Courrier de la CNIL annonçant le contrôle (synthèse) · Dossier 2003-00002
NOTE DE SYNTHÈSE INTERNE
Dossier n° 2003-00002 · Conformité RGPD · Contrôle CNIL
Client : Nexalis Technologies SAS (éditeur de logiciels RH)
Associé responsable : Julien Roche · Collaborateur : Camille Aubry
Classement : sous-dossier « CNIL »
Objet : synthèse du courrier de la CNIL annonçant une mission de contrôle
1. Réception et nature du courrier
Le client nous a transmis, le 10 août 2025, jour d'ouverture du présent dossier, un courrier de la Commission nationale de l'informatique et des libertés (CNIL), signé par Mme Laure Fontanel, agissant en qualité d'interlocutrice désignée pour la délégation de contrôle. Ce courrier notifie à Nexalis Technologies SAS l'engagement d'une mission de vérification sur le fondement des articles 8 et 19 de la loi n° 78-17 du 6 janvier 1978 modifiée, ainsi que des articles 57 et 58 du règlement (UE) 2016/679 du 27 avril 2016 (RGPD).
2. Périmètre annoncé du contrôle
Selon le courrier, la mission portera sur le respect par la société, en sa double qualité de responsable de traitement et de sous-traitant au sens de l'article 28 du RGPD, des obligations suivantes :
- la licéité et la loyauté des traitements de données de ressources humaines opérés via les logiciels édités par le client (articles 5 et 6 du RGPD) ;
- l'information des personnes concernées (articles 12 à 14 du RGPD) ;
- l'encadrement contractuel des relations avec les clients utilisateurs des solutions RH (article 28 du RGPD) ;
- la tenue du registre des activités de traitement (article 30 du RGPD) ;
- les mesures de sécurité techniques et organisationnelles (article 32 du RGPD) et la gestion des violations de données (articles 33 et 34 du RGPD) ;
- les durées de conservation et, le cas échéant, les transferts de données hors Union européenne (chapitre V du RGPD).
3. Modalités du contrôle
Le courrier précise que le contrôle pourra prendre la forme d'un contrôle sur place, sur convocation, sur pièces ou en ligne, conformément à l'article 19 de la loi du 6 janvier 1978. La délégation pourra demander communication de tout document utile, en prendre copie et recueillir tout renseignement, sans que le secret des affaires puisse lui être opposé, sous réserve des dispositions protégeant le secret professionnel de l'avocat. Il est rappelé que l'entrave à l'action de la CNIL est pénalement sanctionnée par l'article 226-22-2 du code pénal.
4. Enjeux pour le client
Les enjeux financiers immédiatement identifiés dans le dossier s'élèvent à 24 000 EUR, correspondant au budget provisionné pour la mise en conformité et l'assistance au contrôle. Il convient toutefois de rappeler au client que la formation restreinte de la CNIL peut, en cas de manquements avérés, prononcer des sanctions sur le fondement de l'article 83 du RGPD et de l'article 20 de la loi du 6 janvier 1978, pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
5. Diligences recommandées
- Prendre attache sans délai avec Mme Laure Fontanel afin de confirmer les modalités pratiques et le calendrier ;
- Réunir le registre des traitements, les analyses d'impact, les contrats de sous-traitance et la politique de sécurité ;
- Désigner les interlocuteurs internes habilités (DPO, DSI, direction juridique) ;
- Préparer les équipes à l'éventualité d'une visite sur place, en rappelant les droits et obligations de chacun ;
- Organiser une réunion de cadrage avec