Une journée avec la CNIL

CNIL

La CNIL : Commission Nationale Informatique et Libertés. « L’informatique doit respecter l’identité humaine, les droits de l’homme, la vie privée et les libertés ».

Une histoire qui a impliqué mon agence.

15 juin 2011 – 9:00, une belle journée ensoleillée s’annonce, je m’installe comme chaque matin à mon bureau, une tasse de café fumante à la main, lorsque  la sonnerie du téléphone retentit.

J’ouvrais mon premier dossier, je ne savais pas encore que ce coup de téléphone allait bouleverser ma journée !

Au bout de la ligne, un agent du service des contrôles de La C.N.I..L m’informe qu’il a été mandaté pour contrôler mon entreprise.

Peu de temps après, j’ouvre la porte et accueille 2 personnes qui me présentent leur cartes professionnelles, une jeune femme auditrice et juriste, ainsi que son collègue, contrôleur et informaticien, tous deux agents de la C.N.I.L.

L’ordre de Mission

Un ORDRE DE MISSION, m’est présenté, à l’entête de la C.N.I.L, les autorisant  à contrôler mon agence

Les  lois suivantes y sont citées

La notification

Je reçois une notification ou je reconnais avoir reçu copie et pris connaissance des informations suivantes au début de contrôle soit :

  • La décision N° 2011-C du président de la commission nationale de l’informatique, à l’époque Alex TURC
  • l’ordre de mission des agents chargés d’effectuer la mission de contrôle,
  •  éléments d’information issus des articles 44 de la loi du 6/01/78 modifié et 10 III de la loi du 21/01/95 modifiée : 5 paragraphes relatant que les membres de la C.N.I.L ainsi que les agents de ses services habilités ont accès de 6 heures à 21 heures pour l’exercice de leur missions, aux lieux, locaux, installations ou établissements servant à la mise en œuvre d’un traitement de données à caractère personnel  et qui son à usage professionnel  à l’exclusion des parties de ceux-ci affectées au domicile privé.

Le procureur de la république territorialement compétent en est préalablement informé.

Les droits du « contrôlé »

Le responsable de locaux professionnels privés est informé de son droit d’opposition à la visite.

Lorsqu’il exerce ce droit la visite ne peut se dérouler qu’après l’autorisation du juge des libertés et de la détention du tribunal de grand instance dans le ressort duquel sont situés les locaux à visiter, qui statue dans des conditions fixées par décret en conseil d’Etat(…). Dans ce cas le responsable des lieux ne peut s’opposer à la visite.

Autorité

La visite s’effectue sous l’autorité et le contrôle du juge des libertés et de la détention qui l’a autorisée, en présence de l’occupant des lieux ou de son représentant qui peut se faire assister d’un conseil de son choix ou, à défaut en présence de 2 témoins qui ne sont pas placés sous l’autorité des personnes chargées de procéder au contrôle. Les membres de la  C.N.I.L. peuvent demander communication de tous documents nécessaires à l’accomplissement de leur mission, quel qu’en soit le support et toute justification utiles. Ils peuvent accéder aux documents directement utilisables pour les besoins du contrôle (agrément préfectoral, liste du personnel etc) mais aussi aux dossiers en cours et contrôlent également la façon de travailler) […] fin de document.

En pratique

Sur les données

L’informaticien de la C.N.I.L a commencé par scanner à l’aide d’un utilitaire de récupération des données, les supports de stockage à la recherche de fichiers et de mails supprimés par le passé.

Compte tenu que  je « fais mon ménage » sur l’ordinateur chaque soir, ce point n’a pas posé de problème.

Sur les méthodes de travail

Les principaux points soulevés concernaient les sources de nos informations :

Concernant nos informations : localisation et sources, méthode de traitement, sécurisation des données.

Par exemple :

  • aucun archivage d’informations recueillies dans les mails sur nos clients et dans nos dossiers en cours, ne doit être conservé. Tout doit être détruit à la fin de l’instruction du dossier,
  • préférer pour les dossiers et documents une désignation par chiffres plutôt que nominative,
  • les e-mails doivent être cryptés, ou au moins sécurisés par code d’ouverture et au format PDF,
  • les e-mails et formulaires qui s’enregistrent automatiquement sur le système doivent être journalièrement supprimés : ils constituent une liste !
  • le système d’exploitation doit être impérativement protégé par mot de passe,
  • tous les documents concernant la profession doivent être protégés par cryptage de données,

Le Contrôleur informaticien de la C.N.I.L a téléchargé et installé le logiciel gratuit de cryptage TRUECRYPT

  • TrueCrypt fonctionne comme un coffre fort informatique : il crée un disque dur virtuel, une partition (dont vous précisez la taille à l’installation suivant vos besoins) qui doit être «monté» pour être visible et accessible et qui est accessible par un mot de passe, et dans lequel les données stockées sont sécurisées par cryptage.
  • Truecrypt est portable, il peut être installé sur une clef USB, un CD.
  • il est également possible de créer une seconde partition cryptée protégée également par mot de passe à l’intérieur de la première partition ! Le technicien de la C.N.I.L. a précisé que le premier niveau était suffisant pour le type de données en notre possession.
  • En cas de vol de l’ordinateur, il sera impossible aux malveillants d’accéder aux informations contenues dans cette partition. Elle n’est matérialisé sur le disque dur que par un fichier, dans un répertoire quelconque ou vous l’avez caché, fichier impossible à ouvrir sans «les clés».
  • ne pas oublier d’organiser une sauvegarde régulière du fichier sur un support externe, abrité en lieu sûr.

Pendant 8 heures, les contrôleurs de la C.N.I.L. ont vérifiés que mon agence respectait bien la loi du 6 janvier 78 modifiée, et le cas échéant, les dispositions de l’article de la loi du 21 Janvier 1995.

En fin d’inspection

A l’issue de cette journée de contrôle : un procès verbal de contrôle sur place, de 8 pages a été rédigé.

Après relecture, les 2 contrôleurs de la CNIL et moi-même paraphèrent et signèrent ce document.

Le procès verbal de contrôle sur place

Les principaux points du rapport traitent des choses suivantes :

Rappel du contexte officiel et du contenu de la mission:

  • identité des personnes présentes dans les locaux
  • constatations sur le contexte de travail et sur la légitimité à professer
  • contrôle du site internet, de son formulaire, des mentions légales
  • sur les missions réalisées : estimation en pourcentage par domaine de recherche. (par exemple, recherche d’adresse de débiteurs 70%, recherche de proches ou perdus de vue 15% etc….)
  • Il est demandé à l’agent de recherche s’il effectue des filatures ou non
  • Il a été demandé de préciser le % de client particuliers comparé à celui des clients professionnels (autres détectives qui sous-traitent des missions)
  • suivent dans le rapport plusieurs pages de constations sur l’organisation du travail : mails présents dans la boite de réception, mail effacés, analyse des devis, des contrats clients, quel type d information sont échangées (interdit de transmettre des données comme carte d’identité, numéro de sécurité sociale, même indépendamment de notre volonté par ex. communiqué par le mandant qui pense bien faire.
  • Il a été constaté que mon bureau dispose d’un broyeur de documents, que les armoires sont fermées ou non à clef dans les bureaux, que le bureau ferme on non à clé, etc …
  • Il a été procédé à un relevé de tous mes contacts, analyse des fichiers présents sur l’informatique, des documents papier, nombre (et relevé) d’adresses e-mail présentes, niveau de sécurité du système informatique; politique de sauvegarde mise en place.
  • j’ai également dû expliquer mes méthodes de travail par rapport aux donneurs d’ordres : de la demande de devis au règlement, jusqu’à la destruction du dossier.

Personnellement, tout s’est bien passé 🙂

Le seul bémol à été  : l’absence  de l’article 32 de la loi informatique et libertés sur tous mes supports (documents, site, mails etc…)

ARTICLE 32 : indique que le traitement informatique des données est traité uniquement par mon agence, et le mandant peut en demander la destruction à tout moment par courrier, mail ou téléphone. La modification fut faite immédiatement.

L’article est à copier sur le site de la C.N.I.L

RAPPEL : tout doit être ouvert par mot de passe ou cryptage : mails, ordinateurs, documents cryptés sur le disque virtuel, sans oublier les supports amovibles clé USB, CD ROM, Disque externe … Les sauvegardes en ligne doivent également être protégées.

En conclusion

La journée fut longue, mais très riche en enseignements.

Ce contrôle m’a permis de corriger certains points dans le traitement de l’information, au niveau des contenus et de la sécurisation des données.

Mis à part les quelques points immédiatement corrigés, mon éthique professionnelle était conforme à la loi, les intérêts de mes clients protégés.

Les textes concernant notre profession sont en constante évolution, de nouveaux arrêtés sont pris, des organisations sont crées afin de mieux nous encadrer. De même les technologies évoluent, les menaces de piratage également.

Toute notre attention est souvent captée par les affaires que nous traitons, et ce, au détriment des techniques de manipulation des données.

Ce billet à été écrit dans le but de totale transparence vis à vis de la clientèle, et en espérant que mon « expérience » pourra aider mes collègues à rectifier, compléter ou mettre en place les procédures adéquates.

Elisabeth

A propos Elisabeth 74 Articles

Agent de Recherches Privées depuis plus de 15 ans, j’obtiens d’excellents résultat dans tous types d’investigations dans les domaines privés, commerciaux et industriels. Je suis spécialisée dans la recherche de preuves et la recherche de personnes disparues avec un taux de réussite proche de 100% sous 8 à 15 jours. Agrée par le CNAPS dépendant du Ministère de l’Intérieur, mes rapports sont recevables devant toute Cours de Justice Européenne. Membre du SNARP 1er syndicat français de la profession.