Votre entreprise vient de recevoir un courrier de la présidente de la Commission nationale de l’informatique et des libertés qui annonce l’engagement de poursuites selon la procédure simplifiée. Un rapport propose une amende, parfois au plafond de 20 000 euros, et vous disposez d’un mois pour répondre par écrit. Aucune audience n’est prévue d’office, aucun débat public n’est organisé, et la décision sera prise par une seule personne. Ce cadre déroute les dirigeants habitués au procès classique, alors qu’il concerne désormais la majorité des sanctions prononcées chaque année.
L’actualité rend le sujet immédiat. Le 6 juillet 2026, la CNIL a annoncé 23 nouvelles sanctions prononcées depuis janvier 2026 dans le cadre de la procédure simplifiée, dont 19 ont pour origine des plaintes (source officielle). Les thèmes visés parlent à toutes les entreprises : vidéosurveillance excessive, cookies, non-respect des droits des personnes ou encore défaut de coopération avec la CNIL. Autrement dit, une plainte d’un salarié filmé en continu, d’un internaute qui refuse les traceurs ou d’un client dont la demande d’effacement reste lettre morte suffit à déclencher cette machine rapide. Le bilan 2025 confirme l’ampleur : En 2025, 83 sanctions ont été prononcées par la CNIL, pour un montant total de 486 839 500 euros, dont 67 par son président seul ou par un membre de cette formation, dans le cadre de la procédure simplifiée mise en place en 2022 (bilan officiel 2025). La voie simplifiée n’est donc pas l’exception, elle est devenue le traitement ordinaire des dossiers sans difficulté particulière.
Le Conseil d’État a fixé le mode d’emploi contentieux de cette procédure le 15 avril 2025, en rejetant le recours d’une association sanctionnée de 20 000 euros (CE, 10e ch., 15 avril 2025, n° 492943, texte intégral sur Légifrance). Cet arrêt enseigne trois leçons pratiques : la procédure simplifiée se juge à sa régularité écrite, la motivation de l’amende obéit à des exigences limitées, et le montant maximal de 20 000 euros résiste au grief de disproportion quand les manquements touchent des millions de personnes. Cet article explique quand la CNIL choisit cette voie, ce que le décideur unique peut prononcer, comment répondre utilement dans le mois imparti et comment contester devant le Conseil d’État.
I. Une sanction rapide réservée aux dossiers sans difficulté particulière
La procédure simplifiée n’est ni une faveur ni une sanction au rabais. C’est un circuit écrit et accéléré, prévu par l’article 22-1 de la loi du 6 janvier 1978, qui permet de sanctionner vite des manquements déjà tranchés par la jurisprudence ou d’une simplicité avérée. Comprendre son périmètre évite deux erreurs symétriques : la négliger parce que le montant paraît modeste, ou la confondre avec la procédure ordinaire qui offre une audience publique devant six membres.
A. Quand la CNIL choisit la voie simplifiée et qui décide seul
La CNIL l’annonce sans détour : une procédure de sanction simplifiée peut être engagée contre un organisme si l’affaire ne présente pas de difficulté particulière (page officielle de la procédure). Trois indices guident ce choix : l’existence d’une jurisprudence établie, les décisions précédemment rendues par la formation restreinte, ou la simplicité des questions de fait et de droit à trancher. Le juge valide ce tri : dans l’affaire jugée en 2025, les manquements, au demeurant non contestés, ne présentaient pas de difficulté particulière, de sorte que « la présidente de la CNIL a pu légalement décider d’engager les poursuites selon la procédure simplifiée » (CE, 15 avril 2025, n° 492943). En pratique, les manquements déjà sanctionnés des dizaines de fois relèvent de ce circuit : bandeau cookies qui dépose des traceurs avant consentement, caméras qui filment les caissiers en permanence, absence de réponse à une demande d’accès ou d’effacement, refus de coopérer avec les agents. Les 23 sanctions du premier semestre 2026, nées à 19 reprises d’une plainte, illustrent ce ciblage. Une entreprise qui exploite un site marchand, un réseau de magasins sous vidéosurveillance ou une base de prospection volumineuse appartient aux profils les plus exposés.
Le circuit des acteurs diffère nettement de la procédure ordinaire. Dans la voie classique, le président de la CNIL désigne un rapporteur parmi les membres du collège qui ne siègent pas à la formation restreinte, puis saisit cette formation de six membres qui tient une audience publique. Dans la voie simplifiée, le président engage les poursuites, désigne un rapporteur parmi les agents des services, et c’est le président de la formation restreinte, ou le membre qu’il désigne, qui tranche. Le Conseil d’État reprend la formule légale : « Le président de la formation restreinte ou l’un de ses membres désigné à cet effet statue seul sur l’affaire. » (CE, 15 avril 2025, n° 492943) Un décideur unique, un rapporteur issu des services, une procédure écrite : la rapidité tient à cette architecture resserrée. L’organisme en est informé et reçoit le rapport avec la sanction proposée, ce qui ouvre la phase contradictoire écrite.
Deux garde-fous encadrent ce choix. D’abord, le président de la formation restreinte a la faculté de refuser le recours à cette procédure pour tout motif, ou de la suspendre à tout moment. Le dossier rebascule alors en procédure ordinaire, avec désignation d’un rapporteur membre du collège, et les pièces déjà versées demeurent au dossier pour assurer la continuité. Une entreprise qui soulève une question de droit inédite, par exemple sur l’articulation entre un traitement de sécurité et l’information des salariés, a intérêt à l’exposer dès ses premières observations pour provoquer cette bascule. Ensuite, le juge administratif contrôle ce choix : dans l’affaire jugée en avril 2025, le Conseil d’État a relevé que les manquements, au demeurant non contestés, ne présentaient pas de difficulté particulière, de sorte que la présidente avait pu légalement retenir la voie simplifiée. Contester le principe même du circuit exige donc de démontrer une complexité réelle, pièces à l’appui, et non une simple préférence pour l’audience publique.
L’arrêt du 15 avril 2025 éclaire aussi la chronologie complète d’un dossier. Tout avait commencé par un courrier du 13 avril 2022 annonçant un contrôle sur les traitements de prospection électorale, suivi d’une audition le 22 avril 2022. Après un rappel des règles adressé le 6 avril 2022, resté sans effet suffisant, les poursuites simplifiées furent engagées par courrier du 23 novembre 2023, le rapport communiqué le 27 novembre 2023, puis la décision d’amende de 20 000 euros prise le 25 janvier 2024. La leçon pour les entreprises est directe : la procédure simplifiée arrive souvent après des signaux antérieurs, contrôle, audition, rappel écrit, qu’il faut traiter sérieusement au lieu de les classer. Le défaut de coopération, érigé en thème de sanction à part entière en 2026, aggrave systématiquement la suite.
B. Ce que le décideur unique peut prononcer et ce qu’il ne peut pas
Le président statuant seul ne dispose pas de tout l’arsenal de la formation restreinte. La CNIL énumère trois mesures possibles : le rappel à l’ordre, l’injonction de mise en conformité y compris sous astreinte, et l’amende administrative (mêmes règles officielles). Le Conseil d’État rappelle le plafond applicable à cette voie : « l’amende administrative encourue, mentionnée au 7° du même III, n’excède pas un montant de 20 000 € et que l’astreinte encourue, mentionnée au 2° dudit III, n’excède pas un montant de 100 € par jour de retard à compter de la date fixée par la décision » (CE, 15 avril 2025, n° 492943). Trois remarques s’imposent. Le rappel à l’ordre, sans amende, sanctionne les manquements formels rapidement corrigés et laisse une trace dans l’historique de l’organisme, utilisable en cas de récidive. L’injonction sous astreinte transforme la décision en contrainte continue : chaque jour de retard après la date fixée fait courir 100 euros, et la CNIL a déjà prononcé des liquidations d’astreinte, c’est-à-dire l’ordre de payer les sommes accumulées. L’amende de 20 000 euros, même plafonnée, frappe durement une petite structure et s’ajoute aux frais d’avocat, à la mobilisation interne et au risque réputationnel.
La comparaison avec la procédure ordinaire mesure l’écart. Devant la formation restreinte, les plafonds suivent le règlement européen : « une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu », plafonds « portés, respectivement, à 20 millions d’euros et 4 % dudit chiffre d’affaires » dans les hypothèses des paragraphes 5 et 6 de l’article 83 du RGPD (article 20 de la loi Informatique et Libertés cité par le Conseil d’État). Chaque amende doit rester effective, proportionnée et dissuasive, selon le principe que la CNIL applique à chacune de ses sanctions (chaîne répressive de la CNIL). La voie simplifiée tronque ces plafonds à 20 000 euros et 100 euros par jour, ce qui la rend prévisible pour l’entreprise : le pire scénario financier immédiat tient dans ces deux chiffres, sans préjudice des autres risques examinés plus loin. Cette prévisibilité explique que la CNIL y traite les contentieux de masse, cookies, vidéosurveillance des salariés, droits des personnes, tandis qu’elle réserve la formation plénière aux violations graves, aux questions inédites et aux acteurs multinationaux. Pour fixer les idées, la formation restreinte avait infligé à une société de démarchage téléphonique « une amende de 500 000 euros », « une injonction de mettre en conformité le traitement », « assortie d’une astreinte de 500 euros par jour de retard », et décidé de « rendre la sanction publique pendant une durée de 2 ans » (CE, 1er mars 2021, n° 437808). La voie simplifiée écarte ces montants et cette publicité lourde, mais elle frappe plus vite et plus souvent.
La décision simplifiée se distingue aussi par son régime procédural allégé. Le rapport est notifié, l’organisme répond par écrit, le rapporteur peut répliquer, et l’audition n’a lieu que si elle est demandée ou jugée utile. Il n’y a pas d’audience publique automatique comme en procédure ordinaire. Les amendes sont recouvrées par le Trésor public, et la CNIL ne peut pas indemniser elle-même les victimes : celles-ci devront agir séparément, ce qui ouvre un second front examiné dans la seconde partie. Enfin, la décision peut faire l’objet d’un recours devant le Conseil d’État, dans les mêmes conditions de délai que les sanctions ordinaires, comme l’illustre l’arrêt de 2025.
II. Répondre dans le mois puis contester devant le Conseil d’État
Recevoir le rapport du rapporteur n’est pas une condamnation définitive, c’est l’ouverture d’un délai d’un mois pendant lequel chaque pièce compte. Les entreprises qui obtiennent un adoucissement, rappel à l’ordre au lieu d’amende, montant réduit, injonction sans astreinte, sont celles qui documentent leur mise en conformité au lieu de se contenter de protester. Et celles qui échouent devant le Conseil d’État sont souvent celles qui ont laissé passer ce mois sans construire leur dossier. La méthode tient en deux temps : d’abord une réponse écrite complète, ensuite un recours ciblé sur les moyens que le juge accueille vraiment.
A. Construire des observations écrites qui pèsent sur la décision
Le point de départ est une règle simple : l’organisme dispose, à compter de la réception du rapport, d’un délai d’un mois pour formuler des observations écrites. Ce mois court vite. Dès réception, l’entreprise doit dater précisément la notification, identifier le signataire et la base légale visée, article 22-1, et transmettre le dossier à son conseil. Le rapport comporte le montant d’amende proposé et l’injonction envisagée : ce sont ces deux points qu’il faut attaquer pied à pied, avec des preuves datées. Un calendrier interne rigoureux s’impose, car le rapporteur peut répondre dans un mois à son tour, et l’organisme garde toujours la possibilité de répliquer. Laisser passer le délai sans répondre, c’est laisser le décideur statuer sur le seul rapport des services.
L’accès au dossier constitue la première démarche utile. L’organisme peut prendre connaissance et copie des pièces du dossier auprès du service des sanctions, et il est informé « qu’il peut se faire représenter ou assister, présenter des observations écrites et demander à être entendu » (CE, 15 avril 2025, n° 492943). L’assistance d’un avocat reste possible à chaque étape de la procédure. Concrètement, l’avocat vérifie la chaîne des actes : plainte initiale, procès-verbaux de contrôle, audition, échanges antérieurs, rapport. Chaque faille de procédure doit être relevée dès les observations écrites : convocation irrégulière, confusion sur l’identité de la personne entendue, absence de communication d’une pièce. L’arrêt de 2025 montre l’exigence du juge sur ce terrain : l’association soutenait que la personne entendue figurait au procès-verbal sous une qualité erronée et que ses droits de la défense avaient été méconnus. Le Conseil d’État a écarté le moyen, parce que le véritable représentant avait reçu délégation, avait été entendu et avait ensuite présenté des observations écrites du 27 décembre 2023 « sans solliciter la faculté de demander à être entendu » (CE, 15 avril 2025, n° 492943). La morale est nette : une irrégularité formelle sans grief réel ne fait pas annuler la sanction, et renoncer à l’audition puis s’en plaindre devant le juge ne prospère pas.
La demande d’audition mérite donc une décision réfléchie et écrite. La procédure simplifiée reste écrite par principe, mais l’organisme peut demander à être entendu lors d’une séance réunissant le mis en cause, le rapporteur et le président. Solliciter cette audition permet d’expliquer oralement les mesures correctrices, de répondre aux doutes du rapporteur et de démontrer la coopération, critère légal de modulation de l’amende. Y renoncer par stratégie peut se défendre quand le dossier écrit est solide, mais ce renoncement doit être assumé : le juge constatera, comme en 2025, que l’organisme a choisi de ne pas être entendu. Dans tous les cas, la demande ou le refus doit figurer au dossier, avec sa motivation. Le Conseil d’État a déjà validé la sanction d’une société qui, mise en demeure de se conformer sous trois mois, n’avait fourni aucun élément dans le délai puis ignoré la relance : la formation restreinte « a estimé que le manquement à l’obligation de coopérer était caractérisé » et la sanction de 25 000 euros jugée non disproportionnée, recours rejeté (CE, 6 juin 2018, n° 412589).
Le fond des observations doit démontrer, et non affirmer, la mise en conformité. Pour chaque manquement reproché, l’entreprise joint la pièce qui le corrige : registre des traitements complété, mentions d’information réécrites, mécanisme d’opposition et d’effacement testé, durées de conservation paramétrées avec purge, paramétrage cookies modifié avec preuve du recueil du consentement, consignes de vidéosurveillance affichées et champ de vision réduit. Le rapporteur et le décideur tiennent compte des mesures prises pour atténuer les manquements : dans l’affaire de 2025, le Conseil d’État a relevé que l’association « avait par la suite mis en œuvre certaines mesures pour atténuer les manquements » (CE, 15 avril 2025, n° 492943), même si cela n’a pas suffi à écarter le plafond. Des captures datées, des journaux de suppression, des attestations du prestataire informatique et des procédures internes valent mieux que des promesses. Lorsque la mise en conformité est complète avant la décision, l’entreprise peut solliciter un rappel à l’ordre sans amende, en expliquant pourquoi l’injonction est devenue sans objet.
La qualité de responsable du traitement mérite une contestation ciblée quand elle est discutable. Le règlement définit ce responsable comme « la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement » (définition reprise par le Conseil d’État). En 2025, l’association contestait cette qualité en invoquant le rôle de ses prestataires ; le Conseil d’État a jugé qu’elle avait collecté les données de ses adhérents, sympathisants et donateurs et mené des opérations ciblées de prospection par courrier, téléphone et courriel pour promouvoir une candidature, définissant ainsi finalités et moyens. Pour une entreprise cliente d’un prestataire marketing ou d’un éditeur de logiciel, la leçon est double : si elle définit les finalités, elle répond comme responsable même quand le prestataire exécute ; si le prestataire a outrepassé ses instructions, il faut produire le contrat de sous-traitance, les instructions écrites et les preuves du dépassement, au lieu d’une dénégation générale.
Enfin, les observations peuvent inviter le président à renvoyer le dossier en procédure ordinaire lorsque l’affaire le mérite. Complexité inédite, montant des enjeux pour l’activité, besoin d’un débat oral : ces arguments, étayés, peuvent conduire le président à refuser cette voie ou à la suspendre à tout moment pour renvoyer le dossier en procédure ordinaire. Cette bascule offre une audience publique et un rapporteur membre du collège, mais elle expose aussi aux plafonds ordinaires, jusqu’à 20 millions d’euros. La demande doit donc résulter d’un arbitrage lucide avec l’avocat, jamais d’un réflexe.
B. Attaquer la décision devant le Conseil d’État sur les moyens qui portent
La décision du président statuant seul se conteste devant le Conseil d’État. La CNIL le rappelle pour la procédure ordinaire, et la solution vaut pour la voie simplifiée comme le prouve l’arrêt de 2025 : l’organisme sanctionné dispose de deux mois pour porter le litige devant le Conseil d’État, comme la CNIL le rappelle pour ses sanctions. Ce délai de droit commun s’articule avec la règle selon laquelle la juridiction ne peut être saisie que « dans les deux mois à partir de la notification ou de la publication de la décision attaquée » (article R. 421-1 du code de justice administrative). Concrètement, l’entreprise doit purger ce délai dès la notification, commander l’entier dossier, et confier le recours à un avocat aux Conseils rompu au contentieux de la régulation. Le recours n’est pas suspensif de plein droit : l’amende reste recouvrable par le Trésor public et l’injonction continue de courir, sauf sursis obtenu du juge dans des conditions strictes. Payer sous toutes réserves tout en contestant évite l’accumulation de l’astreinte pendant l’instance.
Trois familles de moyens méritent examen, avec leurs limites fixées par la jurisprudence. D’abord la régularité de la procédure : incompétence, violation du contradictoire, défaut d’audition. Le juge vérifie pièce par pièce, comme en 2025 où il a validé la procédure parce que le représentant avait été convoqué, entendu puis mis en mesure d’observer par écrit. Un moyen de pure forme, sans démonstration d’un grief concret, sera écarté. Ensuite la motivation de l’amende : beaucoup d’entreprises reprochent au décideur de ne pas détailler le calcul des 20 000 euros. Le Conseil d’État a tranché : « le président de la formation restreinte de la CNIL n’avait ni à se prononcer sur l’ensemble des critères prévus à l’article 83 du RGPD, ni à indiquer les éléments chiffrés relatifs au mode de détermination du montant de la sanction infligée » (CE, 15 avril 2025, n° 492943). Il suffit que la décision énonce les critères retenus. Exiger un tableur de calcul ou une discussion de chaque critère de l’article 83 est donc voué à l’échec. En revanche, une absence totale de motivation sur la gravité ou une contradiction entre les motifs et le montant restent contestables.
Enfin la proportionnalité, moyen le plus invoqué et le plus difficile. Le juge contrôle que le montant n’est pas disproportionné au regard des manquements, en tenant compte des critères légaux : nature, gravité, durée, nombre de personnes, coopération, mesures d’atténuation. Dans l’affaire de 2025, le président s’était « notamment fondé sur les critères prévus aux a, c, f et g du paragraphe 2 de l’article 83 du RGPD, en prenant en considération la nature, la gravité et la durée de la violation » (CE, 15 avril 2025, n° 492943), avec des manquements ayant « concerné des millions de personnes » et un rappel écrit de 2022 ignoré. Le Conseil d’État en déduit que « le président de la formation restreinte de la CNIL, qui a suffisamment motivé sa décision, n’a pas, en retenant le montant maximal pouvant être prononcé au terme de la procédure simplifiée, infligé à l’association Reconquête une amende d’un montant disproportionné » (CE, 15 avril 2025, n° 492943). Autrement dit, le plafond de 20 000 euros se justifie quand la violation est massive, durable et précédée d’un avertissement. Pour une entreprise, l’argument proportionné gagnant suppose l’inverse : manquement bref et circonscrit, petit nombre de personnes, réaction immédiate, coopération totale. Les pièces qui le prouvent doivent déjà figurer au dossier administratif, car le juge statue sur l’instruction close devant la CNIL. Le même contrôle s’applique aux sanctions ordinaires : pour une application de géolocalisation de véhicules, le Conseil d’État a jugé que la formation restreinte avait « retenu un montant de sanction qui n’excède pas le plafond fixé par l’article 20 de la loi du 6 janvier 1978 et qui ne présente pas, eu regard de l’ensemble des circonstances de l’espèce, un caractère disproportionné », avec 175 000 euros d’amende, et qu’elle avait « pu légalement décider de rendre publique sa délibération et de ne procéder à son anonymisation qu’à l’issue d’un délai de deux ans » (CE, 6 décembre 2023, n° 467368).
Au-delà du recours, l’entreprise doit gérer les suites que la procédure simplifiée ne purge pas. Les victimes peuvent agir en réparation : Toute victime d’un dommage matériel ou moral résultant d’une violation du règlement peut en demander réparation au responsable ou au sous-traitant devant le juge. La CNIL elle-même prévient qu’elle ne peut pas indemniser elle-même les individus ayant subi un préjudice : les victimes doivent agir devant le juge. Une sanction rendue publique, même de 20 000 euros, fournit aux plaignants un point d’appui pour leurs demandes indemnitaires devant le juge judiciaire. Par ailleurs, certains comportements restent punissables pénalement : « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-16 du code pénal). La sanction administrative, fût-elle simplifiée, n’éteint ni l’action civile des victimes ni d’éventuelles poursuites pénales. Et l’injonction assortie d’astreinte doit être exécutée dans le délai fixé : à défaut, la CNIL liquide l’astreinte, comme elle l’a fait à deux reprises dès le printemps 2024 pour 83 000 euros de sanctions cumulées dans ce circuit. Gagner du temps sans se mettre en conformité transforme 20 000 euros en addition plus lourde.
Ce tableau contentieux éclaire la stratégie globale. Face à une sanction ordinaire lourde, les entreprises déploient l’artillerie du recours détaillé dans notre analyse consacrée à la façon de contester une sanction CNIL de 500 000 € prononcée en procédure ordinaire. Face à la voie simplifiée, l’enjeu se joue plus tôt : dans le mois des observations écrites, sur la preuve de la mise en conformité et sur la coopération. Et lorsque la procédure commence encore plus en amont, par un contrôle dans les locaux, les réflexes à adopter pour répondre à un contrôle CNIL et à une mise en demeure conditionnent tout le reste.
La procédure simplifiée concentre donc l’essentiel du contentieux quotidien de la CNIL : des manquements connus, des montants plafonnés, un mois pour convaincre par écrit, un juge qui contrôle la régularité et la proportionnalité sans réécrire le dossier. Les entreprises qui s’en sortent le mieux partagent une méthode simple. Elles traitent chaque courrier de la CNIL comme le début d’une preuve, pas comme une formalité. Elles corrigent vite et le démontrent avec des pièces datées. Elles demandent l’audition quand l’oral peut changer l’appréciation, et elles attaquent la décision sur des moyens ciblés, dans les deux mois, au lieu de multiplier les griefs de principe. À ce prix, la voie simplifiée reste ce qu’elle doit être : une sanction rapide pour un manquement corrigé, et non le premier acte d’un contentieux qui s’enlise.
Besoin d’un avis rapide sur votre dossier
Vous avez reçu un courrier de la CNIL annonçant des poursuites en procédure simplifiée, un rapport proposant une amende ou une injonction sous astreinte pour votre entreprise. Pour un avis sur votre dossier en numérique et données personnelles, Maître Reda KOHEN, avocat au Barreau de Paris, vous répond au 06 46 60 58 22. Vous pouvez aussi écrire via la page contact du cabinet.