Votre société vient de recevoir une délibération de la formation restreinte de la CNIL : une amende de plusieurs dizaines de milliers d’euros, une injonction de mise en conformité sous astreinte et, parfois, la publication de la décision sur le site de la Commission. Le choc est rude, et le délai pour réagir est compté : le recours se porte devant le Conseil d’État dans les deux mois de la notification. Payer sans discuter, contester en bloc ou régulariser en silence : aucune de ces trois voies ne s’improvise, car chacune engage la suite — montant définitif, astreinte qui court, image publique et risque pénal ou civil parallèle.
L’actualité rappelle que personne n’est à l’abri : le 26 mai 2026, la société IQVIA Operations France a été sanctionnée d’une amende de 5 millions d’euros, notamment pour non-respect des garanties visant à limiter les risques pour les personnes dans le cadre de la gestion d’entrepôts de données de santé, selon la CNIL. Entre la petite société épinglée après une plainte ignorée et le groupe visé pour ses traitements massifs, la mécanique reste la même : la CNIL sanctionne vite, motive par référence aux critères du règlement européen, et le juge administratif ne réécrit l’addition que si l’argumentation est précise. Trois arrêts récents du Conseil d’État — Timework-it du 28 novembre 2025, Reconquête du 15 avril 2025 et Optical Center du 26 avril 2022 — montrent ce qui fait annuler, réduire ou, le plus souvent, confirmer.
Cet article explique d’abord ce que contient une sanction et d’où elle vient, puis comment la contester utilement devant le Conseil d’État tout en régularisant pour stopper l’hémorragie. Il s’adresse aux dirigeants, DPO et responsables conformité qui tiennent une délibération entre les mains.
I. Comprendre la sanction reçue avant de décider de la suite
Avant de choisir entre paiement, recours et régularisation, il faut lire la délibération pour ce qu’elle est : une décision administrative qui cumule souvent plusieurs mesures, prise au terme d’une procédure dont chaque étape conditionne les moyens de contestation.
A. Amende, injonction sous astreinte, limitation et publicité : le catalogue des mesures
La formation restreinte ne se limite presque jamais à une seule mesure. L’article 20 de la loi n° 78-17 du 6 janvier 1978 prévoit qu’elle peut prononcer, après procédure contradictoire : « 1° Un rappel à l’ordre ; 2° Une injonction de mettre en conformité le traitement avec les obligations résultant du règlement (UE) 2016/679 du 27 avril 2016 ou de la présente loi ou de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits, qui peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte ». Viennent ensuite la limitation ou l’interdiction du traitement, la suspension des flux vers un pays tiers, le retrait d’une certification et l’amende administrative.
Sur l’amende, l’article 20 de la loi du 6 janvier 1978 dispose : « A l’exception des cas où le traitement est mis en œuvre par l’Etat, une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. Dans les hypothèses mentionnées aux 5 et 6 de l’article 83 du règlement (UE) 2016/679 du 27 avril 2016, ces plafonds sont portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires. » (article 20). Et : « La formation restreinte prend en compte, dans la détermination du montant de l’amende, les critères précisés au même article 83. » (article 20). Ces critères figurent à l’article 83 du règlement (UE) 2016/679 : les amendes doivent être, « dans chaque cas, effectives, proportionnées et dissuasives », et le juge tient compte « dans chaque cas d’espèce » de la nature, de la gravité et de la durée de la violation, du nombre de personnes affectées, du caractère délibéré ou négligent, des mesures d’atténuation, des antécédents, du degré de coopération, des catégories de données et de toute autre circonstance aggravante ou atténuante. L’amende peut être imposée « en complément ou à la place » des autres mesures de l’article 58, paragraphe 2, dont le rappel à l’ordre, l’injonction de mise en conformité, la limitation ou l’interdiction du traitement et la suspension des flux.
Deux régimes procéduraux coexistent. En procédure ordinaire, la formation restreinte statue en collège après rapport, observations et séance. En procédure simplifiée, prévue à l’article 22-1 de la loi du 6 janvier 1978, « Le président de la formation restreinte ou l’un de ses membres désigné à cet effet statue seul sur l’affaire », lorsque les mesures encourues se limitent au rappel à l’ordre, à l’injonction et à une amende qui « n’excède pas un montant de 20 000 € » avec une astreinte qui « n’excède pas un montant de 100 € par jour de retard à compter de la date fixée par la décision ». Quand le chiffre d’affaires annuel mondial du responsable dépasse 50 millions d’euros, ces seuils passent à 100 000 euros d’amende et 500 euros d’astreinte journalière. Deux des trois arrêts commentés ici relèvent de cette voie rapide, ce qui montre son poids pratique : une plainte individuelle non traitée peut coûter 15 000 ou 20 000 euros sans audience collégiale. En urgence, l’article 20-1 de la même loi permet en outre à la formation restreinte d’ordonner l’interruption provisoire du traitement, y compris de tout transfert de données hors de l’Union européenne, pour trois mois au maximum.
La publicité mérite une attention propre. L’article 22 de la loi du 6 janvier 1978 énonce que « La formation restreinte peut rendre publiques les mesures qu’elle prend », et qu’elle « peut également ordonner leur insertion dans des publications, journaux et supports qu’elle désigne, aux frais des personnes sanctionnées ». Une sanction publiée sur cnil.fr, reprise par la presse spécialisée et référencée par les moteurs de recherche, produit un préjudice réputationnel qui dépasse souvent l’amende elle-même, notamment face aux clients, aux assureurs et aux partenaires qui auditent leurs sous-traitants.
B. La procédure qui a conduit à la sanction : rapport, contradictoire et droits de la défense
On ne conteste bien que ce que l’on comprend. La sanction est prononcée « sur la base d’un rapport établi par l’un des membres de la Commission nationale de l’informatique et des libertés, désigné par le président de celle-ci parmi les membres n’appartenant pas à la formation restreinte », toujours selon l’article 22 de la loi du 6 janvier 1978 : « Ce rapport est notifié au responsable de traitement ou à son sous-traitant, qui peut déposer des observations et se faire représenter ou assister. » Le rapporteur « peut présenter des observations orales à la formation restreinte mais ne prend pas part à ses délibérations », et la formation « peut entendre toute personne dont l’audition lui paraît susceptible de contribuer utilement à son information ». Chaque manquement à ce contradictoire — rapport non notifié, délai de réponse trop bref, impossibilité de se faire assister — constitue un moyen de régularité devant le juge. Encore faut-il qu’il soit réel et documenté : les moyens formels plaidés à la légère sont rejetés et discréditent le reste du recours.
L’affaire Timework-it, jugée par le Conseil d’État le 28 novembre 2025 (n° 499566), l’illustre. La société avait été sanctionnée par une décision du 26 septembre 2024 à une amende de 15 000 euros avec injonction de répondre à une demande d’effacement sous astreinte de 50 euros par jour, après deux réclamations d’un particulier restées sans réponse et une mise en demeure ignorée. Elle soutenait n’avoir reçu ni le rapport ni les courriers. Le Conseil d’État relève que le rapport et la lettre ont été signifiés au siège le 12 juillet 2024 par commissaire de justice avec avis de passage et lettre prévue par le code de procédure civile, et que la société « s’étant abstenue de donner suite », la signification était régulière. Il ajoute que les messages adressés à une adresse générique, classés en indésirables « en raison d’un mauvais paramétrage », et l’absence d’explication sur les courriers non reçus caractérisent « pour le moins, une négligence prolongée », exclusive de toute coopération. Requête rejetée, y compris sur l’amende, l’injonction et les frais réclamés sur le fondement de l’article L. 761-1 du code de justice administrative.
L’affaire Reconquête, jugée le 15 avril 2025 (n° 492943), concernait une amende de 20 000 euros prononcée le 25 janvier 2024 en procédure simplifiée pour manquements aux obligations d’information et d’effacement lors de prospection électorale. Le Conseil d’État valide le montant maximal de la procédure simplifiée en retenant « que les manquements constatés avaient concerné des millions de personnes et que l’association n’avait pas tenu compte du courrier du 6 avril 2022 par lequel la CNIL lui avait rappelé les règles et bonnes pratiques à suivre en matière de prospection électorale », tout en tenant compte des mesures correctrices adoptées ensuite. Les manquements faisaient « obstacle à l’expression, par les personnes concernées, de leur consentement au traitement de leurs données ainsi qu’à l’exercice des droits qu’elles tiennent du RGPD, en particulier des droits d’opposition et d’effacement ». Rejet là aussi.
L’affaire Optical Center, jugée le 26 avril 2022 (n° 449284), portait sur une amende de 250 000 euros avec injonction de mise en conformité sous astreinte de 500 euros par jour après trois mois, pour violation des articles 12, paragraphe 2, et 32 du RGPD. Le Conseil d’État relève « la violation des données à caractère personnel de plus de 200 000 personnes », des données incluant nom, adresse, téléphone, courriel, date de naissance et, pour 23 000 personnes, le numéro de sécurité sociale, ainsi qu’une récidive — « sanctionnée à deux reprises au cours des cinq dernières années » — et, « eu égard au chiffre d’affaires de 202 millions d’euros réalisé par la société au titre de l’année 2017 » (CE 26 avril 2022), il écarte la demande de questions préjudicielles à la Cour de justice, « en l’absence de tout doute raisonnable », et rejette le recours. La leçon commune aux trois espèces : le juge contrôle concrètement la gravité, la durée, la coopération et les capacités contributives, mais il confirme dès que la motivation de la CNIL documente ces critères.
II. Contester devant le Conseil d’État tout en régularisant pour stopper les compteurs
Une fois la délibération notifiée, deux chantiers s’ouvrent en parallèle : le contentieux, enfermé dans un délai bref, et la mise en conformité, qui conditionne l’astreinte, l’image et souvent le montant final.
A. Le recours : juge compétent, délai, sursis et moyens qui portent
La CNIL l’indique clairement : les décisions de sanction comme les mises en demeure de son président peuvent faire l’objet d’un recours devant le Conseil d’État dans les deux mois de leur notification, un délai porté à quatre mois pour un organisme situé à l’étranger. Côté code, l’article R. 311-1 du code de justice administrative dispose que « Le Conseil d’Etat est compétent pour connaître en premier et dernier ressort […] 4° Des recours dirigés contre les décisions prises par les organes des autorités suivantes, au titre de leur mission de contrôle ou de régulation », au nombre desquelles figure « la Commission nationale de l’informatique et des libertés ». Pas de tribunal administratif ni de cour d’appel : le Conseil d’État statue en premier et dernier ressort, avec un pourvoi en cassation exclu et un réexamen limité à la rectification d’erreur matérielle ou au recours en révision dans des cas exceptionnels. Le délai court de la notification ; tout retard rend la sanction définitive, comme l’a appris à ses dépens plus d’un organisme qui a préféré « attendre de voir ».
Le recours est de plein contentieux : le juge peut annuler mais aussi réformer — réduire l’amende, substituer un rappel à l’ordre, lever ou moduler l’injonction et l’astreinte. C’est d’ailleurs ce que demandaient les trois requérants cités : Timework-it sollicitait à titre subsidiaire le remplacement de l’amende par un rappel à l’ordre ou sa réduction à 500 euros avec suppression de l’injonction, Reconquête l’annulation pure et simple, Optical Center l’annulation puis la réduction et même des questions préjudicielles. Toutes ces demandes ont été rejetées, ce qui ne rend pas le recours inutile : d’autres affaires obtiennent des réductions substantielles quand la motivation de la CNIL est légère, quand la coopération est établie ou quand la régularisation rapide est prouvée. Les moyens se classent en trois familles. La régularité externe vise la procédure : notification du rapport, droits de la défense, impartialité, motivation suffisante. La légalité interne discute la qualification des manquements : tel traitement relevait-il du consentement ou de l’intérêt légitime, telle information était-elle due, telle mesure de sécurité était-elle appropriée au risque. La proportionnalité attaque le montant au regard des critères de l’article 83 : gravité et durée contestées, nombre de personnes surévalué, coopération ignorée, capacités contributives non examinées, antécédents inexistants.
En attendant le jugement, le référé-suspension de l’article L. 521-1 du code de justice administrative permet de demander au juge des référés de suspendre l’exécution « lorsque l’urgence le justifie et qu’il est fait état d’un moyen propre à créer, en l’état de l’instruction, un doute sérieux quant à la légalité de la décision ». L’urgence se caractérise par exemple par une astreinte journalière qui s’accumule, une injonction techniquement inexécutable dans le délai imparti ou une publication imminente aux effets irréversibles. Le doute sérieux peut tenir à un vice de procédure apparent ou à une erreur manifeste sur les critères de l’article 83. La suspension ne préjuge pas du fond, mais elle fige les compteurs et ouvre un espace de négociation. Attention toutefois : le sursis ne dispense pas de régulariser, et le juge du fond appréciera l’attitude de l’organisme pendant l’instance — une inertie totale pèse lourd, comme le montre Timework-it où la régularisation n’est intervenue que le 25 novembre 2024, après la sanction, sans infléchir la solution.
Deux erreurs ruinent régulièrement les recours. La première consiste à répéter devant le juge les silences qui ont causé la sanction : ne pas produire le registre des traitements, ne pas documenter la sécurité, ne pas chiffrer ses capacités contributives. Le juge ne peut pas deviner la bonne foi ; il la constate dans les pièces. La seconde consiste à contester la matérialité des faits tout en reconnaissant implicitement les manquements dans les échanges avec la CNIL, ou inversement à plaider la régularisation tout en maintenant que rien n’était reprochable. La ligne doit être cohérente : soit les faits sont contestés avec preuves, soit ils sont reconnus avec un plan de remédiation daté et vérifiable. Dans les deux cas, la requête doit être signée par un représentant habilité, accompagnée de la décision attaquée et de l’ensemble des pièces numérotées, et dirigée contre la CNIL qui défend ses délibérations avec une ténacité éprouvée.
B. Régulariser sans attendre : exécuter l’injonction, prouver la conformité et gérer la publicité
Le contentieux ne suspend pas l’injonction : l’astreinte court à compter de la date fixée, et le Conseil d’État l’a rappelé dans Timework-it où « l’injonction d’avoir à répondre à l’intéressé était justifiée lorsqu’elle a été prononcée, quand bien même la société s’y est ultérieurement conformée » (CE 28 novembre 2025). Concrètement, il faut d’abord lire le dispositif ligne par ligne : que faut-il faire exactement, pour quand, avec quelle preuve à adresser à la CNIL. Effacer les données visées, répondre aux personnes, corriger l’information, cloisonner les accès, chiffrer, journaliser, notifier : chaque point donne lieu à un livrable horodaté — export du registre, captures, attestations du prestataire, procès-verbal de suppression. Ces pièces servent deux fois : à obtenir la liquidation la plus basse possible de l’astreinte et à alimenter le recours sur la coopération et l’atténuation du dommage, critères exprès de l’article 83.
Ensuite, il faut traiter les causes profondes, celles que la CNIL et le juge regardent en priorité. Le registre des traitements doit exister et refléter la réalité, le DPO doit être désigné, joignable et effectivement associé, et l’analyse d’impact doit couvrir les traitements à risque — biométrie, vidéosurveillance à grande échelle, scoring, prospection massive. Si votre entreprise sort d’un contrôle, ces chantiers vous sont familiers : ils correspondent exactement aux vérifications décrites dans notre article sur le contrôle CNIL : registre, AIPD et DPO, répondre dans le délai et éviter la sanction. La sécurité de l’article 32 du RGPD — pseudonymisation, chiffrement, confidentialité et résilience, procédure de restauration, tests réguliers — doit être prouvée par des mesures techniques et organisationnelles effectives, pas par des affirmations : Optical Center a été sanctionnée précisément pour avoir, selon le Conseil d’État, « méconnu deux obligations élémentaires en matière de sécurité informatique » (CE 26 avril 2022) et fait preuve d’une « négligence durable s’agissant de la protection des droits des personnes » (CE 26 avril 2022), avec 200 000 personnes affectées. Les demandes d’exercice des droits doivent être tracées de bout en bout : accusé de réception sous un mois, circuits internes, modèle de réponse, journal des demandes — Timework-it a payé 15 000 euros pour deux demandes d’effacement perdues dans une boîte générique mal paramétrée.
La publicité de la sanction appelle une stratégie dédiée. Quand la délibération est publiée, elle est reprise par la presse et indexée ; contester la publication elle-même suppose de démontrer un préjudice disproportionné ou une anonymisation insuffisante, ce que le juge n’accorde qu’avec parcimonie. En pratique, on prépare en parallèle un plan de communication : réponse factuelle aux clients qui s’inquiètent, information des sous-traitants et partenaires, mise à jour des réponses aux appels d’offres qui interrogent sur les sanctions, et suivi du référencement. On vérifie aussi les obligations parallèles : information des personnes en cas de violation de données, notification aux autorités sectorielles le cas échéant, déclarations comptables et provisionnement de l’amende et de l’astreinte probable, information des associés et, pour les sociétés cotées, de l’information réglementée si le montant est significatif. Enfin, on tire les conséquences sur les contrats : clause d’audit du sous-traitant défaillant, renégociation des DPA, résiliation des flux à risque et, si la sanction révèle une faute du prestataire, mise en cause de sa responsabilité sur le fondement du contrat et de l’article 82 du RGPD pour le préjudice subi.
Le calendrier type tient en quatre jalons : sous huit jours, photographier la situation, purger l’urgence et saisir l’avocat avec le dossier complet ; sous un mois, exécuter l’injonction et adresser les preuves à la CNIL ; dans les deux mois de la notification, déposer le recours au fond et, si besoin, le référé-suspension ; ensuite, suivre la liquidation de l’astreinte et préparer l’audience. Chaque jalon manqué renchérit la facture : l’amende se paie, l’astreinte s’accumule, la publication s’installe et la négociation se referme.
Une sanction de la CNIL n’est ni une fin ni une simple amende : c’est une décision motivée au regard de critères européens précis, attaquable devant le Conseil d’État en premier et dernier ressort dans un délai de deux mois, et dont chaque volet — amende, injonction, astreinte, publicité — se conteste avec des armes différentes. Les trois arrêts de 2022 et 2025 confirment une tendance nette : le juge pardonne rarement la négligence prolongée, l’absence de coopération et les millions de personnes exposées, mais il contrôle réellement la motivation, la proportionnalité et la procédure. D’où la méthode : lire la délibération au mot près, déposer un recours ciblé sur les moyens solides, demander le sursis quand l’urgence l’impose, et régulariser vite avec des preuves horodatées. C’est ce double mouvement — contester juste et réparer vite — qui réduit l’addition financière, stoppe l’astreinte et préserve l’avenir devant les clients comme devant la Commission.
Besoin d’un avis rapide sur votre dossier
Votre entreprise vient de recevoir une sanction, une mise en demeure ou un contrôle de la CNIL pour ses traitements numériques et ses données personnelles. Maître Reda KOHEN, avocat au Barreau de Paris, vous répond avec une consultation téléphonique : appelez le 06 46 60 58 22 ou écrivez via le formulaire de contact.