Un matin, deux agents se présentent à l’accueil de votre société avec une carte de la Commission nationale de l’informatique et des libertés et annoncent un contrôle sur place de vos traitements de données personnelles. Ils demandent l’accès aux locaux, aux serveurs, aux logiciels de paie et de prospection, aux registres et aux contrats avec vos prestataires. Le dirigeant est en déplacement, le responsable informatique est en réunion, et personne ne sait qui peut répondre, ce qui peut être exigé ni ce qui doit être refusé. Cette scène n’a rien d’exceptionnel : la CNIL explique qu’elle peut contrôler les organismes à la suite de plaintes, de signalements, ou parce qu’elle décide de se saisir d’un cas particulier, et elle précise qu’en cas de manquements constatés, son président peut décider d’une mise en demeure ou sa formation restreinte prononcer différentes mesures ou sanctions. Autrement dit, la visite elle-même n’est que la première marche d’une chaîne qui peut conduire à une injonction publique, à une amende de plusieurs centaines de milliers d’euros et à une publication nominative sur le site de la CNIL pendant deux ans. Les décisions du Conseil d’État rendues sur les sanctions Futura Internationale et SAF Logistics montrent que le juge valide ces sanctions lorsque la procédure a été respectée et que les manquements sont établis, y compris le simple défaut de coopération. Cet article décrit, texte en main, le déroulement d’un contrôle sur place, vos droits pendant la visite, la phase de mise en demeure, l’échelle des sanctions et les recours ouverts devant le juge, afin que votre entreprise sache réagir le jour J et dans les semaines qui suivent.

I. Le contrôle sur place : ce que les agents peuvent faire et ce que vous pouvez exiger

A. Quatre formes de contrôle, une visite encadrée par la loi et un droit d’opposition effectif

La CNIL dispose de quatre modalités de contrôle : sur place, sur pièces, sur audition et en ligne, comme elle le rappelle sur sa page consacrée au contrôle. Le contrôle sur place est le plus intrusif et donc le plus redouté : des agents habilités se déplacent dans vos locaux pour vérifier la réalité de vos traitements, de votre registre à votre système de vidéosurveillance en passant par vos bases de prospection. Le fondement européen de ce pouvoir figure à l’article 58 du règlement (UE) 2016/679 du 27 avril 2016, dit RGPD : chaque autorité de contrôle dispose de larges pouvoirs d’enquête, qui couvrent l’accès à l’ensemble des données personnelles et informations nécessaires à ses missions ainsi que l’accès à tous les locaux, installations et moyens de traitement (article 58 du RGPD). Le droit français précise les conditions d’exercice de ce pouvoir à l’article 19 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés : les membres de la CNIL et ses agents habilités « ont accès, de 6 heures à 21 heures, pour l’exercice de leurs missions, aux lieux, locaux, enceintes, installations ou établissements servant à la mise en œuvre d’un traitement de données à caractère personnel » (article 19 de la loi du 6 janvier 1978), et le procureur de la République territorialement compétent en est préalablement informé. Concrètement, une visite ne peut pas commencer à cinq heures du matin ni se prolonger après vingt et une heures, et elle concerne les lieux où un traitement est mis en œuvre, ce qui inclut les bureaux, les locaux techniques, les entrepôts où sont stockées des archives papier et, dans les entreprises parisiennes, les salles serveurs externalisées chez un hébergeur dès lors que vos données y sont traitées pour votre compte.

Le point que les dirigeants ignorent le plus souvent est le droit d’opposition. Le même article 19 de la loi du 6 janvier 1978 dispose que « Le responsable de ces lieux, locaux, enceintes, installations ou établissements est informé de son droit d’opposition à la visite » (article 19 de la loi du 6 janvier 1978). Lorsque ce droit est exercé, la visite ne peut se dérouler qu’après autorisation du juge des libertés et de la détention du tribunal judiciaire dans le ressort duquel sont situés les locaux, qui statue dans des conditions fixées par décret en Conseil d’État. La visite s’effectue alors sous l’autorité et le contrôle de ce juge, en présence de l’occupant des lieux ou de son représentant, qui peut se faire assister d’un conseil de son choix, ou à défaut en présence de deux témoins. L’ordonnance peut faire l’objet d’un appel devant le premier président de la cour d’appel. Il existe toutefois une exception importante : lorsque l’urgence, la gravité des faits ou le risque de destruction ou de dissimulation de documents le justifie, la visite peut avoir lieu sans information préalable du responsable des locaux, sur autorisation préalable du juge des libertés et de la détention, et dans ce cas le responsable ne peut s’y opposer. À Paris et en Île-de-France, où siègent la plupart des sièges sociaux contrôlés, le juge compétent est celui du tribunal judiciaire du lieu des locaux, et la présence d’un avocat dès la première heure est matériellement possible compte tenu de la proximité géographique : c’est un atout à utiliser, car les déclarations faites pendant la visite figureront au procès-verbal et nourriront la suite de la procédure. Les locaux entièrement affectés au domicile privé, comme le bureau d’un dirigeant installé à son domicile ou les serveurs d’une microentreprise hébergés chez son fondateur, bénéficient d’une protection renforcée : la visite ne peut s’y dérouler qu’après autorisation judiciaire préalable. Enfin, l’obstruction pure et simple, sans exercice formel du droit d’opposition, est une faute stratégique : elle expose à un constat d’entrave et prive l’entreprise du cadre protecteur du contrôle judiciaire, alors que l’opposition exercée dans les formes ouvre un débat devant un juge et fige les conditions de la visite.

Pendant la visite, les agents peuvent demander la communication de tout document nécessaire à leur mission, entendre toute personne susceptible de fournir des informations, copier des documents et accéder aux matériels et logiciels. Le RGPD impose en miroir, à son article 31, un devoir de coopération avec l’autorité de contrôle, à la demande de celle-ci, dans l’exécution de ses missions (article 31 du RGPD). Cette obligation de coopération n’est pas une formule de style. Dans sa décision du 19 novembre 2024 rendue contre la société SAF Logistics (Conseil d’État, 10e et 9e chambres réunies, 19 novembre 2024, n° 489462), le Conseil d’État a validé une sanction précisément fondée sur ce manquement : la société s’était abstenue, malgré des demandes répétées, de communiquer la traduction complète et fiable d’un formulaire adressé à des salariés, dont les rubriques omises portaient sur des données sensibles au sens de l’article 9 du RGPD, relatives notamment à l’appartenance ethnique et à l’affiliation politique, et elle avait continué d’envoyer ce formulaire via une messagerie grand public après avoir déclaré y avoir mis fin. Le juge en a déduit que la société n’était pas fondée à soutenir que la CNIL aurait fait une inexacte application de l’article 31 du RGPD en retenant un manquement au devoir de coopération. La leçon pour toute entreprise contrôlée est directe : chaque demande écrite des agents doit recevoir une réponse écrite, complète et sincère, dans le délai imparti, et toute déclaration d’arrêt d’une pratique doit être effective avant d’être annoncée.

B. Le jour J : qui reçoit les agents, que montrer, que consigner, quelles erreurs éviter

La première décision à prendre est organisationnelle : désigner immédiatement une personne responsable de l’accueil du contrôle, idéalement le délégué à la protection des données s’il existe, accompagné d’un membre de la direction et, si possible, d’un avocat. Les agents déclinent leur identité et leur habilitation, rappellent l’objet du contrôle et le droit d’opposition. Si l’entreprise choisit de laisser la visite se dérouler, ce qui est le cas le plus fréquent, elle doit mettre à disposition une salle, un interlocuteur disponible et les accès nécessaires, sans retard qui pourrait être interprété comme une entrave. Si elle choisit l’opposition, celle-ci doit être exprimée clairement, consignée, et suivie de la saisine du juge des libertés et de la détention : c’est un acte juridique, pas une simple protestation orale. Dans les deux cas, chaque salarié entendu doit savoir qu’il peut demander à être assisté et que ses déclarations sont retranscrites ; un brief préalable de quelques minutes, rappelant de répondre avec précision sans spéculer sur ce que l’on ignore, évite des approximations qui se paient ensuite en mise en demeure.

Le deuxième réflexe concerne les documents. Les agents demanderont presque systématiquement le registre des activités de traitement, les mentions d’information remises aux personnes, les contrats avec les sous-traitants, les analyses d’impact lorsqu’elles sont requises, les durées de conservation appliquées et les mesures de sécurité. Une entreprise qui tient un registre des traitements complet et à jour et qui a désigné un délégué à la protection des données aborde la visite dans des conditions incomparablement meilleures qu’une structure qui découvre ces obligations le jour du contrôle. Les contrats de sous-traitance doivent comporter les clauses de l’article 28 du RGPD, les durées de conservation doivent correspondre aux pratiques réelles constatées sur les serveurs, et les habilitations d’accès doivent être documentées. Tout écart entre le déclaratif et le constaté devient un manquement. Il est donc essentiel de ne remettre que des documents exacts et vérifiés, de signaler spontanément les chantiers de mise en conformité en cours avec un calendrier réaliste, et de ne jamais fabriquer après coup un document antidaté : la fraude documentaire, si elle est découverte, ruine toute crédibilité pour la suite et peut fonder des poursuites distinctes.

Le troisième réflexe est la traçabilité interne du contrôle. Tenez un journal horodaté de la visite : heures d’arrivée et de départ des agents, locaux visités, personnes entendues, documents remis ou copiés, questions posées, engagements pris. Conservez une copie de tout ce qui est remis. Relisez le procès-verbal avant de le signer et faites y porter vos observations si un passage vous paraît inexact ou incomplet : la signature sans réserve vaut acceptation du contenu. Demandez communication des suites envisagées et des délais. Après le départ des agents, réunissez sans attendre la direction, le délégué à la protection des données et votre conseil pour analyser les points sensibles relevés, lancer les mesures correctrices immédiates et préparer les réponses aux demandes complémentaires, car la CNIL adresse fréquemment des questionnaires écrits après la visite et le délai de réponse court. Les entreprises qui traitent le contrôle comme le début d’un dialogue de conformité, en corrigeant vite et en prouvant leurs corrections, obtiennent le plus souvent une clôture ou une mise en demeure simple ; celles qui contestent les faits constatés sans pièces à l’appui s’exposent à la saisine de la formation restreinte. L’expérience des décisions publiées montre que la coopération démontrée et documentée pèse sur la qualification des manquements et sur le montant des sanctions, tandis que l’obstruction ou les déclarations inexactes, comme dans l’affaire SAF Logistics, aggravent systématiquement la situation.

II. Après la visite : mise en demeure, sanction et recours devant le juge

A. La mise en demeure du président : un délai pour se mettre en conformité, pas une sanction

À l’issue du contrôle, plusieurs issues sont possibles : la clôture sans suite lorsque aucun manquement n’est établi ou que les manquements relevés ont été corrigés, l’avertissement, la mise en demeure ou la saisine de la formation restreinte en vue d’une sanction. La CNIL décrit elle-même cette chaîne répressive complète, du signalement et du contrôle jusqu’à la clôture, la mise en demeure ou la sanction. La mise en demeure mérite une attention particulière car elle est souvent mal comprise : elle n’est pas une sanction mais une injonction de régulariser dans un délai fixé. L’article 20 de la loi du 6 janvier 1978 prévoit que lorsque le responsable de traitement ou son sous-traitant ne respecte pas ses obligations, le président de la CNIL « peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe ». La mise en demeure peut porter sur la satisfaction des demandes d’exercice des droits des personnes, la mise en conformité des opérations de traitement, la communication d’une violation de données à la personne concernée ou la rectification, l’effacement ou la limitation de données. Le président peut exiger qu’il soit justifié de la mise en conformité dans le délai fixé, qui peut être réduit à vingt-quatre heures en cas d’urgence, et il prononce le cas échéant la clôture de la procédure. Il peut également demander au bureau de rendre la mise en demeure publique, auquel cas la décision de clôture fait l’objet de la même publicité.

L’affaire Futura Internationale illustre parfaitement cette mécanique. À la suite d’une plainte relative à du démarchage téléphonique malgré une opposition, la CNIL a diligenté le 20 mars 2018 une mission de contrôle dans les locaux de la société, puis la présidente a notifié le 2 octobre 2018 la décision de mise en demeure n° MED-2018-039 du 27 septembre 2018, relevant plusieurs manquements au RGPD relatifs au caractère excessif des données traitées, à la coopération avec la Commission, à l’information des personnes, au respect du droit d’opposition et à l’encadrement des transferts hors de l’Union européenne, avec un délai de deux mois pour procéder aux modifications nécessaires. C’est l’inexécution jugée insuffisante de cette mise en demeure qui a conduit à la sanction l’année suivante. La leçon est claire : le délai de mise en demeure est la dernière fenêtre de tir pour éviter la sanction. L’entreprise doit y répondre point par point, produire les pièces justificatives de chaque correction, faire constater la conformité par des constats vérifiables et, si le délai est objectivement trop court au regard de travaux lourds comme la refonte d’un système de prospection ou la renégociation de contrats de sous-traitance, solliciter par écrit une prolongation motivée avec un calendrier d’exécution. L’actualité récente confirme que cette phase fonctionne aussi en sens inverse : le 24 septembre 2026, la CNIL a prononcé la clôture d’une injonction visant une société de services marketing, preuve qu’une mise en conformité démontrée met fin à la procédure. À l’inverse, une réponse partielle, tardive ou purement déclarative conduit presque mécaniquement à la saisine de la formation restreinte, qui statuera au vu du dossier constitué pendant le contrôle et pendant la mise en demeure.

Pendant cette phase, l’entreprise doit également gérer le risque parallèle des réclamations individuelles devant la CNIL, car un contrôle déclenché par des plaintes s’accompagne souvent de demandes d’exercice de droits restées sans réponse. Chaque demande d’accès, de rectification, d’effacement ou d’opposition doit être traitée dans les délais du RGPD, avec une réponse écrite et motivée, car le non-respect des droits des personnes figure parmi les manquements les plus sanctionnés : le 9 septembre 2026, la CNIL a ainsi prononcé une sanction de 300 000 euros contre une société pour non-respect des droits des personnes. De même, les bandeaux de recueil du consentement et les dispositifs de suivi doivent être audités sans attendre si le contrôle a porté sur les sites et applications, car les manquements en matière de traceurs se constatent en ligne facilement et se corrigent rapidement, ce qui en fait un terrain idéal pour démontrer une mise en conformité rapide et documentée. L’ensemble des échanges avec la CNIL doit rester écrit, courtois et précis : contester un manquement n’est utile que si la contestation s’appuie sur des pièces, et reconnaître un manquement en présentant un plan de correction crédible est souvent plus efficace qu’une dénégation fragile que la formation restreinte balaiera en quelques lignes.

B. La sanction de la formation restreinte et le recours devant le Conseil d’État

Lorsque la mise en demeure n’a pas suffi ou que la gravité des faits justifie une saisine directe, le président de la CNIL saisit la formation restreinte, qui statue après une procédure contradictoire. L’article 20 de la loi du 6 janvier 1978 énumère les mesures encourues : rappel à l’ordre, injonction de mise en conformité pouvant être assortie d’une astreinte d’un montant maximal de 100 000 euros par jour de retard, limitation ou interdiction temporaire ou définitive du traitement, suspension des flux de données vers un pays tiers, et « une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu », ces plafonds étant portés à 20 millions d’euros et 4 % dans les hypothèses les plus graves visées aux paragraphes 5 et 6 de l’article 83 du RGPD. Le RGPD impose pour sa part, à l’article 83, que les amendes soient dans chaque cas « effectives, proportionnées et dissuasives », et que soient pris en compte notamment la nature, la gravité et la durée de la violation, le nombre de personnes concernées, le niveau de dommage subi, le degré de coopération avec l’autorité et les catégories de données concernées, avec un plafond ainsi rédigé, porté à 20 millions d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu, selon les plafonds rappelés à l’article 83 (article 83 du RGPD). Surtout, la sanction ne reste pas confidentielle : l’article 22 de la loi du 6 janvier 1978 dispose que « La formation restreinte peut rendre publiques les mesures qu’elle prend » (article 22 de la loi du 6 janvier 1978), publication qui peut être ordonnée dans des journaux et supports aux frais de la personne sanctionnée. Pour une entreprise, le coût réputationnel de cette publicité, qui reste en ligne deux ans avant anonymisation dans la pratique actuelle de la CNIL, dépasse souvent le montant de l’amende elle-même.

Les deux décisions du Conseil d’État citées dans cet article montrent comment le juge contrôle ces sanctions. Dans l’affaire Futura Internationale (Conseil d’État, 10e et 9e chambres réunies, 1er mars 2021, n° 437808), la formation restreinte avait prononcé, par délibération n° SAN-2019-010 du 21 novembre 2019, une amende de 500 000 euros assortie d’une injonction de mise en conformité et de la publication de la délibération pendant deux ans avant anonymisation. Le Conseil d’État a jugé que, compte tenu du nombre et de la gravité des manquements, du caractère excessif des données, du défaut d’information et de coopération et de la méconnaissance du droit d’opposition, la formation restreinte n’avait pas infligé une sanction disproportionnée en prononçant une amende représentant 2,5 % du chiffre d’affaires de 2018, alors même que celui-ci avait baissé de 25 % et que le bénéfice net n’était que de 180 000 euros, et il a rejeté la requête, y compris les conclusions à fin d’injonction devenues sans objet après la clôture de la procédure par délibération du 30 janvier 2020 constatant la mise en conformité. Dans l’affaire SAF Logistics (Conseil d’État, 10e et 9e chambres réunies, 19 novembre 2024, n° 489462), la formation restreinte avait prononcé, par délibération n° SAN-2023-013 du 18 septembre 2023, une amende de 200 000 euros avec publication pendant deux ans avant anonymisation. Le Conseil d’État a rappelé qu’en vertu de l’article 83 du RGPD les amendes doivent être « effectives, proportionnées et dissuasives », que le plafond applicable aux manquements aux articles 5 et 9 du RGPD est de 20 millions d’euros ou 4 % du chiffre d’affaires mondial, et que doivent être pris en compte la nature, la gravité et la durée de la violation, le nombre de personnes affectées, le degré de coopération et les catégories de données concernées. Il a jugé que l’amende, représentant 0,95 % du chiffre d’affaires de 21 millions d’euros réalisé en 2022, n’excédait pas les capacités contributives de la société appartenant à un groupe international et ne menaçait pas sa viabilité économique malgré un résultat négatif, et il a rejeté la requête. Ces deux arrêts fixent la méthode du juge : contrôle de la matérialité des manquements, contrôle de la proportionnalité au regard des critères de l’article 83, mais large marge d’appréciation reconnue à la CNIL, de sorte qu’un recours n’a de chances sérieuses que s’il démontre une erreur de fait, une irrégularité de procédure ou une disproportion manifeste dûment chiffrée.

Le recours contre la sanction se porte devant le Conseil d’État, comme le prouvent ces deux affaires jugées par les 10e et 9e chambres réunies, et il doit être exercé dans le délai de recours contentieux de deux mois suivant la notification de la délibération. La requête doit identifier précisément chaque manquement contesté, produire les pièces de conformité correspondantes et chiffrer la disproportion alléguée à partir des critères de l’article 83 du RGPD, en comparant utilement le montant prononcé aux capacités contributives réelles et à la pratique décisionnelle de la CNIL. Une demande de suspension peut être envisagée lorsque la sanction comporte une injonction sous astreinte ou une mesure d’interdiction dont l’exécution immédiate causerait un préjudice difficilement réparable, mais elle suppose de caractériser l’urgence et un doute sérieux sur la légalité. Parallèlement, les personnes à l’origine des plaintes disposent de leurs propres voies de droit : le RGPD reconnaît à « toute personne concernée » le droit d’introduire une réclamation auprès d’une autorité de contrôle lorsqu’elle estime que le traitement de ses données constitue une violation du règlement, et à « toute personne physique ou morale » le droit de former un recours juridictionnel effectif contre les décisions contraignantes de l’autorité de contrôle qui la concernent (article 78 du RGPD). Le 30 juin 2026, le juge des référés du Conseil d’État a ainsi eu à connaître, sous le n° 516401, d’une demande fondée sur l’article L. 521-3 du code de justice administrative tendant à enjoindre à la CNIL d’informer un plaignant de l’état d’avancement de sa plainte : les particuliers suivent donc leurs dossiers et peuvent contraindre l’autorité à rendre compte de son instruction. Enfin, toute personne ayant subi un dommage du fait d’une violation du RGPD peut agir en réparation devant le juge judiciaire, puisque le RGPD ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement une action en réparation contre le responsable du traitement ou le sous-traitant (article 82 du RGPD). Une entreprise contrôlée doit donc anticiper trois fronts contentieux simultanés : la procédure administrative devant la CNIL et le Conseil d’État, les réclamations des personnes concernées, et les actions indemnitaires devant les tribunaux judiciaires, sans compter le risque pénal en cas de fraude documentaire ou d’entrave caractérisée.

Conclusion.

Un contrôle sur place de la CNIL n’est jamais une simple visite de courtoisie : de six heures à vingt et une heures, les agents peuvent accéder aux locaux et aux systèmes, exiger la communication de tout document utile et consigner les déclarations qui fonderont la suite de la procédure, tandis que l’entreprise dispose d’un droit d’opposition encadré par le juge des libertés et de la détention et d’une obligation de coopération dont la méconnaissance est sanctionnée pour elle-même, comme l’a jugé le Conseil d’État dans l’affaire SAF Logistics. La mise en demeure qui suit le contrôle constitue la dernière occasion d’éviter la sanction en démontrant une conformité complète et documentée dans le délai imparti, et l’affaire Futura Internationale montre que le juge valide des amendes représentant plusieurs points de chiffre d’affaires, assorties d’une publication nominative de deux ans, lorsque les manquements sont nombreux et graves. Face à ce risque, la préparation est l’arme décisive : registre à jour, contrats de sous-traitance conformes, durées de conservation respectées, droits des personnes traités dans les délais, journal de visite tenu le jour J et réponses écrites et prouvées à chaque étape. Les entreprises qui organisent cette discipline avant le contrôle obtiennent des clôtures ; celles qui la découvrent pendant la visite la subissent jusqu’au prétoire.