Votre société vient de recevoir une décision de la CNIL qui lui enjoint de se mettre en conformité sous astreinte : 50 euros, 500 euros ou davantage par jour de retard à l’issue d’un délai d’un mois. À partir de l’échéance, un compteur tourne et chaque journée d’inexécution alourdit la facture finale, que la commission liquidera ensuite à votre charge. Pendant ce temps, le délai de recours court lui aussi, et il n’est pas suspensif : contester sans exécuter laisse le compteur tourner. Cette situation appelle une réaction en deux temps, menée de front : exécuter vite et le prouver pour arrêter le compteur, puis contester utilement ce qui peut encore l’être.
Cet article explique comment réagir quand votre entreprise est visée par une injonction de la CNIL assortie d’une astreinte : qui prononce l’injonction et dans quels cas, quand le compteur démarre et comment la somme est liquidée, comment exécuter de façon à faire cesser l’astreinte, et comment contester la sanction et la liquidation devant le Conseil d’État. L’analyse s’appuie sur les textes applicables en 2026, sur les positions officielles de la CNIL et sur deux décisions récentes du Conseil d’État qui fixent l’échelle des montants : 10 000 euros d’amende et 50 euros par jour dans une affaire de non-coopération, 500 000 euros d’amende et 500 euros par jour dans une affaire de manquements persistants malgré une mise en demeure.
I. Ce que l’injonction sous astreinte vous impose vraiment
L’astreinte n’est pas une amende déguisée : c’est une pression financière quotidienne destinée à vous contraindre à exécuter l’injonction. Pour la neutraliser, il faut d’abord comprendre qui l’a prononcée, pour quels manquements, et à partir de quand elle court.
A. Qui prononce l’injonction, pour quels manquements et avec quels montants journaliers
L’injonction peut être prononcée à deux stades de la procédure. Avant toute sanction, le président de la CNIL peut mettre votre organisme en demeure de cesser les manquements constatés : une décision qui énumère les griefs et les mesures à prendre dans un délai fixé, et la CNIL souligne qu’une mise en demeure n’est pas une sanction, la procédure de sanction n’étant pas encore engagée à ce stade Le fondement se trouve à l’article 21 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : « Le président peut demander qu’il soit justifié de la mise en conformité dans un délai qu’il fixe. » Quand la réponse n’a pas convaincu, la CNIL prévient que si la réponse est insatisfaisante ou absente dans le délai, une procédure de sanction pourra être directement engagée. C’est alors la formation restreinte, composée de cinq membres et d’un président distinct du président de la CNIL, qui statue après une procédure contradictoire et peut assortir son injonction d’une astreinte.
Les manquements qui conduisent à l’injonction sont les violations classiques du règlement (UE) 2016/679 du 27 avril 2016, dit RGPD : collecte excessive au regard de la finalité, défaut d’information des personnes, durées de conservation indéterminées, sécurité insuffisante, droits d’accès, d’opposition ou d’effacement ignorés, transferts hors Union européenne sans encadrement, contrat de sous-traitance non conforme à l’article 28. Chacun de ces griefs doit être lu comme un poste d’exécution : l’injonction vous dira exactement quel traitement mettre en conformité, et c’est poste par poste qu’il faudra prouver l’exécution pour arrêter le compteur. Quand un prestataire d’hébergement, de maintenance ou de logiciel en mode SaaS traite des données pour votre compte, vérifiez immédiatement sa part dans les manquements : si le transfert ou la faille de sécurité vient de lui, mettez-le en demeure à votre tour et exigez ses preuves, sans attendre pour exécuter ce qui dépend de vous.
Les montants journaliers sont fixés par la décision et varient selon la gravité. Deux affaires jugées par le Conseil d’État donnent l’échelle. Dans l’affaire LHA Développement, jugée le 30 janvier 2024 (n° 473254), une société qui avait ignoré les demandes de documents des agents lors d’un contrôle de son système de vidéosurveillance écope de 10 000 euros d’amende et d’une injonction de communiquer les pièces sous astreinte de 50 euros par jour de retard à l’issue d’un délai d’un mois suivant la notification. Dans l’affaire Futura Internationale, jugée le 1er mars 2021 (n° 437808), une société de démarchage qui persistait dans des manquements graves malgré une mise en demeure de deux mois écope de 500 000 euros d’amende et d’une injonction de mise en conformité assortie d’une astreinte de 500 euros par jour de retard à l’issue d’un délai d’un mois. Dans les cas les plus sensibles, lorsque le manquement est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, le président de la formation restreinte peut même prononcer une injonction provisoire assortie d’une astreinte pouvant atteindre 100 000 euros par jour de retard. L’écart entre 50 et 100 000 euros par jour montre que l’astreinte est calibrée sur l’enjeu : plus le risque pour les personnes est élevé, plus chaque jour d’inaction coûte cher.
Pour calibrer votre urgence, convertissez le montant journalier en coût mensuel : 50 euros par jour représentent 1 500 euros par mois, 500 euros par jour 15 000 euros par mois, et une astreinte provisoire de 100 000 euros par jour rend chaque semaine d’inaction potentiellement ruineuse. Rapportez ce chiffrage au coût de l’exécution : auditer, purger, réécrire les mentions et signer un avenant avec votre prestataire coûtent presque toujours moins cher qu’un trimestre d’astreinte. Cet arbitrage chiffré, présenté dès la première réunion de crise, aide la direction à débloquer les budgets sans attendre.
Précision importante sur le périmètre des personnes visées : la CNIL peut contrôler tout organisme traitant des données personnelles qui dispose d’un établissement en France ou vise des personnes résidant en France, et le RGPD lui permet de vérifier aussi vos sous-traitants, par exemple votre hébergeur ou votre agence de maintenance. Si l’injonction porte sur des traitements opérés par votre prestataire, vous restez tenu comme responsable du traitement, sans préjudice de votre recours contractuel contre lui. La décision peut en outre être rendue publique, ce qui ajoute au coût financier un coût de réputation : la publication dure en principe deux ans avant anonymisation.
B. Quand le compteur démarre, comment la somme est liquidée et pourquoi attendre coûte si cher
L’astreinte ne court pas dès la notification : la décision accorde un délai d’exécution, le plus souvent d’un mois suivant la notification, avant que le compteur ne démarre. Ce mois est votre fenêtre d’action prioritaire. Chaque mesure exécutée et prouvée avant l’échéance est une journée d’astreinte qui ne naîtra jamais. À l’inverse, chaque jour de retard après l’échéance s’additionne automatiquement, sans que la CNIL ait besoin de vous relancer. La liquidation, c’est-à-dire le calcul définitif de la somme due au titre de l’astreinte, intervient ensuite par une décision qui arrête le montant en fonction de la période d’inexécution constatée. C’est cette décision de liquidation qui fixe la facture finale, et c’est aussi elle qui pourra être contestée.
La liquidation mérite une attention particulière car elle transforme des jours d’inexécution en dette exigible. La commission arrête la période en comparant la date d’échéance de l’injonction et la date à laquelle l’exécution effective est établie, pièces à l’appui. Tout flottement dans vos preuves profite à la période longue : une mesure réalisée mais non datée, un avenant signé mais non transmis, une purge effectuée mais non journalisée seront comptés comme des jours d’inexécution. Adressez donc à la CNIL, avant même qu’elle ne liquide, un récapitulatif daté de l’exécution poste par poste, avec les pièces jointes, et conservez la preuve de cet envoi. Si la décision de liquidation retient néanmoins une période excessive, ce récapitulatif deviendra votre pièce maîtresse devant le Conseil d’État pour faire raccourcir la période et réduire la somme. Anticipez aussi la trésorerie : l’amende et l’astreinte liquidée sont exigibles pendant le recours, et seule une suspension obtenue du juge des référés peut geler le paiement.
Le caractère non suspensif du recours est le second mécanisme qui rend l’attente coûteuse. Contre la décision de la formation restreinte, la CNIL indique qu’à compter de la notification, l’organisme dispose de deux mois pour former un recours devant le Conseil d’État Ce délai de deux mois est strict, et le recours ne suspend ni l’exigibilité de l’amende ni l’obligation d’exécuter l’injonction : pendant l’instance, le compteur continue de tourner sauf si le juge des référés ordonne la suspension. Autrement dit, contester sans exécuter, c’est laisser la dette journalière s’accumuler pendant des mois de procédure. La stratégie gagnante consiste à exécuter immédiatement pour tarir l’astreinte à la source, tout en préparant le recours contre l’amende et contre la liquidation.
Un troisième mécanisme prolonge la pression : la CNIL peut diligenter un nouveau contrôle de vérification après l’échéance pour constater si l’exécution est réelle, y compris après une décision de clôture. Une exécution de façade, documentée par des attestations complaisantes mais infirmée par la vérification sur place ou en ligne, relance la procédure et aggrave la position de l’entreprise pour la suite. L’exécution doit donc être effective et durable : corriger le paramétrage, purger les données, réécrire les mentions, signer l’avenant avec le sous-traitant, puis maintenir ces corrections dans le temps.
II. Arrêter le compteur puis contester utilement
La méthode tient en deux temps menés de front : exécuter vite et le prouver pour arrêter le compteur, puis contester l’amende et la liquidation devant le Conseil d’État.
A. Exécuter vite et le prouver, manquement par manquement, avant que la facture n’enfle
Commencez par qualifier votre situation. Identifiez chaque traitement visé par l’injonction, les parties en cause et leurs rôles : votre société est-elle responsable du traitement ou sous-traitant ? Votre prestataire informatique est-il impliqué dans les manquements, et le contrat qu’il exécute prévoit-il les clauses exigées par l’article 28 du RGPD ? Cette cartographie conditionne l’exécution : on ne satisfait pas de la même façon une injonction de réduire les données collectées sur son propre site et une injonction de rapatrier des flux transférés hors Union européenne par un sous-traitant. Dans le second cas, suspendez les flux contestés sans délai et imposez au prestataire les clauses contractuelles types ou un hébergement conforme, tout en exécutant en parallèle ce qui relève de vos propres systèmes.
Traitez ensuite chaque poste de l’injonction séparément, avec la même structure à chaque fois : rappel de la mesure ordonnée, action d’exécution réalisée avec sa date, pièce justificative jointe. Pour une injonction de minimisation, réduisez les champs des formulaires, purgez les données déjà collectées sans base et produisez des captures avant et après ainsi que la nouvelle règle de collecte. Pour un défaut d’information, réécrivez les mentions, datez leur mise en ligne et joignez des captures horodatées. Pour des durées de conservation, adoptez un référentiel de durées par finalité, lancez la purge ou l’archivage intermédiaire et produisez les journaux d’exécution. Pour la sécurité, faites auditer, corrigez, chiffrez, journalisez et produisez le rapport d’audit et le plan d’action soldé. Pour les droits des personnes, mettez en place la procédure de réponse aux demandes dans un délai d’un mois, formez l’équipe d’accueil des demandes et produisez le registre des demandes traitées. Pour les transferts, recensez les flux, signez l’avenant avec le prestataire et produisez-le.
Trois exigences traversent l’ensemble de l’exécution. Premièrement, l’effectivité : la CNIL et le juge vérifient que les manquements ont réellement cessé, pas seulement que des engagements ont été pris. Dans l’affaire Futura, la société avait mis en place des dispositifs d’opposition après la mise en demeure, mais le Conseil d’État relève que « les correctifs apportés en cours de procédure n’ont pas mis fin de façon effective aux manquements constatés avant la notification du rapport de sanction. » Une régularisation partielle ou tardive laisse le compteur tourner. Deuxièmement, la diligence dans les délais : les responsables de traitement « doivent en particulier répondre avec diligence, dans les délais fixés par la CNIL et dont ils sont susceptibles de solliciter la prolongation, aux demandes de communication de toute information ou document que la Commission leur adresse ». Si les travaux dépassent le délai d’un mois, demandez par écrit une prolongation en justifiant l’avancement : la prolongation se sollicite, elle ne se présume pas, et le silence vaut inexécution. Troisièmement, la traçabilité : mettez à jour le registre des traitements de l’article 30 du RGPD, faites-le viser par votre délégué à la protection des données quand vous en avez un, et centralisez toutes les pièces dans un classeur d’exécution unique qui servira pour la CNIL puis, le cas échéant, pour le juge.
Nommez un pilote interne du dossier et ne laissez aucun intermédiaire filtrer les échanges avec la commission. L’affaire LHA est à cet égard un contre-modèle parfait : gérant injoignable après le contrôle, procès-verbal non signé sur son instruction, demandes du procès-verbal notifié le 24 juin 2022 restées sans réponse, lettre de relance du 25 juillet 2022 ignorée, rapport de sanction notifié le 2 décembre 2022, et premières pièces seulement produites le 22 décembre 2022 par l’avocat, de façon partielle. Six mois d’inertie pour un système de vidéosurveillance : 10 000 euros d’amende et une astreinte de 50 euros par jour. Le message du juge est limpide et il vaut pour toute injonction : coopérer tôt coûte moins cher que plaider tard. L’article 31 du RGPD l’impose d’ailleurs en ces termes : « Le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l’autorité de contrôle, à la demande de celle-ci, dans l’exécution de ses missions ».
Quand l’injonction vise des traitements opérés par un outil que vous ne maîtrisez pas, comme un logiciel métier ou une plateforme marketing, exigez de l’éditeur un correctif écrit avec date de déploiement et conservez ses engagements : si le retard lui est imputable, ces pièces serviront à la fois pour demander à la CNIL un délai supplémentaire et pour exercer ensuite votre recours contractuel contre lui, y compris la récupération des sommes versées au titre de l’astreinte pour la période dont il est responsable.
Deux interdits absolus pendant l’exécution. Ne produisez jamais un document antidaté ou une attestation mensongère : outre le discrédit total de votre dossier, le faux expose la société et ses dirigeants à des poursuites pénales distinctes de la procédure CNIL. N’entravez jamais un contrôle de vérification : refuser l’accès aux agents, dissimuler des documents ou rendre le personnel indisponible caractérise le manquement à l’obligation de coopération, sanctionné pour lui-même. Les agents peuvent en effet « les membres et agents mentionnés au premier alinéa du I du présent article peuvent demander communication de tous documents nécessaires à l’accomplissement de leur mission, quel qu’en soit le support, et en prendre copie » et « Il est dressé procès-verbal des vérifications et des visites menées en application du présent article » : chaque entrave figure au procès-verbal et nourrit la liquidation puis l’éventuelle sanction complémentaire.
B. Contester l’amende et la liquidation devant le Conseil d’État sans laisser le compteur tourner
Une fois l’exécution engagée, préparez le recours. Le point de départ est la notification de la décision : faites dater la réception avec précision, car le délai de deux mois pour saisir le Conseil d’État court à compter de cette date et il est strict. Le recours est en principe un recours de plein contentieux contre une sanction administrative : le juge vérifie la régularité de la procédure, la matérialité des manquements, leur qualification juridique et la proportionnalité de la sanction, et il peut annuler, réduire l’amende ou la confirmer. Examinez en parallèle la décision de liquidation de l’astreinte : contestez la période retenue en rapportant les preuves d’exécution datées, jour par jour, qui démontrent que le compteur aurait dû s’arrêter plus tôt.
La procédure devant la formation restreinte suit un ordonnancement strict qu’il faut connaître pour ne rater aucune étape. Un rapporteur instruit le dossier et notifie un rapport à l’organisme : dans l’affaire LHA, ce rapport a été notifié le 2 décembre 2022 et proposait l’amende ainsi que l’injonction sous astreinte. L’organisme présente ensuite ses observations écrites, assisté de son avocat : la société LHA n’a produit les siennes que le 20 décembre environ, avec une partie seulement des pièces, soit vingt jours après le rapport et six mois après le contrôle. Ce calendrier illustre l’erreur à ne pas commettre : des observations tardives et partielles, versées après des mois de silence, ne pèsent rien face à un rapport documenté. Versez au contraire des observations complètes, chiffrées et pièces contre pièces, demandez à être entendu en séance pour expliquer l’exécution intervenue depuis, et sollicitez expressément la réduction de l’amende et la limitation de la période d’astreinte en invoquant votre coopération et les critères de l’article 83 du RGPD.
Sur la procédure, les moyens de légalité externe portent sur le contrôle lui-même : information préalable du procureur de la République avant un contrôle sur place, droit d’opposition du responsable des lieux, procès-verbal dressé contradictoirement, respect des secrets opposables que sont le secret avocat-client, le secret des sources journalistiques et le secret médical. Dans l’affaire LHA, le moyen tiré de l’irrégularité du contrôle a été écarté parce que la CNIL avait informé le procureur conformément à l’article 25 du décret n° 2019-536 du 29 mai 2019 : vérifiez ce point dans votre dossier avant de le soulever, car un moyen contredit par les pièces nuit à la crédibilité de l’ensemble du recours.
Sur le fond, le cœur du débat est la proportionnalité. L’article 83 du RGPD exige que les amendes soient, « effectives, proportionnées et dissuasives », et le juge passe en revue la nature, la gravité et la durée des manquements, leur caractère délibéré ou négligent, les mesures prises pour atténuer le dommage, les garanties techniques et organisationnelles mises en œuvre et les antécédents. Le « degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs » joue dans les deux sens : une coopération documentée dès l’injonction justifie la réduction, tandis que l’obstruction constatée au procès-verbal la rend illusoire. L’affaire Futura montre l’issue d’un dossier mal défendu sur ce terrain : « la formation restreinte de la CNIL n’a pas infligé à la société Futura Internationale une sanction disproportionnée en prononçant à son encontre une sanction pécuniaire d’un montant de 500 000 euros, représentant 2,5% de son chiffre d’affaires en 2018 ». Les manquements multiples et persistants, le défaut d’information, le droit d’opposition ignoré et le défaut caractérisé de coopération ont justifié ensemble ce montant et la publication pendant deux ans.
En pratique, articulez exécution et recours sans les confondre : exécutez et prouvez pour tarir l’astreinte, recourez pour faire réduire l’amende et corriger la liquidation. Si la trésorerie est en jeu, demandez au juge des référés la suspension de l’exécution de la décision en démontrant l’urgence et un doute sérieux sur sa légalité, sans en faire une stratégie dilatoire qui aggraverait l’appréciation de votre coopération. Et pour situer votre dossier dans la chaîne complète de la procédure, de la sanction à ses voies de recours, vous pouvez lire l’analyse consacrée à la sanction de la CNIL, à l’amende, à l’injonction sous astreinte et au recours devant le Conseil d’État. Chaque jour d’exécution prouvée est une journée d’astreinte économisée et un argument de coopération gagné pour le recours : c’est le même effort qui paie deux fois.
Conservez enfin chaque preuve d’exécution pendant toute la durée de la procédure et au-delà : journal de purge, captures datées, avenants signés et échanges avec la commission. Le dossier d’exécution est votre seule monnaie d’échange, devant la CNIL comme devant le juge.
En conclusion, l’injonction sous astreinte est une course contre le compteur dont les règles sont connues : un mois pour exécuter avant que les pénalités journalières ne courent, une liquidation qui arrêtera la facture, un recours de deux mois qui ne suspend rien. L’entreprise qui exécute vite, qui prouve chaque mesure avec des pièces datées et qui coopère loyalement avec les agents arrête le compteur au plus tôt et se donne les meilleures cartes pour faire réduire l’amende. Celle qui attend le jugement pour agir paie deux fois : l’amende validée par le juge et les journées d’astreinte accumulées pendant l’instance. Devant une injonction de la CNIL, la bonne question n’est donc pas seulement de savoir si la sanction est justifiée, mais de savoir combien chaque semaine d’inaction va coûter. Faites exécuter, faites constater, puis faites juger : dans cet ordre.
Besoin d’un avis rapide sur votre dossier
Votre entreprise vient de recevoir une injonction de la CNIL sous astreinte pour ses traitements de données personnelles ? Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et vous indique comment exécuter dans le délai et contester utilement. Consultation téléphonique en 48 heures avec un avocat du cabinet. Appelez le 06 46 60 58 22 ou écrivez via la page formulaire de contact.