La délibération vient d’arriver par courrier ou par voie électronique : la formation restreinte de la CNIL prononce contre votre société une amende de plusieurs centaines de milliers d’euros, assortie d’une injonction de mise en conformité sous astreinte et de la publication de la décision sur le site de la CNIL pendant deux ans. Le choc est double : financier, avec une somme immédiatement exigible sur le principe, et réputationnel, avec une sanction publique que vos clients, vos partenaires et vos concurrents pourront lire. Dans les heures qui suivent, trois questions s’imposent : faut-il payer tout de suite, faut-il se mettre en conformité sans discuter, et peut-on encore contester ? La réponse tient en un calendrier strict et une méthode éprouvée devant le Conseil d’État. Le recours existe, il est enfermé dans un délai de deux mois à compter de la notification, et il peut viser l’annulation comme, à titre subsidiaire, la réduction du montant. Encore faut-il lire la délibération ligne à ligne, identifier ce qui dans la procédure, la qualification des manquements ou le calcul de l’amende prête le flanc à la critique, et traiter en parallèle l’injonction et l’astreinte qui, elles, continuent de courir. Cet article décrit pas à pas ce premier mois décisif et les leviers réellement plaidés devant le juge administratif, à partir des textes en vigueur et de cinq arrêts récents du Conseil d’État lus dans leur intégralité.
I. Lire la délibération et sécuriser les premières semaines
A. Décrypter l’amende, l’injonction, l’astreinte et la publicité
La délibération de la formation restreinte cumule souvent quatre mesures qu’il faut distinguer, car chacune obéit à son propre régime. La première est l’amende administrative. L’article 20 de la loi du 6 janvier 1978 dispose qu’elle peut consister en « une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83 ». Concrètement, la CNIL choisit le plafond applicable selon la nature des manquements, puis fixe le montant en fonction des critères de l’article 83 du RGPD. Les ordres de grandeur prononcés ces dernières années donnent la mesure : 25 000 euros contre la société Editions Croque Futur en 2017, 175 000 euros contre la société Ubeeqo en 2022, 250 000 euros contre la société Optical Center en 2021, 500 000 euros contre la société Futura Internationale en 2019. Au sommet de l’échelle, le Conseil d’État a rejeté le recours dirigé contre la sanction de 50 millions d’euros infligée à Google, comme le relate le communiqué du Conseil d’État. Chaque montant se discute donc par rapport aux critères légaux, jamais dans l’abstrait.
La deuxième mesure est l’injonction de mise en conformité, qui peut être assortie d’une astreinte. La loi prévoit « Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ». Les délibérations récentes fixent des astreintes de 500 euros par jour de retard : à l’issue d’un délai d’un mois suivant la notification pour Futura Internationale, de trois mois pour Optical Center. L’astreinte est liquidée ensuite par la formation restreinte, qui en fixe le montant définitif. Elle court indépendamment du recours : contester l’amende ne suspend pas l’injonction, et chaque jour de retard documenté alourdit l’addition finale. L’issue financière de l’astreinte se joue à la liquidation : la loi dispose que « Les astreintes sont liquidées par la formation restreinte, qui en fixe le montant définitif, et recouvrées comme les créances de l’Etat étrangères à l’impôt et au domaine. » Autrement dit, le montant journalier fixé dans la délibération n’est qu’un taux : le montant définitif est arrêté ensuite, en fonction de la mise en conformité réellement intervenue et des justifications produites. Une entreprise qui exécute l’injonction dans le délai, qui transmet ses preuves au fil de l’eau et qui répond aux demandes de justification du président limite mécaniquement l’assiette de la liquidation. À l’inverse, une entreprise qui attend l’issue du recours pour commencer les travaux s’expose à une liquidation au taux plein, même si son recours prospère partiellement sur l’amende. Le recouvrement suit le régime des créances de l’État étrangères à l’impôt et au domaine, avec les prérogatives de recouvrement forcé qui s’y attachent : ce n’est pas une facture commerciale que l’on discute à loisir, c’est un titre exécutoire public. C’est pourquoi la mise en conformité doit avancer en parallèle du contentieux, avec des preuves datées.
La troisième mesure est la publicité de la sanction. La formation restreinte peut décider de rendre publique sa délibération, en général pour une durée de deux ans avant anonymisation : tel fut le cas pour Futura Internationale comme pour Ubeeqo. À l’inverse, la sanction de 25 000 euros contre Editions Croque Futur n’avait pas été rendue publique. La publicité n’est pas automatique et son principe comme sa durée se discutent : proportionnalité, anonymisation, effets sur l’entreprise. Enfin, quatrième cas de figure, la procédure simplifiée permet au président de la formation restreinte de prononcer seul une amende plafonnée à 20 000 euros, comme dans l’affaire ayant conduit à la sanction de 20 000 euros contre une association en 2024, confirmée par le Conseil d’État en 2025. Les garanties procédurales y sont allégées mais le recours reste ouvert. En cas d’urgence caractérisée, l’article 21 organise en outre une procédure d’urgence contradictoire devant la formation restreinte, saisie par le président.
B. Le calendrier impératif : deux mois pour le recours, l’urgence pour la suspension
Le point de départ de tout est la date de notification de la délibération, car c’est elle qui fait courir le délai de recours. La CNIL indique que ses décisions de sanction, comme les mises en demeure de son président, sont susceptibles de recours devant le Conseil d’État dans les deux mois de leur notification, délai porté à quatre mois pour un organisme situé à l’étranger. Ce délai est préfix : passé sans requête enregistrée au secrétariat du contentieux du Conseil d’État, la sanction devient définitive et l’amende comme l’injonction s’exécutent. La première tâche, dès réception, consiste donc à dater la notification avec certitude, à calculer l’échéance et à réserver la représentation par un avocat aux conseils, obligatoire devant le Conseil d’État.
Le recours n’est en principe pas suspensif : l’amende reste exigible et l’injonction court. La parade prévue par le code de justice administrative est le référé-suspension de l’article L. 521-1, dont les conditions sont cumulatives. La loi dispose : « Quand une décision administrative, même de rejet, fait l’objet d’une requête en annulation ou en réformation, le juge des référés, saisi d’une demande en ce sens, peut ordonner la suspension de l’exécution de cette décision, ou de certains de ses effets, lorsque l’urgence le justifie et qu’il est fait état d’un moyen propre à créer, en l’état de l’instruction, un doute sérieux quant à la légalité de la décision. » La suspension peut être demandée pour la totalité de la décision ou pour certains de ses effets seulement, par exemple la publicité de la sanction ou l’astreinte, dont le préjudice est souvent le plus urgent à neutraliser. Et « Lorsque la suspension est prononcée, il est statué sur la requête en annulation ou en réformation de la décision dans les meilleurs délais. La suspension prend fin au plus tard lorsqu’il est statué sur la requête en annulation ou en réformation de la décision. » En pratique, le référé se prépare en même temps que la requête au fond : exposer l’urgence suppose de chiffrer le risque d’exécution — trésorerie, publication imminente, astreinte journalière — et le doute sérieux suppose d’avoir déjà identifié au moins un moyen solide, tiré de la procédure ou du fond.
Pour structurer ces premières semaines, tenez un calendrier resserré. Jour un à trois : dater la notification, calculer l’échéance du recours, saisir l’avocat aux conseils et geler toute destruction de journaux, de sauvegardes ou de traces techniques utiles à la preuve. Première semaine : réunir le dossier CNIL complet depuis le contrôle initial, photographier l’état exact des traitements à la date de la sanction, et lancer l’audit d’écart entre ce que la délibération reproche et ce qui a déjà été corrigé. Deuxième semaine : engager les mesures correctives avec des ordres écrits et des jalons datés, mettre le prestataire en cause par écrit s’il est concerné, et chiffrer le préjudice d’exécution pour le référé — trésorerie mobilisée par l’amende, coût de la mise en conformité, impact commercial de la publication. Troisième semaine : finaliser la requête au fond avec ses conclusions principales en annulation et subsidiaires en réduction, assortie de la demande de suspension des effets les plus urgents. Quatrième semaine : déposer, transmettre les preuves de conformité déjà acquises à la CNIL pour limiter l’astreinte, et organiser la veille documentaire jusqu’à l’audience. Pendant ce temps, l’entreprise ne doit pas rester immobile sur la conformité. L’expérience des affaires jugées montre que la coopération compte à chaque stade : registre des traitements à jour, durées de conservation définies, contrats de sous-traitance régularisés, analyse d’impact complétée. Si votre dossier de conformité est incomplet, commencez par la méthode du registre RGPD et de l’analyse d’impact avant tout contrôle, car ce sont ces pièces que le rapporteur puis la formation restreinte examinent en premier. Chaque mesure corrective doit être horodatée : captures, journaux de déploiement, attestations du prestataire, nouvelles mentions d’information. Ces preuves serviront deux fois : devant la CNIL pour faire liquider l’astreinte au plus bas, et devant le Conseil d’État pour discuter le quantum et la persistance des manquements.
II. Construire devant le Conseil d’État un recours qui peut annuler ou réduire
A. Les quatre leviers réellement plaidés : procédure, qualification, montant, publicité
Le premier levier est la régularité de la procédure de sanction. La sanction est prononcée après une procédure contradictoire : saisine de la formation restreinte, désignation d’un rapporteur, notification du rapport, délai pour présenter des observations écrites, séance avec audition, puis délibération motivée. Chaque étape est un moyen potentiel : défaut de communication d’une pièce, délai de réponse trop bref au regard de la complexité du dossier, motivation stéréotypée de la délibération. L’arrêt rendu le 6 juin 2018 dans l’affaire Editions Croque Futur illustre l’exigence inverse, celle qui pèse sur l’entreprise : le Conseil d’État y rappelle qu’« il découle de l’article 21 de la loi du 6 janvier 1978 une obligation de coopération, qui implique que les personnes mises en demeure par la CNIL lui communiquent, au plus tard à l’expiration du délai qui leur a été fixé, tous les éléments lui permettant d’apprécier si et dans quelle mesure il a été remédié aux manquements constatés ». Dans cette affaire, la société, mise en demeure le 3 juin 2016 avec un délai de trois mois, n’avait pas adressé la réponse annoncée malgré une relance, et le manquement à l’obligation de coopérer fut retenu contre elle. Moralité contentieuse : on ne plaide utilement l’irrégularité de la procédure qu’avec un dossier de correspondance complet et des délais respectés de son côté.
Le deuxième levier est la qualification des manquements, c’est-à-dire la démonstration que les faits ne caractérisent pas la violation retenue. Trois exemples jugés montrent comment le débat se noue. Dans l’affaire Ubeeqo, la sanction de 175 000 euros sanctionnait plusieurs manquements au RGPD, notamment au principe de minimisation des données et aux règles de conservation, et le Conseil d’État confirma le 6 décembre 2023. Dans l’affaire Optical Center, l’injonction portait sur les articles 12, paragraphe 2, et 32 du RGPD, et l’amende de 250 000 euros fut maintenue le 26 avril 2022. Dans l’affaire Croque Futur, le débat portait sur les traceurs : le Conseil d’État jugea que l’éditeur du site, responsable de traitement pour les cookies qu’il dépose comme pour ceux qu’il laisse des tiers déposer, devait s’assurer auprès de ses partenaires et effectuer les démarches utiles pour faire cesser les manquements, et que ses allégations non étayées ne suffisaient pas. Surtout, l’arrêt Optical Center tranche un point de procédure souvent mal compris : « Il résulte des termes mêmes de ces dispositions que le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable du traitement ou de son sous-traitant par le président de la CNIL. » Invoquer l’absence de mise en demeure préalable ne suffit donc pas à faire tomber une sanction prononcée sur le fondement actuel de l’article 20. Le moyen doit porter sur la matérialité des faits, les textes exactement applicables à la date des contrôles et la qualité de responsable de traitement ou de sous-traitant.
Le troisième levier est le montant de l’amende, qui se discute à partir des critères légaux. Le RGPD exige que les amendes « soient, dans chaque cas, effectives, proportionnées et dissuasives », et précise que « Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments suivants : a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi; b) le fait que la violation a été commise délibérément ou par négligence ». L’ancien article 47 de la loi de 1978, appliqué dans l’affaire Croque Futur, retenait la même logique : « Le montant de la sanction pécuniaire prévue au I de l’article 45 est proportionné à la gravité du manquement commis et aux avantages tirés de ce manquement. La formation restreinte de la CNIL prend notamment en compte le caractère intentionnel ou de négligence du manquement, les mesures prises par le responsable du traitement pour atténuer les dommages subis par les personnes concernées, le degré de coopération avec la commission afin de remédier au manquement et d’atténuer ses effets négatifs éventuels, les catégories de données à caractère personnel concernées et la manière dont le manquement a été porté à la connaissance de la commission ». Concrètement, la requête peut demander l’annulation à titre principal et, à titre subsidiaire, la réduction du montant — c’est exactement l’architecture des conclusions dans l’affaire Croque Futur comme dans l’affaire Optical Center. Pour espérer la réduction, il faut chiffrer : gravité relative des manquements, nombre de personnes effectivement affectées, absence d’avantage tiré du manquement, caractère non intentionnel, mesures correctives prises spontanément, coopération documentée, situation économique de l’entreprise. Le Conseil d’État contrôle la proportionnalité mais rejette les critiques générales : dans les cinq affaires étudiées, toutes les requêtes furent rejetées, y compris les demandes subsidiaires de réduction, parce que les manquements étaient établis, persistants et insuffisamment corrigés.
Le quatrième levier est la publicité de la sanction. La formation restreinte motive le choix de publier et la durée retenue, le plus souvent deux ans avant anonymisation. Le recours peut contester le principe même de la publication ou sa durée, en invoquant la disproportion entre la faute et l’atteinte à la réputation commerciale, l’anonymisation partielle, ou la correction intervenue depuis. Dans l’affaire Futura Internationale, l’amende de 500 000 euros s’accompagnait d’une injonction assortie d’une astreinte de 500 euros par jour de retard et d’une publication pendant deux ans, et l’ensemble fut confirmé le 1er mars 2021. Dans l’affaire Ubeeqo, la publicité pour deux ans fut également validée. Ces précédents montrent que la publicité suit en général le sort de l’amende : elle tombe rarement seule. C’est une raison supplémentaire de concentrer le référé-suspension sur cet effet précis lorsque la publication causerait un préjudice irréversible avant le jugement au fond, en démontrant l’urgence commerciale concrète — perte de contrats en cours de négociation, clauses de conformité imposées par les donneurs d’ordre, exposition médiatique — plutôt qu’en invoquant un préjudice d’image abstrait.
B. Le dossier qui tient : pièces, conformité parallèle et erreurs à éviter
Un recours qui tient commence par un dossier matériel irréprochable. Rassemblez dès la première semaine : la délibération notifiée et sa date de notification, l’intégralité de la correspondance avec la CNIL depuis le premier contrôle, le rapport du rapporteur et vos observations en réponse, le procès-verbal de séance si vous en disposez, les constats de la CNIL et vos propres constats contradictoires, le registre des traitements dans sa version à la date du contrôle puis dans sa version corrigée, les contrats de sous-traitance avec leurs clauses de protection des données, les politiques de conservation et les journaux de purge, les mentions d’information et recueils de consentement, les mesures de sécurité avec leurs preuves de déploiement, et les éléments comptables permettant de discuter le quantum. Chaque manquement retenu doit recevoir sa pochette : texte applicable à la date des faits, faits reprochés, réponse apportée, preuve datée. Les affirmations non étayées sont sanctionnées par le juge, comme l’a montré l’affaire Croque Futur sur les démarches alléguées auprès des partenaires publicitaires.
La conformité parallèle n’est pas un aveu, c’est une obligation stratégique. L’injonction assortie d’astreinte l’impose de toute façon, et la liquidation de l’astreinte comme la discussion du quantum en dépendent. Faites exécuter les mesures correctives par écrit, avec des ordres de mission internes, des bons de commande aux prestataires et des procès-verbaux de recette. Si un prestataire est à l’origine des faits — traceurs déposés par une régie, fuite chez un hébergeur, paramétrage défaillant d’un sous-traitant — mettez-le en cause par écrit sans délai, en visant les clauses du contrat de sous-traitance, et conservez la preuve de ses engagements de correction. Vous ne transférerez pas ainsi votre responsabilité de responsable de traitement, mais vous documenterez votre diligence et préparerez votre recours contre lui, qui relève d’un contentieux distinct, contractuel, devant le juge judiciaire.
Cinq erreurs reviennent dans les dossiers rejetés et doivent être évitées. Première erreur : laisser passer le délai de deux mois en négociant avec la CNIL après notification, comme si la discussion amiable suspendait le recours — elle ne le suspend pas. Deuxième erreur : demander l’annulation au seul motif qu’aucune mise en demeure préalable n’avait été adressée, alors que le Conseil d’État juge que la sanction n’y est pas subordonnée. Troisième erreur : plaider la bonne foi sans pièces, ou produire des attestations internes rédigées pour les besoins de la cause au lieu de journaux techniques et de documents contemporains des faits. Quatrième erreur : ignorer l’injonction et l’astreinte pendant le recours, puis découvrir à l’audience que la persistance des manquements justifie à elle seule le maintien de l’amende. Cinquième erreur : contester la publication par des généralités sur la réputation sans démontrer un préjudice imminent et chiffré, seul à la hauteur de l’urgence exigée en référé. À l’inverse, les dossiers qui obtiennent au minimum une réduction sont ceux où l’entreprise démontre, pièces à l’appui, que le manquement était limité dans le temps et dans son périmètre, qu’il n’a procuré aucun avantage, qu’il a été corrigé spontanément et que le montant retenu dépasse ce que la gravité réelle commandait au regard des critères de l’article 83.
Un mot particulier sur la procédure simplifiée, qui concerne les dossiers ne présentant pas de difficulté sérieuse. Dans l’affaire jugée le 15 avril 2025, l’association avait été informée par un courrier du 13 avril 2022 des manquements envisagés et de la procédure, avant que le président de la formation restreinte ne prononce seul une amende de 20 000 euros. Le Conseil d’État a confirmé la sanction en rappelant les garanties applicables : information préalable, possibilité de présenter des observations avec l’aide de toute personne sollicitée pour éclairer l’instruction, et motivation au regard de la gravité des manquements. Surtout, dans ce cadre, le président de la formation restreinte statue seul et ne peut rendre publiques les décisions qu’il prend : la publicité, si redoutée dans la procédure ordinaire, n’existe pas ici. Le recours reste ouvert dans les mêmes délais, mais l’argumentaire se concentre sur la matérialité des manquements et le quantum, sans volet publicité ni astreinte. Vérifiez donc en tête de délibération quelle procédure a été suivie : elle conditionne les mesures contestables et les pièces à réunir. Après l’arrêt, trois issues se présentent. Si le Conseil d’État annule la sanction, la CNIL peut être renvoyée à réexaminer, et les sommes versées doivent être restituées avec les conséquences de l’annulation sur l’injonction et la publicité. S’il réduit le montant, l’amende réformée s’exécute pour le surplus et l’astreinte est liquidée en tenant compte de la mise en conformité intervenue. S’il rejette la requête, comme dans les cinq affaires citées, la sanction devient définitive : l’amende est recouvrée comme une créance de l’État, l’injonction doit être exécutée sous peine de liquidation de l’astreinte, et la publication suit son cours jusqu’à l’anonymisation. Dans tous les cas, conservez l’arrêt avec la délibération et le dossier de conformité : un futur contrôle partira de cet historique, et la démonstration d’une conformité durable est votre meilleure protection contre la récidive, que la formation restreinte prend en compte dans ses sanctions ultérieures.
Sanction notifiée, injonction qui court, publication qui menace : le mois qui suit la notification décide de l’issue. Dater le délai de deux mois, chiffrer l’urgence pour le référé, décrypter chaque mesure de la délibération, monter un dossier pièce par pièce et avancer la conformité en parallèle, tels sont les gestes qui transforment une sanction subie en contentieux plaidable. Les arrêts du Conseil d’État montrent un juge exigeant mais prévisible : il vérifie la procédure contradictoire, la matérialité des manquements, les critères de fixation de l’amende et la motivation de la publicité, et il rejette les critiques non prouvées. Préparez votre recours à cette aune, sans attendre, et faites-vous assister dès la notification.
Besoin d’un avis rapide sur votre dossier
Vous venez de recevoir une sanction de la CNIL et le délai de recours court. Pour un avis sur votre dossier en numérique et données personnelles, contactez Maître Reda KOHEN, avocat au Barreau de Paris, au 06 46 60 58 22 ou via le formulaire de contact.