Un courrier de la Commission nationale de l’informatique et des libertés annonce un contrôle sur place dans vos locaux, ou un procès-verbal vous demande des documents sous huit jours. Une salariée s’est plainte du système de vidéosurveillance, un client a signalé votre site, et la délégation arrive. La première réaction oscille entre la panique et la tentation de gagner du temps en ne répondant pas. Les deux attitudes coûtent cher. Une société qui avait ignoré le procès-verbal puis la relance a écopé de 10 000 euros d’amende pour le seul défaut de coopération, assortis d’une injonction sous astreinte de communiquer les pièces demandées. À l’inverse, une entreprise qui avait coopéré mais négligé durablement la sécurité de son site et les droits des personnes a été sanctionnée à hauteur de 250 000 euros après plusieurs contrôles. Cet article décrit le déroulé exact d’un contrôle de la CNIL, ce que vous devez faire le jour J et dans les semaines qui suivent, la gradation entre rappel aux obligations, mise en demeure et sanction pécuniaire, puis les voies de contestation devant le Conseil d’État. Chaque étape renvoie aux textes applicables et aux décisions qui les appliquent, afin que chaque réponse à la Commission repose sur une base vérifiée.
I. Faire face au contrôle : comprendre la procédure et répondre sans commettre de faute
A. Qui la CNIL peut-elle contrôler, sous quelles formes et à l’initiative de quoi ?
La CNIL contrôle tout organisme qui traite des données personnelles, entreprise privée, association ou organisme public. Sa propre présentation résume le champ de compétence d’une phrase : La CNIL indique qu’elle contrôle tout organisme traitant des données personnelles dès lors qu’il dispose d’un établissement en France ou que des personnes résidant en France sont concernées. Le critère territorial tient donc à l’établissement en France ou aux personnes résidant en France, et la coopération européenne permet des missions conjointes quand l’organisme dispose de plusieurs établissements dans l’Union ou traite les données de personnes dans plusieurs États membres. Les sous-traitants sont également exposés : le règlement européen autorise la Commission à vérifier auprès du prestataire qui met en œuvre un traitement pour le compte d’un responsable, par exemple pour l’hébergement ou la maintenance.
Le contrôle prend quatre formes, décidées par le président de la Commission : Ils peuvent se dérouler sur place, sur pièces, sur audition ou en ligne. Le contrôle sur place signifie qu’une délégation se présente dans les locaux, parfois sans prévenir. Le contrôle sur pièces s’effectue par échanges écrits, avec demande de documents et de justifications. Le contrôle sur audition convoque des représentants de l’organisme. Le contrôle en ligne examine un site web ou un service accessible à distance. En 2025, la Commission a annoncé 323 contrôles, dont 165 sur place, 125 en ligne, 27 sur pièces et 5 sur audition, ce qui montre que le déplacement physique reste l’outil principal mais que le contrôle à distance progresse. La même page officielle précise les déclencheurs : le programme annuel thématique, les réclamations et signalements, les initiatives liées à l’actualité, les dispositifs de vidéoprotection au titre du code de la sécurité intérieure, et le suivi des procédures antérieures pour vérifier la mise en conformité promise.
Les fondements juridiques de ces investigations figurent à l’article 58, paragraphe 1, du règlement (UE) 2016/679, qui confère à chaque autorité de contrôle « tous les pouvoirs d’enquête ». Deux branches intéressent directement l’entreprise contrôlée : le pouvoir d’« ordonner au responsable du traitement et au sous-traitant, et, le cas échéant, au représentant du responsable du traitement ou du sous-traitant, de lui communiquer toute information dont elle a besoin pour l’accomplissement de ses missions » et celui d’« obtenir du responsable du traitement et du sous-traitant l’accès à toutes les données à caractère personnel et à toutes les informations nécessaires à l’accomplissement de ses missions », complétés par l’accès aux locaux, installations et moyens de traitement. En droit interne, le III de l’article 19 de la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés autorise les membres et agents habilités à demander communication de tous documents nécessaires quel qu’en soit le support, à recueillir sur place ou sur convocation tout renseignement utile, et à accéder aux programmes et aux données dans des conditions préservant la confidentialité à l’égard des tiers. La jurisprudence illustre chaque déclencheur. Un contrôle dans un commerce de Pessac a suivi la plainte d’une salariée sur la vidéosurveillance installée dans les locaux, et s’est soldé par une procédure simplifiée que le Conseil d’État a confirmée le 30 janvier 2024 (n° 473254). Une autre chaîne de contrôles, sur place puis en ligne, a suivi la notification d’une attaque contre un site de vente et plusieurs plaintes de clients, et a abouti à une sanction de 250 000 euros confirmée le 26 avril 2022 (n° 449284). Identifier le déclencheur dès la réception du courrier oriente toute la suite : plainte d’un salarié, incident de sécurité notifié, campagne thématique ou vérification d’une mise en conformité antérieure n’appellent pas la même préparation.
B. Que faire le jour du contrôle et dans les jours qui suivent pour ne pas aggraver la situation ?
La règle première tient en une interdiction et une obligation. L’article 18 de la loi du 6 janvier 1978 dispose que « Les (…) dirigeants d’entreprises publiques ou privées, (…) et plus généralement les détenteurs ou utilisateurs de traitements ou de fichiers de données à caractère personnel ne peuvent s’opposer à l’action de la Commission nationale de l’informatique et des libertés ou de ses membres et doivent au contraire prendre toutes mesures utiles afin de faciliter sa tâche », formule reprise par le Conseil d’État dans sa décision du 30 janvier 2024. Le pendant européen figure à l’article 31 du règlement (UE) 2016/679 : « Le responsable du traitement et le sous-traitant ainsi que, le cas échéant, leurs représentants coopèrent avec l’autorité de contrôle, à la demande de celle-ci, dans l’exécution de ses missions ». Concrètement, la délégation doit pouvoir entrer, poser ses questions, consulter les documents et repartir avec les copies nécessaires. Refuser l’accès, dissimuler des pièces ou donner l’instruction de ne pas signer le procès-verbal constitue un obstacle. Dans l’affaire jugée en janvier 2024, le gérant avait demandé à la responsable des lieux de ne pas signer le procès-verbal, n’avait pas rappelé les agents malgré leurs appels, puis n’avait répondu ni au procès-verbal notifié le 24 juin 2022 qui demandait les pièces sous huit jours, ni à la relance du 25 juillet 2022, ni au rapport notifié le 2 décembre 2022, avant de ne produire qu’une partie des documents par son avocat le 22 décembre 2022. Le Conseil d’État en a déduit un manquement à l’obligation de coopération et a validé l’amende de 10 000 euros et l’injonction sous astreinte : « La requête de la société LHA Développement est rejetée ».
La conduite utile se décline en gestes simples. Désigner immédiatement un interlocuteur unique, dirigeant ou délégué à la protection des données, qui accompagne la délégation et centralise les demandes. Noter l’objet des vérifications annoncé par les agents et l’identité des personnes entendues. Remettre les documents demandés dans le délai fixé par le procès-verbal, généralement bref, ou solliciter par écrit une prolongation motivée avant l’échéance plutôt que de laisser passer le terme. Le Conseil d’État rappelle que les responsables doivent répondre « avec diligence, dans les délais fixés par la CNIL et dont ils sont susceptibles de solliciter la prolongation », ce qui signifie que la demande de délai fait partie de la coopération attendue. Rassembler en parallèle les preuves de conformité : registre des traitements, analyse d’impact le cas échéant, contrats avec les sous-traitants, politique de mots de passe et journaux, mentions d’information, procédures d’exercice des droits. Faire relire chaque envoi avant expédition, car les réponses incomplètes ou contradictoires alimentent le rapport. Conserver copie de tout ce qui est transmis, avec les accusés de réception, pour établir la chronologie en cas de contestation ultérieure.
Deux garde-fous encadrent ces obligations. D’abord, le secret ne peut être opposé aux agents sauf trois réserves énumérées au III de l’article 19 de la loi : le secret professionnel entre l’avocat et son client, le secret des sources des traitements journalistiques et, sous conditions, le secret médical. Une entreprise ne peut donc pas refuser la communication de ses documents internes au motif qu’ils seraient confidentiels, mais elle peut et doit signaler les pièces couvertes par le secret avocat-client. Ensuite, le contrôle sur place donne lieu à un procès-verbal, et la Commission informe préalablement le procureur de la République avant l’intervention, conformément à l’article 25 du décret n° 2019-536 du 29 mai 2019, point que le Conseil d’État vérifie d’office : dans l’affaire de 2024, le moyen d’irrégularité a été écarté précisément parce que cette information avait été effectuée. Si l’irrégularité formelle reste invocable, elle suppose une vérification concrète du dossier et non une simple affirmation. Enfin, quand le contrôle fait suite à une plainte, traiter la demande du plaignant en parallèle ne clôt pas la procédure de la Commission, mais démontre une dynamique de conformité que le rapporteur puis la formation restreinte prendront en compte au stade de la sanction.
II. Après le contrôle : mise en demeure, sanction et contestation devant le juge
A. Rappel aux obligations, mise en demeure ou sanction : comprendre la gradation et répondre à chaque acte
À l’issue des investigations, plusieurs issues existent et ne doivent pas être confondues. La présidente de la Commission peut clôturer sans suite, adresser un avertissement quand un traitement envisagé risque de méconnaître les textes, prononcer un rappel aux obligations légales depuis la réforme du 24 janvier 2022, mettre en demeure de se conformer dans un délai déterminé, ou saisir la formation restreinte en vue d’une sanction. La page officielle des procédures de sanction de la CNIL distingue la procédure ordinaire, la procédure simplifiée et la coopération européenne, avec les étapes et les mesures de chaque voie. Les mesures correctrices de l’article 58, paragraphe 2, du règlement irriguent ces issues : rappel à l’ordre, injonction de satisfaire aux demandes des personnes, ordre de mise en conformité, dont la formulation de référence prévoit d’ordonner au responsable ou au sous-traitant de mettre ses opérations en conformité, de manière spécifique et dans un délai déterminé, limitation ou interdiction temporaire ou définitive du traitement. En droit interne, l’article 20 de la loi du 6 janvier 1978 organise ces prérogatives : avertissement du président, mesures correctrices, puis saisine de la formation restreinte après procédure contradictoire.
La mise en demeure mérite une attention particulière parce qu’elle fixe un délai et prépare la suite. Elle énonce les manquements constatés et ordonne d’y remédier dans le temps imparti. La réponse attendue consiste à exécuter les mesures demandées, à documenter chacune d’elles et à adresser à la Commission un dossier de mise en conformité complet avant l’échéance, avec pièces datées : captures, journaux, contrats révisés, nouvelles mentions, paramétrages corrigés. La Commission peut ensuite diligenter un contrôle de suivi pour vérifier les mesures annoncées, comme sa doctrine l’indique pour les procédures clôturées, les mises en demeure et les sanctions. L’erreur fréquente consiste à croire que l’absence de mise en demeure préalable interdit toute sanction. Le Conseil d’État a tranché le point dans l’affaire Optical Center : « le prononcé d’une sanction par la formation restreinte de la CNIL n’est pas subordonné à l’intervention préalable d’une mise en demeure du responsable du traitement ou de son sous-traitant par le président de la CNIL ». L’absence de mise en demeure est seulement prise en compte dans l’appréciation de la proportionnalité, elle ne constitue pas une condition de régularité. Une entreprise déjà informée de ses failles, par exemple après s’être elle-même notifiée d’une attaque et avoir commencé des correctifs, ne peut donc pas exiger d’avoir été mise en demeure avant d’être sanctionnée.
Quand la formation restreinte est saisie, la procédure devient contradictoire autour d’un rapport. L’article 22 de la loi prévoit un rapporteur désigné par le président parmi les membres n’appartenant pas à la formation restreinte, et le Conseil d’État rappelle que « Ce rapport est notifié au responsable de traitement ou à son sous-traitant, qui peut déposer des observations et se faire représenter ou assister », le rapporteur pouvant présenter des observations orales sans prendre part au délibéré. La notification du rapport ouvre la phase décisive : déposer des observations écrites circonstanciées, joindre les preuves de mise en conformité intervenues depuis le contrôle, demander à être entendu et se faire assister. L’impartialité du rapporteur peut être discutée, mais le standard est exigeant : dans l’affaire Optical Center, ni des prises de position politiques sur un compte personnel, ni une désignation antérieure comme rapporteur contre la même société n’ont révélé un parti pris, et la demande de récusation a été rejetée sans violation du droit au procès équitable de l’article 47 de la Charte des droits fondamentaux. Deux voies de sanction coexistent. La procédure ordinaire devant la formation restreinte expose aux plafonds de l’article 20, III, 7° de la loi, adossés à l’article 83 du règlement : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires mondial annuel, portés à 20 millions ou 4 % dans les hypothèses les plus graves. La procédure simplifiée, jugée sur le fondement de l’article 22-1 de la loi, permet au président de la formation restreinte de prononcer seul une amende plafonnée à 20 000 euros avec injonction sous astreinte : c’est cette voie qui a produit les 10 000 euros et l’astreinte de 50 euros par jour de l’affaire de 2024. Dans les deux cas, l’injonction de mise en conformité sous astreinte accompagne fréquemment l’amende, par exemple 500 euros par jour de retard après trois mois dans l’affaire Optical Center, ce qui rend le coût du retard mesurable au jour près.
B. Contester la sanction devant le Conseil d’État et limiter les conséquences financières
Le recours contre une sanction de la CNIL relève du Conseil d’État, qui exerce un contrôle entier : régularité de la procédure, exactitude des faits, qualification des manquements et proportionnalité de la sanction. La requête expose les moyens dans un mémoire structuré, avec les pièces du dossier de la Commission et celles de la mise en conformité. Les fondements européens du recours figurent aux articles 77 à 79 du règlement, plainte auprès de l’autorité puis droit à un recours juridictionnel effectif, que le droit interne canalise vers le juge administratif suprême. Le délai et les formes du recours figurent dans la notification de la décision attaquée : les respecter conditionne la recevabilité, et toute hésitation justifie une vérification immédiate du code de justice administrative plutôt qu’un calcul de mémoire. Les conclusions accessoires suivent le sort du principal : la demande de remboursement des frais sur le fondement de l’article L. 761-1 du code de justice administrative, dont le texte prévoit que le juge condamne la partie tenue aux dépens à payer à l’autre la somme qu’il détermine au titre des frais exposés, est rejetée quand le recours échoue, comme dans les deux affaires citées.
Quatre familles de moyens se plaident, avec des chances inégales que les décisions rendues éclairent. La régularité procédurale vise la motivation de la décision, l’information du procureur avant le contrôle sur place, le respect du contradictoire et l’impartialité du rapporteur. Ces moyens exigent des pièces : dans l’affaire de 2024, la motivation détaillant le manquement de coopération et l’insuffisance des pièces tardives a suffi à écarter le grief, et l’information du procureur a été établie par l’instruction. L’erreur de fait et l’erreur d’appréciation contestent la matérialité des manquements, par exemple sur la sécurité ou sur l’exercice des droits. Dans l’affaire Optical Center, la vulnérabilité ayant exposé les données de près de 200 000 clients résultait directement de l’absence de contrôle régulier des mesures du sous-traitant chargé de la sécurité du site, sans preuve de mise à jour des composants, aggravée par une politique de mots de passe fragile alors que des numéros de sécurité sociale étaient traités ; sur les droits des personnes, les adresses électroniques dédiées étaient erronées pendant plus de six mois et la procédure via le prestataire de prospection ne facilitait pas les démarches. Ces constats techniques, étayés par les procès-verbaux, ont emporté la conviction du juge. La proportionnalité s’apprécie au regard des critères de l’article 83 du règlement, dont le principe tient en trois mots : les amendes doivent être « effectives, proportionnées et dissuasives », déclinés en onze facteurs allant de la nature, la gravité et la durée de la violation au degré de coopération, en passant par la négligence, les mesures d’atténuation, les antécédents, les catégories de données et les avantages retirés. Pour les 250 000 euros infligés à une société réalisant 202 millions d’euros de chiffre d’affaires, le Conseil d’État a retenu la méconnaissance de deux obligations élémentaires, la négligence durable, plus de 200 000 personnes affectées dont 23 000 numéros de sécurité sociale exposés, et deux sanctions antérieures en cinq ans, malgré une coopération active et l’absence d’intention frauduleuse. Pour les 10 000 euros de la procédure simplifiée, il a retenu l’absence de coopération prolongée et délibérée ayant empêché toute vérification, tempérée par une mise en garde initiale mal adressée. La publicité de la sanction, ordonnée pour deux ans dans une précédente affaire Optical Center jugée le 17 avril 2019 (n° 422575), et la récidive, qui avait fondé 25 000 euros contre un prospecteur sanctionné le 6 juin 2018 (n° 412589), aggravent le coût réputationnel autant que financier.
Limiter les conséquences suppose d’agir sur les deux tableaux en parallèle du recours. Exécuter l’injonction de mise en conformité dans le délai fixé pour stopper l’astreinte, dont la liquidation peut dépasser largement l’amende initiale à 500 euros par jour. Documenter chaque correctif pour demander au juge, à titre subsidiaire, la réduction du montant plutôt que l’annulation pure, position que les requérants adoptent systématiquement et que le juge examine au regard des mêmes critères de l’article 83. Anticiper le contentieux indemnitaire : l’article 82 du règlement ouvre à toute personne ayant subi un dommage du fait d’une violation du règlement le droit d’obtenir réparation du responsable ou du sous-traitant devant le juge judiciaire, de sorte qu’une sanction publique attire les demandes de dommages-intérêts. Pour approfondir la contestation d’une sanction pécuniaire et de l’injonction qui l’accompagne, l’analyse consacrée à la contestation d’une sanction de 500 000 euros et de l’injonction de mise en conformité prononcées contre un établissement de santé détaille les moyens tirés de la procédure et de la proportionnalité. Et lorsque le contrôle a révélé une faille exploitée par des attaquants, les réflexes de notification et d’information décrits dans le guide de la notification à la CNIL en 72 heures et de l’information des personnes concernées permettent de traiter le volet violation de données pendant que le volet sanction suit son cours.
Conclusion
Recevoir un contrôle de la CNIL n’est ni une formalité ni une condamnation annoncée, mais l’ouverture d’une procédure où chaque réponse compte. Identifier le déclencheur, accueillir la délégation sans obstacle, répondre avec diligence aux demandes écrites ou solliciter une prolongation motivée, puis exécuter la mise en demeure dans son délai avec un dossier probant : cette discipline conditionne l’issue bien davantage que les protestations tardives. Quand la sanction tombe, sa contestation devant le Conseil d’État se joue sur la procédure, la matérialité des manquements et la proportionnalité au regard des critères de l’article 83 du règlement, avec des chances réelles seulement si le dossier de conformité a été constitué dès le contrôle. Les affaires tranchées montrent l’éventail : 10 000 euros pour un refus persistant de coopérer, 250 000 euros pour des failles de sécurité et des droits des personnes durablement négligés touchant des centaines de milliers de clients. Dans les deux cas, l’injonction sous astreinte prolonge la sanction tant que la conformité n’est pas rétablie. Traiter le contrôle comme le début du dossier de défense, et non comme une parenthèse administrative, reste la stratégie la plus sûre pour limiter l’amende, stopper l’astreinte et préserver la réputation de l’organisme.
Besoin d’un avis rapide sur votre dossier
Vous venez de recevoir un contrôle, une mise en demeure ou une sanction de la CNIL et vous devez répondre dans un délai bref. Maître Reda KOHEN, avocat au Barreau de Paris, examine votre dossier en numérique et données personnelles et prépare avec vous la réponse, la mise en conformité et, si nécessaire, le recours. Téléphone : 06 46 60 58 22. Contact : formulaire de contact du cabinet.