préalable