Disposant depuis 2004 de nouveaux moyens d’investigation et de nouvelles sanctions, la Commission nationale de l’informatique et des libertés (CNIL) peut effectuer des contrôles directement dans les locaux des entreprises (de 6 heures à 21 heures ) afin de vérifier la légalité des traitements de données à caractère personnel qu’elles ont mis en place. En pratique, les agents de la CNIL peuvent ainsi obtenir la communication de tout document, recueillir tout renseignement et justification utiles, en prendre copie et accéder aux programmes informatiques et aux données. Si elle constate des manquements à la loi, la CNIL peut prononcer des mesures coercitives (avertissement…) et des sanctions (sanctions pécuniaires, retrait d’autorisation…).

Toutefois, le Conseil d’État vient d’encadrer les modalités de ces contrôles sur place. Ainsi, à défaut d’une autorisation préalable d’un juge, la CNIL doit dorénavant informer le chef d’entreprise de son droit de s’opposer au contrôle projeté, sous peine d’irrégularité de la procédure et d’annulation des sanctions éventuellement prononcées.