La formation restreinte de la Commission nationale de l’informatique et des libertés vient de vous notifier sa délibération : une amende de plusieurs centaines de milliers d’euros, une injonction de mise en conformité et une astreinte de plusieurs centaines d’euros par jour de retard. Passé le choc du montant, une question devient urgente : que faut-il exécuter, dans quel délai, et comment arrêter le compteur de l’astreinte avant qu’il ne transforme une sanction déjà lourde en une facture qui augmente chaque matin.
Cette situation n’a rien d’exceptionnel. Le 21 novembre 2019, la formation restreinte a infligé à la société Futura Internationale une amende de 500 000 euros, assortie d’une injonction de mise en conformité sous astreinte de 500 euros par jour de retard à l’issue d’un délai d’un mois suivant la notification. Le 7 juillet 2022, la société Ubeeqo International s’est vu infliger 175 000 euros d’amende pour des manquements au principe de minimisation des données et aux règles de conservation, avec publication de la décision. Dans les deux cas, les sociétés ont contesté devant le Conseil d’État. Dans les deux cas, le recours a été rejeté.
La leçon de ces deux affaires est double. D’un côté, l’exécution rapide et documentée de l’injonction permet d’obtenir la clôture de la procédure : la société Futura Internationale a ainsi vu sa mise en conformité constatée par une délibération du 30 janvier 2020. De l’autre, la contestation de la sanction obéit à des règles strictes : un recours devant le Conseil d’État dans un délai de deux mois, sans effet suspensif automatique, et un contrôle du juge centré sur la gravité des manquements et les critères de l’article 83 du règlement général sur la protection des données.
Cet article explique d’abord comment exécuter l’injonction et faire constater la conformité pour stopper l’astreinte, puis comment contester la sanction et limiter ses effets financiers, contractuels et réputationnels.
I. Exécuter l’injonction et faire constater la conformité pour stopper l’astreinte
L’injonction n’est pas un commentaire qui accompagne l’amende. C’est un ordre de faire, assorti d’un prix par jour de retard. L’exécuter vite et le prouver sont les deux gestes qui protègent l’entreprise.
A. Lire la délibération : ce qui est ordonné, le délai imparti et le point de départ de l’astreinte
La première lecture de la délibération doit être méthodique. Trois éléments y figurent et conditionnent tout le reste : les manquements retenus, les mesures de mise en conformité ordonnées et le délai accordé avant que l’astreinte ne commence à courir.
Le pouvoir d’ordonner une mise en conformité résulte directement du règlement européen. L’article 58, paragraphe 2, du règlement (UE) 2016/679 du 27 avril 2016 donne à chaque autorité de contrôle le pouvoir d’adopter des mesures correctrices, parmi lesquelles l’injonction de mettre les opérations de traitement en conformité avec le règlement et, séparément, l’imposition d’une amende administrative. Le texte européen est accessible dans sa version française sur règlement (UE) 2016/679 du 27 avril 2016. En droit français, le III de l’article 20 de la loi du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés permet au président de la Commission de saisir la formation restreinte en vue du prononcé, après procédure contradictoire, d’une injonction de mise en conformité et d’une amende administrative, comme le rappelle le Conseil d’État dans sa décision Ubeeqo du 6 décembre 2023, consultable sur Legifrance, CE 6 décembre 2023 n° 467368.
Dans l’affaire Futura, l’injonction portait sur la mise en conformité du traitement avec les obligations issues des articles 5, paragraphe 1, point c), 12, 13, 14, 21 et 44 du règlement, c’est-à-dire la minimisation des données, l’information des personnes, le respect du droit d’opposition et l’encadrement des transferts hors de l’Union européenne. L’injonction était assortie d’une astreinte de 500 euros par jour de retard à l’issue d’un délai d’un mois suivant sa notification. Chaque délibération fixe son propre montant journalier et son propre délai : il faut donc relever la date exacte de notification, ajouter le délai accordé et inscrire la date butoir dans le calendrier de l’entreprise. Passé cette date, chaque journée d’inexécution ajoute le montant journalier à la somme due.
L’astreinte court indépendamment de l’amende principale. Payer l’amende ne l’arrête pas. Seule la mise en conformité effective, constatée par la Commission, met fin au compteur. C’est pourquoi l’exécution de l’injonction doit être traitée comme un chantier prioritaire, avec un responsable désigné, un planning et des preuves écrites de chaque correctif.
Avant la sanction, l’entreprise a normalement déjà reçu une mise en demeure du président de la Commission. La Commission la définit elle-même comme la décision qui énumère « les manquements reprochés à l’organisme » et les mesures à prendre pour se mettre en conformité dans un délai fixé. La même page précise qu’à ce stade, la procédure de sanction n’est pas encore engagée et qu’en cas de conformité dans le délai, la procédure est clôturée. Si l’entreprise a déjà engagé des correctifs à ce stade, elle doit les recenser : ils serviront à démontrer sa diligence, même si, comme dans l’affaire Futura, des correctifs partiels apportés en cours de procédure n’ont pas suffi à effacer des manquements qui s’étaient poursuivis jusqu’au rapport du rapporteur.
La procédure devant la formation restreinte respecte le contradictoire. La Commission indique que le président peut décider de désigner un rapporteur, membre du Collège ou agent habilité, et de saisir la formation restreinte de la CNIL, et que la procédure respecte dans tous les cas les principes du contradictoire et des droits de la défense. Concrètement, le rapport du rapporteur est notifié à l’organisme, qui dépose des observations écrites puis est entendu en séance avant que la formation restreinte ne délibère. Le Conseil d’État a confirmé la solidité de ce cadre : le 13 novembre 2025, il a refusé de renvoyer au Conseil constitutionnel une question prioritaire de constitutionnalité qui contestait notamment l’absence de procédure contradictoire au stade de la plainte, jugeant que le grief ne présentait pas un caractère sérieux. La protection du contradictoire joue donc pleinement au stade de la sanction, c’est-à-dire au moment où l’entreprise mise en cause peut se défendre. La procédure connaît aussi une voie simplifiée : quand les mesures des 1°, 2° et 7° du III de l’article 20 constituent la réponse appropriée et que l’amende encourue n’excède pas 20 000 euros, le président de la formation restreinte statue seul, comme le rappelle le Conseil d’État dans sa décision du 15 avril 2025. Dans cette affaire, une association qui avait collecté des données à des fins de prospection électorale sans informer les personnes ni effacer leurs données s’est vu infliger le montant maximal de la procédure simplifiée, soit 20 000 euros, une somme jugée non disproportionnée dès lors que les manquements avaient concerné des millions de personnes.
B. Exécuter vite, le prouver par écrit et demander la clôture
Une fois la délibération notifiée, la méthode d’exécution tient en quatre gestes : traduire chaque grief en tâche, exécuter sans attendre le recours, constituer un dossier de preuves et demander à la Commission de constater la conformité.
Premier geste : convertir chaque manquement retenu en tâche datée. Si la délibération reproche un défaut d’information des personnes, il faut réécrire les mentions d’information du site et de l’application, dater la mise en ligne et conserver les captures. Si elle reproche une conservation excessive, il faut purger les bases, paramétrer des durées de conservation et archiver les journaux de purge. Si elle vise les transferts hors de l’Union européenne, il faut recenser les outils américains de la société, à commencer par la messagerie, le CRM et l’hébergeur cloud, puis remettre en place des clauses contractuelles types ou rapatrier les données, comme l’explique l’analyse consacrée aux transferts de données hors Union européenne et à la conformité des outils américains dans les PME. Chaque tâche doit avoir un pilote, une échéance antérieure à la date butoir de l’astreinte et une preuve de réalisation.
Deuxième geste : ne pas attendre l’issue du recours pour exécuter. Le recours devant le Conseil d’État ne suspend pas à lui seul l’exécution de la décision, et l’astreinte continue de courir pendant l’instance si la mise en conformité n’est pas réalisée. Exécuter vite n’empêche pas de contester : l’entreprise peut à la fois se mettre en conformité et demander l’annulation ou la réduction de l’amende. Dans l’affaire Futura, la société a contesté la sanction tout en se mettant en conformité, et la formation restreinte a constaté cette mise en conformité par une délibération du 30 janvier 2020. Le Conseil d’État a ensuite jugé que les conclusions aux fins d’injonction de la société étaient devenues sans objet du fait de cette clôture, tout en rejetant sa demande d’annulation de l’amende. La conformité arrête l’astreinte ; elle n’efface pas l’amende prononcée pour les manquements passés, mais elle démontre une coopération qui compte dans l’appréciation globale du dossier.
Troisième geste : constituer un dossier de preuves horodatées. Registre des traitements mis à jour, mentions d’information avant et après, journaux de purge, contrats de sous-traitance signés, attestations de l’hébergeur, captures d’écran datées, procès-verbaux de tests : tout ce qui montre que chaque grief a été traité doit être conservé. Ce dossier servira deux fois : d’abord pour obtenir la clôture auprès de la Commission, ensuite, le cas échéant, pour démontrer devant le juge l’ampleur et la rapidité des correctifs.
Quatrième geste : écrire à la Commission pour demander la constatation de la conformité et la clôture de la procédure. La demande doit lister chaque mesure ordonnée, indiquer pour chacune la date de réalisation et joindre les pièces. Lorsque la Commission constate la mise en conformité, elle adopte une délibération de clôture, comme la délibération du 30 janvier 2020 dans l’affaire Futura. Cette clôture met fin au risque d’aggravation et fige le montant de l’astreinte, même si l’amende principale reste due et peut toujours être contestée devant le juge.
Un point mérite une vigilance particulière : la publicité de la sanction. Dans l’affaire Futura, la formation restreinte avait décidé de rendre la sanction publique pendant une durée de deux ans avant son anonymisation. Dans l’affaire Ubeeqo, elle avait également décidé de rendre publique sa délibération. La Commission précise qu’en procédure ordinaire, la formation restreinte qui prononce la sanction choisit ou non de la rendre publique, tandis qu’en procédure simplifiée, la sanction ne peut pas être rendue publique. Quand la publication est ordonnée, elle figure en bonne place dans les moteurs de recherche pendant toute sa durée, avec le nom de l’entreprise. La demande de clôture ne fait pas disparaître cette publicité, mais elle permet à l’entreprise d’afficher qu’elle s’est mise en conformité, ce qui compte autant pour les clients et les prospects que pour le juge d’une éventuelle action en réparation intentée par des personnes concernées.
II. Contester la sanction et limiter ses effets financiers, contractuels et réputationnels
Exécuter ne signifie pas renoncer à contester. Le recours obéit à un délai bref et à des moyens ciblés, tandis que les effets collatéraux de la sanction, de l’action en réparation des personnes aux relations avec les prestataires, doivent être traités en parallèle.
A. Saisir le Conseil d’État dans le délai de deux mois et viser les bons moyens
Le droit au recours est garanti par le texte européen lui-même. L’article 78 du règlement garantit à toute personne visée par une décision contraignante de l’autorité un « recours juridictionnel effectif », porté en France devant le Conseil d’État. En France, ce recours se porte devant le Conseil d’État. La Commission l’indique sans détour : les décisions de sanction de la Commission ou de mise en demeure de son président peuvent faire l’objet d’« un recours devant le Conseil d’État », dans un délai de deux mois à compter de leur notification. Le même texte ajoute que ce délai est porté à 4 mois dans le cas d’« un organisme situé à l’étranger ». Ce délai de deux mois est le délai de droit commun du recours contre une décision administrative, rappelé à l’article R. 421-1 du code de justice administrative : « La juridiction ne peut être saisie que par voie de recours formé contre une décision, et ce, dans les deux mois à partir de la notification ou de la publication de la décision attaquée ». Passé ce délai, la sanction devient définitive et ne peut plus être discutée.
Le recours ne suspend pas l’exécution. L’amende reste exigible et l’injonction continue de produire ses effets pendant l’instance. La seule voie pour obtenir une pause est le référé-suspension devant le juge administratif. L’article L. 521-1 du code de justice administrative permet au juge des référés, saisi d’une demande en ce sens, d’ordonner « la suspension de l’exécution de cette décision, ou de certains de ses effets, lorsque l’urgence le justifie et qu’il est fait état d’un moyen propre à créer, en l’état de l’instruction, un doute sérieux quant à la légalité de la décision ». La demande doit donc démontrer l’urgence, par exemple une publication imminente aux conséquences commerciales irréversibles, et un doute sérieux sur la légalité, par exemple une erreur dans la qualification des manquements ou dans le calcul du plafond applicable. Sans ces deux conditions réunies, la sanction s’exécute pendant le procès.
Sur le fond, le Conseil d’État contrôle la matérialité des manquements, la régularité de la procédure et la proportionnalité de l’amende. Le cadre du calcul est fixé par l’article 83 du règlement. Son paragraphe 1 exige que les amendes soient dans chaque cas effectives, proportionnées et dissuasives. Son paragraphe 2 énumère les critères d’appréciation : la nature, la gravité et la durée de la violation, le nombre de personnes affectées, le caractère délibéré ou négligent, les mesures prises pour atténuer le dommage, le degré de coopération avec l’autorité, les catégories de données concernées, la manière dont l’autorité a eu connaissance de la violation, le respect de mesures précédemment ordonnées et toute circonstance aggravante ou atténuante. Les paragraphes 4 et 5 fixent les plafonds : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent pour certaines violations, et jusqu’à 20 millions d’euros ou 4 % pour les violations les plus graves, notamment celles qui touchent aux principes de base du traitement, aux droits des personnes et aux transferts vers des pays tiers.
Les deux arrêts de référence montrent comment le juge applique ces critères. Dans l’affaire Futura, la société faisait valoir la difficulté de se conformer à des obligations nouvelles, les correctifs mis en place après la mise en demeure et la baisse de son chiffre d’affaires. Le Conseil d’État a écarté ces arguments : les obligations méconnues existaient déjà avant l’entrée en vigueur du règlement, les correctifs n’avaient pas mis fin de façon effective aux manquements avant le rapport de sanction, et « une sanction pécuniaire d’un montant de 500 000 euros, représentant 2,5% de son chiffre d’affaires en 2018 » n’était pas disproportionnée eu égard à la nature, à la gravité et à la persistance des manquements, y compris le manquement caractérisé à l’obligation de coopération avec l’autorité de contrôle. La décision complète est consultable sur Legifrance, CE 1er mars 2021 n° 437808. Dans l’affaire Ubeeqo, le Conseil d’État a également rejeté le recours contre une amende de 175 000 euros motivée par la collecte excessive de données de géolocalisation et des durées de conservation disproportionnées. Un troisième arrêt confirme cette ligne : le 4 novembre 2020, le Conseil d’État a rejeté le recours d’une société de gestion immobilière contre une sanction de 400 000 euros assortie d’une publication de deux ans, comme le montre la décision SERGIC du 4 novembre 2020. L’enseignement est net : la coopération tardive ou partielle, les difficultés d’adaptation et la baisse du chiffre d’affaires ne suffisent pas à faire réduire l’amende quand les manquements sont établis, persistants et multiples.
Les moyens qui conservent une chance de succès sont donc ceux qui s’attaquent à la base de la sanction : prescription ou continuité des manquements mal établie, griefs non visés par la mise en demeure initiale, erreur sur le plafond applicable, méconnaissance du contradictoire devant la formation restreinte, ou disproportion manifeste au regard des critères de l’article 83. Chaque moyen doit être documenté pièce par pièce, en reprenant la chronologie du contrôle, de la mise en demeure, du rapport et de la séance.
B. Traiter l’aval : actions en réparation, prestataires et publicité de la décision
Une sanction de la Commission ne clôt pas le risque : elle l’ouvre souvent sur d’autres fronts. Les personnes dont les données ont été maltraitées peuvent demander réparation, le prestataire à l’origine des manquements peut engager sa responsabilité, et la publicité de la décision continue de produire ses effets commerciaux.
Le premier front est celui des actions en réparation. L’article 82 du règlement ouvre à toute personne ayant subi un dommage du fait d’une violation une action en « réparation du préjudice subi » contre le responsable du traitement ou le sous-traitant. Une sanction publiée établit publiquement l’existence de manquements, ce qui facilite les démarches des plaignants, même si chacun doit toujours prouver son dommage et le lien avec la violation. L’entreprise sanctionnée doit donc recenser les réclamations reçues, vérifier ses clauses de limitation de responsabilité et préparer ses preuves de conformité nouvelle. Lorsque la violation provient d’un outil ou d’un traitement confié à un tiers, la question du partage des responsabilités se pose : le même article 82 organise la responsabilité du responsable et du sous-traitant et le recours entre ceux qui ont participé au même traitement. C’est le moment de relire le contrat de sous-traitance, le contrat de prestation informatique et les engagements de sécurité et de notification du prestataire, puis de le mettre en demeure de garantir l’entreprise contre les conséquences de ses propres manquements. Sur ce point, l’analyse des contrats de sous-traitance et des audits face à un prestataire défaillant fournit le mode opératoire : mise en demeure, audit, suspension et chiffrage de la réparation.
Le deuxième front est celui de l’organisation interne. Une sanction révèle presque toujours des faiblesses structurelles : registre des traitements incomplet, durées de conservation non paramétrées, mentions d’information copiées d’un modèle périmé, transferts vers des outils américains jamais encadrés, droit d’opposition traité à la main. La sortie de crise doit servir à corriger ces faiblesses durablement : désigner un pilote des données, mettre à jour le registre, automatiser la purge, encadrer chaque nouvel outil avant son déploiement et documenter chaque violation. Cette discipline interne est aussi la meilleure réponse si la Commission revient contrôler : en cas de violation de données clients, la notification à la Commission dans les 72 heures et la documentation des mesures conditionnent déjà la sévérité de la réponse de l’autorité, et une entreprise qui démontre un programme de conformité réel se place dans une situation très différente de celle qui accumule les mises en demeure ignorées.
Le troisième front est celui de la publicité. Quand la délibération est publiée avec le nom de l’entreprise, elle devient une page de référence que lisent les clients, les prospects, les partenaires et les candidats. Plutôt que de l’ignorer, l’entreprise a intérêt à préparer une communication sobre : reconnaître la décision sans la commenter au-delà du nécessaire, annoncer les mesures de mise en conformité déjà réalisées et renvoyer vers des informations vérifiables. Toute contestation publique du bien-fondé de la sanction pendant l’instance doit être pesée avec prudence, car elle peut être exploitée par des adversaires dans d’autres procédures. La priorité reste la démonstration de la conformité, constatée par la Commission elle-même, qui est le seul démenti durable à une sanction publiée.
Conclusion
Recevoir une sanction de la Commission avec injonction et astreinte impose deux chantiers simultanés. Le premier est l’exécution : lire la délibération, relever le délai et le montant journalier, traduire chaque grief en tâche datée, prouver chaque correctif et demander la constatation de la conformité pour arrêter le compteur et obtenir la clôture. Le second est la contestation : saisir le Conseil d’État dans les deux mois, solliciter si nécessaire la suspension en référé en démontrant l’urgence et un doute sérieux, et concentrer le recours sur les moyens qui comptent, la matérialité des manquements, le respect du contradictoire et la proportionnalité au regard des critères de l’article 83. Les affaires Futura et Ubeeqo montrent que le juge valide les sanctions fondées sur des manquements établis et persistants, y compris avec publication, et que la coopération tardive ne suffit pas à les faire réduire. Exécuter vite, documenter chaque pas et contester dans les délais : c’est cette discipline à trois temps qui limite le coût total d’une sanction, de l’amende initiale à l’astreinte, des actions en réparation à la publicité de la décision.