Il résulte de la combinaison du fait de l’article 11 et de l’article 44 de la loi n°78‑17 du 6 janvier 1978 dans sa rédaction applicable au litige qu’une opération de contrôle consiste pour la Commission à procéder ou à faire procéder par les agents de ses services à des vérifications portant sur tous traitements et à recueillir, sur place ou sur convocation, tout renseignement, document ou justification utile à ses missions, sans que le nombre des opérations de contrôle soit limité. Par suite, le moyen tiré de ce que les membres ou agents de la Commission, qui avaient été habilités par la décision n° 2012‑12C du 31 janvier 2012 de la présidente de la Commission à procéder à la vérification sur place de la conformité des traitements de données à caractère personnel mis en œuvre par la société PS Consulting en matière de vidéosurveillance, auraient irrégulièrement procédé aux contrôles sur place les 15 octobre et 11 décembre 2012, faute pour chacun d’eux d’avoir été précédé d’une nouvelle décision d’y procéder, doit être écarté. En revanche, en vertu du I de l’article 44, chaque opération de contrôle sur place doit être précédée d’une information du procureur de la République.

Si les exigences du procès équitable et du respect des droits de la défense découlant de l’article 6 de la convention européenne de sauvegarde des droits de l’homme et des libertés fondamentales s’appliquent seulement à la procédure de sanction ouverte par la présidente de la CNIL, et non à la phase préalable des enquêtes réalisées par les agents de la Commission, elles nécessitent toutefois que, lors du déroulement de la phase préalable, il ne soit pas porté une atteinte irrémédiable aux droits de la défense des personnes auxquelles des griefs sont ensuite notifiés.

En l’espèce, d’une part, par trois lettres, la CNIL a notifié à la société PS Consulting son droit à s’opposer aux contrôles envisagés et, d’autre part, il ne résulte pas de l’instruction que, faute d’avoir été informée qu’elle pouvait garder le silence pendant les contrôles ou se faire assister par un conseil, la société aurait été amenée à prendre des positions qui lui auraient été particulièrement préjudiciables dans l’établissement des griefs qui lui ont ensuite été notifiés. Par suite, le moyen tiré de la méconnaissance des stipulations de l’article 6 de la convention ne peut qu’être écarté.

1) En vertu des dispositions de l'article 44 de la loi n°78‑17 du 6 janvier 1978 et de l'article 61 du décret n°2005‑1309 du 20 octobre 2005, lorsque des membres ou agents de la Commission nationale de l'informatique et des libertés (CNIL) opèrent un contrôle dans des locaux servant à la mise en œuvre d'un traitement de données à caractère personnel, le procureur territorialement compétent doit être informé au plus tard vingt‑quatre heures avant le contrôle. 2) En l'espèce, si l'information a été communiquée au procureur territorialement compétent à 15 h pour un contrôle qui a débuté le lendemain à 9 h 15, soit dans un délai inférieur de cinq heures quarante‑cinq minutes au délai de vingt‑quatre heures prescrit, cette circonstance, dont il n'est pas établi ni même soutenu que la brièveté de ces délais aurait fait obstacle à l'exercice par le procureur de ses pouvoirs et par suite privé la société requérante d'une des garanties légales dont elle pouvait se prévaloir, ne constitue pas une violation de la légalité de la décision de sanction prononcée par la CNIL.

Lorsqu’un procès-verbaux dressé, conformément aux dispositions de l’article 64 du décret n° 2005‑1309 du 20 octobre 2005, par un agent de la CNIL dans le cadre d’un contrôle sur place décrit le déroulement du contrôle et ses résultats, il appartient aux personnes qui en contestent les énonciations, en l’absence de dispositions leur attribuant la charge de la preuve contraire, de fournir néanmoins des éléments ou indications au soutien de leur contestation qui permettront au juge, dans le cadre du débat contradictoire, d’établir, le cas échéant, le caractère erroné ou incomplet des mentions du procès‑verbaux au regard de la réalité des faits ressortant du dossier issu du débat entre les parties.

L'exercice des pouvoirs que la commission tient de l’article 44 de la loi n°78‑17 du 6 janvier 1978 modifiée et des articles 61 et 62 du décret du 20 octobre 2005 ne permet à ses membres et agents d’accéder à des locaux professionnels pour y accomplir les opérations prévues par ces dispositions que sous réserve que le responsable des locaux n'use pas de la faculté, qui lui est reconnue par ce texte, de s'opposer à la visite, laquelle ne peut alors avoir lieu qu'avec l’autorisation et sous le contrôle du juge judiciaire. Une telle garantie ne présente un caractère effectif que si le responsable des locaux ou le représentant qu’il a désigné à cette fin a été préalablement informé de son droit de s'opposer à la visite et mis à même de l'exercer.

La CNIL est tenue d'informer la personne morale où elle exerce un contrôle sur le fondement de l'article 44 de la loi Informatique et Libertés de ce qu'elle peut s'opposer à la visite. La seule mention que le contrôle est effectué en application de cet article ne saurait tenir lieu de l'information requise. Par suite, la sanction prononcée reposant sur les faits constatés lors des contrôles effectués a été prise au terme d'une procédure irrégulière.

Le I de l’article 26 de la loi n°78‑17 du 6 janvier 1978 dans sa rédaction applicable et le deuxième alinéa de l’article 84 du décret n°2005‑1309 du 20 octobre 2005, qui constituent des garanties pour toute personne dont les données nominatives font l’objet du traitement en cause, mais aussi pour le gestionnaire du fichier et pour ses utilisateurs, pour lesquels la limitation d’accès des personnes qualifiées garantit la confidentialité et l’intégrité du fichier concerné, implique que toutes les personnes participant à des vérifications à la demande de la CNIL disposent de cette habilitation spécifique, soit que les vérifications ordonnées aient pour objet un traitement relevant de l’article 26 de la loi du 6 janvier 1978, soit que les agents découvrent des données issues d’un traitement de ce type alors que de telles données n’étaient pas initialement visées par les vérifications.

Toutefois, dans ce dernier cas, la Régularité des opérations de vérification ne sera pas viciée si le procès‑verbal contradictoire des opérations signé par les agents et du représentant de la personne objet de la vérification atteste que les agents dépourvus de l’habilitation requise ont immédiatement cessé de participer aux opérations de vérification.

Requérant demandant l'annulation d'une décision portant création d'un traitement de données à caractère personnel et produisant à l'appui de sa demande des éléments qui ne permettent, en l'état, ni de regarder comme établie l'existence d'un tel traitement ni, par suite, d'identifier une éventuelle décision de le créer. Il appartient au requérant, s'il estime cependant que ces éléments sont de nature à faire présumer de l'existence d'un traitement de données personnelles et s'il s'y croit fondé, de demander à la Commission nationale de l'informatique et des libertés (CNIL) de faire usage des pouvoirs qu'elle détient pour vérifier la licéité des traitements au regard des dispositions de la loi n°78‑17 du 6 janvier 1978. En l'état, rejet des conclusions à fin d'annulation présentées par le requérant.