L'autorité de contrôle ne peut procéder à un contrôle sur place qu'entre 6 heures et 21 heures. Elle informe au plus tard lors de son arrivée sur place le chef de juridiction, ou le responsable des lieux lorsque le contrôle n'est pas effectué auprès d'une juridiction, ou leur représentant, de l'objet des vérifications qu'elle compte entreprendre, de l'identité et de la qualité des personnes chargées du contrôle ainsi que, le cas échéant, de son droit d'opposition à la visite. Lorsqu'il exerce ce droit, la visite ne peut se dérouler qu'après l'autorisation du juge des libertés et de la détention du tribunal judiciaire dans le ressort duquel sont situés les locaux à visiter, dans les conditions prévues au II de l'article 19 de la loi n° 78-17 du 6 janvier 1978.
Lorsqu'un traitement de données à caractère personnel est mis en œuvre, soit dans les parties de ces lieux, locaux, enceintes, installations ou établissements affectées au domicile privé, soit dans de tels lieux, locaux, enceintes, installations ou établissements entièrement affectés au domicile privé, la visite ne peut se dérouler qu'après l'autorisation du juge des libertés et de la détention du tribunal judiciaire dans le ressort duquel sont situés les locaux à visiter, dans les conditions prévues au II de l'article 19 de la loi n° 78-17 du 6 janvier 1978.
Lorsque le responsable du traitement ou le sous-traitant n'est pas présent sur les lieux du contrôle, ces informations sont portées à sa connaissance par tout moyen dans les quinze jours suivant le contrôle.
Dans le cadre de leurs vérifications, les personnes chargées du contrôle présentent en réponse à toute demande leur ordre de mission et, le cas échéant, leur habilitation à procéder aux contrôles.

Les missions de contrôle sur place font l'objet d'un procès-verbal.
Le procès-verbal énonce la nature, le jour, l'heure et le lieu des vérifications ou des contrôles effectués. Il indique également l'objet de la mission, l'identité de la personne qui procède au contrôle, les personnes rencontrées, le cas échéant, leurs déclarations, les demandes formulées par l'autorité de contrôle ainsi que les éventuelles difficultés rencontrées. L'inventaire des pièces et documents pris en copie est annexé au procès-verbal.
Lorsque la visite n'a pas pu se dérouler, le procès-verbal mentionne les motifs qui ont empêché ou entravé son déroulement ainsi que, le cas échéant, les motifs de l'opposition du responsable des lieux ou de son représentant.
Le procès-verbal est signé le jour même par l'autorité de contrôle qui y a procédé et par le chef de juridiction ou son représentant, ou le cas échéant par le responsable des lieux ou son représentant. En cas de refus ou d'absence de signature, mention en est portée au procès-verbal.
Le procès-verbal est notifié au responsable de traitement et, le cas échéant, s'il s'en distingue, au chef de juridiction concerné, ainsi que, le cas échéant, à son sous-traitant, par tout moyen.
Lorsque la visite a lieu avec l'autorisation et sous le contrôle du juge, dans les conditions prévues au II de l'article 19 de la loi du 6 janvier 1978, copie du procès-verbal de la visite lui est adressée par le président de la commission.

Pour l'exercice de ses pouvoirs d'enquête en application des articles L. 115-1 du code de justice administrative, L. 453-1 et L. 453-2 du code de l'organisation judiciaire et L. 111-18 du code des juridictions financières, l'autorité de contrôle peut entendre le responsable de traitement ou le sous-traitant et, le cas échéant, leur représentant et demander communication de tout renseignement ou toute justification nécessaires à l'accomplissement de sa mission, quel qu'en soit le support, et en prendre copie.
L'autorité de contrôle adresse la convocation, par lettre remise contre signature, ou remise en main propre contre récépissé ou acte d'huissier, qui doit parvenir au moins huit jours avant la date de l'audition.
La convocation rappelle au responsable de traitement et au sous-traitant convoqué qu'il peut être assisté d'un conseil de son choix.
Un procès-verbal est dressé dans les conditions prévues à l'article 8. Lorsque l'intéressé ne se rend pas à son audition, un procès-verbal de carence est établi.

Lorsqu'en application des articles L. 115-1 du code de justice administrative, L. 453-1 et L. 453-2 du code de l'organisation judiciaire et L. 111-18 du code des juridictions financières, l'autorité de contrôle fait appel à un ou plusieurs experts, elle définit l'objet et le périmètre de l'expertise et fixe le délai de sa réalisation.
Le ou les experts informent l'autorité de contrôle de l'avancement des opérations d'expertise.
Les indemnités dues aux experts font, le cas échéant, l'objet d'une convention entre l'expert, l'autorité de contrôle et l'autorité compétente pour engager ces dépenses.
L'expert établit un rapport d'expertise remis à l'autorité de contrôle qui en adresse une copie au responsable du traitement et le cas échéant au sous-traitant.

Lorsqu'elle a constaté des manquements aux obligations incombant au responsable du traitement ou au sous-traitant en vertu du règlement (UE) 2016/679 susvisé ou de la loi n° 78-17 du 6 janvier 1978 susvisée, l'autorité de contrôle peut délivrer une mise en demeure.
La mise en demeure précise les manquements relevés et fixe le délai au terme duquel le responsable du traitement ou le sous-traitant est tenu de les faire cesser. Ce délai ne peut, sauf urgence, être inférieur à dix jours. Il court à compter du jour de la réception par le responsable du traitement ou du sous-traitant de la mise en demeure. Lorsque la complexité de l'affaire le justifie, ce délai peut être prolongé une fois.
La mise en demeure est adressée au responsable du traitement ou au sous-traitant par tout moyen permettant à l'autorité de contrôle d'apporter la preuve de la date de cette notification.
Lorsque la mise en demeure a pour origine une réclamation ou une plainte, l'identité de son auteur n'est pas communiquée au responsable de traitement ou au sous-traitant, à moins que cela ne soit nécessaire à la cessation du ou des manquements constatés.

Lorsqu'une mesure correctrice prévue aux 1°, 2° à l'exception des astreintes journalières, et 3° à 6° du IV de l'article 20 de la loi du 6 janvier 1978 susvisée est susceptible d'être prononcée, l'autorité de contrôle désigne un rapporteur choisi parmi les membres des juridictions mis à disposition dans les conditions prévues aux articles L. 115-1 du code de justice administrative, L. 453-1 et L. 453-2 du code de l'organisation judiciaire et L. 111-18 du code des juridictions financières, et en informe le responsable de traitement ou le sous-traitant mis en cause.
Le rapporteur peut solliciter du mis en cause la communication de toute pièce ou information qu'il estime utile.
Le mis en cause peut être entendu si le rapporteur l'estime utile. Son audition donne lieu à l'établissement d'un procès-verbal qu'il signe. En cas de refus de signer, il en est fait mention par le rapporteur. Les personnes entendues peuvent être assistées d'un conseil de leur choix. Le rapporteur peut entendre toute autre personne dont l'audition lui paraît utile.
Sur demande du rapporteur, l'autorité de contrôle peut décider de procéder à des contrôles complémentaires, en sollicitant du mis en cause la communication de toute pièce ou information qu'elle estime utile, en procédant à des vérifications portant sur toutes les opérations de traitements relevant de sa compétence, et, le cas échéant, en prenant des copies de tous documents ou supports d'information utiles à ses missions.
Au terme de ses diligences, le rapporteur décide soit de mettre fin à la procédure soit d'établir un rapport de sanction.
Lorsqu'il met fin à la procédure, il en informe l'autorité de contrôle et le mis en cause.

I. - Les mesures correctrices envisagées telles que prévues aux 1°, 2° à l'exception des astreintes journalières, et 3° à 6° du IV de l'article 20, et aux 1° à 6°, à l'exception des astreintes journalières, et 7° du I de l'article 21 de loi du 6 janvier 1978 susvisée sont déterminées sur la base du rapport de sanction établi par l'autorité de contrôle. Ce rapport est notifié au mis en cause par tout moyen permettant à l'autorité de contrôle d'apporter la preuve de la date de cette notification.
Le mis en cause dispose d'un délai d'un mois, prolongeable une fois, à compter de la notification du rapport de sanction pour transmettre ses observations écrites et toute pièce utile au rapporteur et à l'autorité de contrôle.
Le rapporteur peut décider de poursuivre la procédure contradictoire écrite, et modifier son rapport et son projet de mesures correctrices. Chaque mémoire du rapporteur et du mis en cause est produit dans le délai d'un mois. Le mis en cause a toujours la possibilité de produire en dernier. L'autorité de contrôle est destinataire des observations et pièces échangées en application du présent alinéa.
Lorsque la procédure a pour origine une réclamation ou une plainte, l'identité de son auteur n'est communiquée au mis en cause que si la révélation de celle-ci est indispensable à la cessation du ou des manquements constatés ou lorsque les éléments de preuve opposés au mis en cause pour l'établissement du ou des manquements allégués ont été fournis par l'auteur de la plainte ou de la réclamation.
II. ‒ A tout moment, le rapporteur peut décider de mettre fin à la procédure s'il estime qu'il n'y a pas lieu de prononcer de mesure correctrice. Il en informe l'autorité de contrôle et le mis en cause.
III. ‒ Lorsqu'il estime le dossier en état, le rapporteur informe le mis en cause et l'autorité de contrôle que l'instruction est close. Sauf report de la clôture par l'autorité de contrôle, les observations écrites complémentaires sont déclarées irrecevables.
IV. - L'autorité de contrôle peut également recueillir les observations du mis en cause lors d'une audition, au cours de laquelle le mis en cause et, le cas échéant, son conseil ou tout expert désigné par le mis en cause sont invités à présenter des observations à l'appui de leurs mémoires. Lors de la séance, le rapporteur peut présenter des observations orales sur l'affaire. L'autorité de contrôle peut également entendre toute personne dont elle estime l'audition utile. Dans tous les cas, le mis en cause et, le cas échéant, son conseil doivent pouvoir prendre la parole en dernier. Lorsque l'autorité de contrôle s'estime insuffisamment éclairée, elle peut demander au rapporteur de poursuivre ses diligences.

La décision de l'autorité de contrôle énonce les considérations de droit et de fait sur lesquels elle est fondée. Elle indique les voies et délais de recours.
Elle est notifiée au mis en cause par tout moyen permettant d'attester la date de sa notification.
Lorsque l'autorité de contrôle décide de publier sa décision, cette publication peut intervenir dès la notification de la décision au mis en cause. La décision ainsi publiée indique qu'elle est susceptible de recours.

Sous réserve des dispositions qui suivent, les articles 12 à 15 du présent décret, à l'exception des délais prévus à l'article 12, sont applicables à la procédure présidant aux mesures prises en application des 1° à 6°, à l'exception des astreintes journalières, et 7° du I de l'article 21 de la loi du 6 janvier 1978 susvisée.
Le mis en cause dispose d'un délai de huit jours pour transmettre à l'autorité de contrôle ses observations écrites.
La convocation du mis en cause doit lui être parvenue au plus tard huit jours avant la date de son audition devant l'autorité de contrôle et mentionner le droit d'être assisté du conseil de son choix.

Lorsque l'autorité de contrôle constate que la mise en œuvre d'un traitement de données, au nombre de ceux relevant du titre III de la loi du 6 janvier 1978 susvisée, entraîne une violation des droits et libertés mentionnés à l'article 1^er de la même loi, elle en informe le mis en cause par tout moyen.
Le mis en cause dispose d'un délai de huit jours pour transmettre à l'autorité de contrôle ses observations écrites sur les manquements qui ont été constatés. Ce délai est porté à sa connaissance.

Lorsqu'une injonction de produire est susceptible d'être prononcée en application du VI de l'article 20 de la loi du 6 janvier 1978, l'autorité de contrôle établit un rapport à cet effet.
Ce rapport est notifié au mis en cause, par tout moyen permettant d'apporter la preuve de la date de cette notification. Le mis en cause dispose d'un délai de quinze jours pour présenter ses observations. Aucune audition n'est organisée.
A l'issue de ce délai, l'autorité de contrôle peut enjoindre au mis en cause de produire les éléments demandés dans un délai qu'elle fixe. Elle ne peut prononcer d'astreintes.
Le mis en cause transmet à l'autorité de contrôle, au plus tard à la date fixée dans la décision de cette dernière, les éléments attestant qu'il s'est conformé à l'injonction prononcée à son encontre.