Le 13 janvier 2026, la CNIL a rendu deux décisions de sanction à l’encontre des sociétés Free Mobile et Free, prononçant respectivement des amendes de 27 et 15 millions d’euros, compte tenu du caractère inadapté des mesures prises pour assurer la sécurité des données de leurs abonnés. C’est ce qu’annonce la Commission dans un article publié sur son site le 14 janvier 2026, qui précise le contexte : en octobre 2024, un attaquant est parvenu à s’infiltrer dans le système d’information des sociétés et à accéder à des données personnelles concernant 24 millions de contrats d’abonnés, dont des relevés d’identité bancaire lorsque les personnes étaient clientes à la fois du mobile et du fixe. Plus de 2 500 plaintes de personnes concernées ont suivi, d’après la même source, avant un contrôle qui a mis en évidence plusieurs manquements au règlement général sur la protection des données. Les deux délibérations de la formation restreinte, numérotées SAN-2026-001 et SAN-2026-002 et datées du 8 janvier 2026, sont publiées sur Légifrance. À la date de rédaction du présent article, ces décisions peuvent encore faire l’objet d’un recours devant le Conseil d’État, seul juge de leur légalité définitive, et aucune analyse générale ne préjuge de l’issue d’un tel recours ni de la situation propre d’une autre entreprise.
L’épisode dépasse pourtant le cas d’un opérateur télécoms. Toute entreprise qui traite des données de clients à grande échelle, à Paris comme ailleurs en France, peut recevoir un jour une mise en demeure puis une sanction de la formation restreinte : amende de plusieurs millions d’euros, injonction de mise en conformité sous astreinte, publication de la décision. Les développements qui suivent sont de portée générale : ils décrivent les vérifications utiles dans toute situation comparable et ne décrivent pas la situation de Free, sur laquelle l’article ne formule aucun constat. Ils décrivent la méthode utile à toute société sanctionnée ou en cours de contrôle : comprendre ce qui a été reproché dans cette affaire, saisir le Conseil d’État dans les délais, discuter la proportionnalité de l’amende et exécuter les injonctions pour obtenir la clôture. Sur le versant des entreprises victimes d’une fuite, qui doivent notifier la violation dans les 72 heures et prévenir les personnes concernées, un article distinct détaille déjà la conduite à tenir : notifier la CNIL en 72 heures, prévenir vos clients et éviter la sanction.
I. Sanction CNIL de 42 millions contre Free : ce que la Commission reproche après la fuite de données d’octobre 2024
A. Fuite massive sur 24 millions de contrats : ce que l’entreprise doit notifier en 72 heures et dire aux personnes concernées
Le point de départ est une violation de données au sens du règlement européen : une infiltration du système d’information intervenue en octobre 2024, avec accès à des données personnelles attachées à 24 millions de contrats d’abonnés, y compris des IBAN pour les clients cumulant les deux offres. D’après la CNIL, le contrôle diligenté après les plaintes a constaté que les mesures de sécurité n’étaient pas adaptées au nombre et à la nature des données traitées, et la formation restreinte a rappelé que, même s’il est impossible d’éliminer tout risque, celles-ci peuvent en réduire la probabilité et, le cas échéant, en limiter la gravité.
Pour toute entreprise qui découvre une intrusion comparable, la première horloge est celle de l’article 33 du règlement, qui impose au responsable du traitement d’avertir l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Le texte de l’article 33, consultable sur le site de la CNIL, impose cette notification à l’autorité compétente, avec un retard éventuel dûment motivé (article 33 du RGPD : notification à l’autorité de contrôle). La notification décrit la nature de la fuite, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, le point de contact du délégué à la protection des données, les conséquences probables et les mesures prises ou envisagées pour y remédier. Le responsable documente ensuite chaque violation, en indiquant les faits, les effets et les mesures prises, afin que l’autorité puisse vérifier le respect de ces obligations.
La seconde horloge concerne les abonnés eux-mêmes. Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation à la personne concernée dans les meilleurs délais, en des termes clairs et simples, avec au minimum le point de contact, les conséquences probables et les mesures proposées. Le texte de l’article 34 impose cette communication individuelle dès que le risque est élevé (article 34 du RGPD : communication aux personnes concernées). La présence d’IBAN parmi les données exposées caractérise typiquement ce risque élevé, car les coordonnées bancaires exposent au prélèvement frauduleux et à l’usurpation d’identité, et la CNIL a d’ailleurs tenu compte des risques engendrés par la fuite de certaines données, dont les IBAN, pour calibrer les amendes. Trois exceptions dispensent de cette communication individuelle : des mesures techniques préalables rendant les données incompréhensibles aux personnes non autorisées, comme le chiffrement ; des mesures ultérieures garantissant que le risque élevé ne se matérialisera plus ; ou des efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente suffit. Dans l’affaire de janvier 2026, les sociétés avaient informé les abonnés à deux niveaux, un courriel d’information puis un numéro vert et un dispositif interne auprès du délégué à la protection des données, mais la formation restreinte a jugé le premier niveau insuffisant, ce qui conduit au deuxième manquement examiné ci-après.
B. Authentification fragile, information incomplète et conservation excessive : les trois manquements aux articles 32, 34 et 5 du RGPD
Le premier manquement retenu vise l’obligation de sécurité de l’article 32 du règlement. La formation restreinte a constaté qu’au jour de la violation, les sociétés n’avaient pas mis en œuvre certaines mesures élémentaires de sécurité qui auraient pu rendre l’attaque plus difficile. Elle a notamment relevé que la procédure d’authentification pour se connecter au réseau privé virtuel des deux sociétés, utilisée en particulier pour le travail à distance des employés, n’était pas suffisamment robuste, et que les mesures déployées afin de détecter les comportements anormaux sur le système d’information étaient inefficaces. Compte tenu du nombre et de la nature des données traitées, les mesures déployées pour assurer leur confidentialité n’étaient pas adaptées. Le rappel vaut pour toute entreprise : l’article 32 exige du responsable du traitement et du sous-traitant qu’ils mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Le texte énumère, entre autres et selon les besoins, la pseudonymisation et le chiffrement des données, des moyens garantissant la confidentialité, l’intégrité, la disponibilité et la résilience constantes des systèmes, des moyens de rétablir rapidement la disponibilité des données après un incident, et une procédure de test et d’évaluation régulière de l’efficacité de ces mesures. Le texte de l’article 32 décline ce niveau adapté au risque en quatre familles de mesures : pseudonymisation et chiffrement, garantie de confidentialité, intégrité, disponibilité et résilience des systèmes, capacité de rétablissement après incident, et évaluation régulière de l’efficacité (article 32 du RGPD : sécurité du traitement). Concrètement, une authentification multifacteur généralisée sur les accès distants, une journalisation centralisée avec alertes sur les comportements anormaux, une politique de mots de passe robuste et des revues périodiques des droits d’accès constituent le socle que les contrôleurs vérifient en premier. L’absence de l’un de ces socles, combinée à un volume massif de données, expose à la qualification de mesures inadaptées, même si l’attaque elle-même relevait d’une criminalité sophistiquée.
Le deuxième manquement concerne l’information des personnes touchées, au titre de l’article 34. La Commission a constaté que le courriel adressé aux abonnés ne comportait pas toutes les informations nécessaires visées au paragraphe 2 de l’article 34, en estimant que ces omissions ne permettaient notamment pas aux personnes concernées de comprendre directement les conséquences de la violation, ainsi que les mesures qu’elles pouvaient mettre en place pour se protéger de celles-ci. L’enseignement opérationnel est direct : le message adressé aux clients doit décrire la nature de la fuite en termes clairs et simples, expliquer les conséquences concrètes, par exemple la surveillance des relevés bancaires et l’opposition en cas d’opération inconnue lorsque des IBAN sont exposés, indiquer le point de contact du délégué à la protection des données et lister les mesures prises par l’entreprise. Un courriel trop général, qui se borne à annoncer un incident sans mode d’emploi, risque la censure alors même que l’entreprise a cru bien faire en communiquant vite. Le contenu minimal reprend les points b, c et d du paragraphe 3 de l’article 33 : coordonnées du délégué ou du point de contact, conséquences probables, mesures prises ou proposées pour remédier à la violation, y compris pour en atténuer les effets.
Le troisième manquement, retenu contre l’une des deux sociétés seulement, vise la limitation de la durée de conservation, principe posé par l’article 5, paragraphe 1, point e du règlement. Au jour du contrôle, la société n’avait pas mis en place de mesures permettant de trier les données des anciens abonnés, afin de ne conserver que celles nécessaires à des fins comptables, puis de les supprimer lorsque cette conservation n’apparaît plus nécessaire. Sur la base des constatations et des déclarations de la société, la formation restreinte a considéré que des millions de données d’abonnés avaient été conservées, sans justification, pendant une durée excessive. En cours de procédure, la société a initié un tri afin de conserver pendant dix ans les seules données nécessaires au respect d’obligations comptables, et supprimé une partie des données conservées trop longtemps. La délibération lui enjoint de finaliser le tri et la purge dans un délai de six mois à compter de sa notification. Toute entreprise a intérêt à formaliser dès maintenant une politique de durées de conservation par catégorie de données, avec des purges automatiques et des traces de suppression, car les contrôleurs demandent systématiquement les tableaux de durées et vérifient les bases d’anciens clients. La référence comptable de dix ans, souvent invoquée, ne couvre que les pièces justificatives nécessaires à l’administration fiscale et ne justifie pas la conservation intégrale des dossiers d’abonnés résiliés.
Sur le montant, la formation restreinte a prononcé une amende de 27 millions d’euros contre l’une des sociétés et de 15 millions contre l’autre, en tenant compte notamment de leurs capacités financières, de la méconnaissance de principes essentiels en matière de sécurité, du nombre de personnes concernées et du caractère hautement personnel des données compromises ainsi que des risques liés aux IBAN. Les sociétés avaient pourtant pris plusieurs mesures en cours de procédure pour renforcer leur sécurité, et la délibération leur enjoint d’achever ces mesures dans un délai de trois mois. Autrement dit, les efforts correctifs comptent mais n’effacent pas les manquements constatés au jour des faits, et l’amende se calibre sur la gravité, la durée, le nombre de victimes et les moyens de l’entreprise. Ce calibrage, contestable devant le juge, obéit à des plafonds considérables : pour les violations des obligations de sécurité et des droits des personnes, les amendes peuvent s’élever jusqu’à 20 000 000 d’euros ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu. L’article 83 prévoit pour ces violations des amendes administratives pouvant atteindre 20 millions d’euros ou, pour une entreprise, 4 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu (article 83 du RGPD : amendes administratives). La référence au chiffre d’affaires mondial explique que des groupes modestes en France mais adossés à des ensembles internationaux s’exposent à des montants que leur seule filiale française ne laisserait pas deviner.
II. Entreprise sanctionnée par la CNIL : contester l’amende devant le Conseil d’État et se mettre en conformité
A. Recours contre la sanction : délai de deux mois, référé-suspension et discussion de la proportionnalité
Une sanction de la formation restreinte se conteste devant le Conseil d’État, en premier et dernier ressort. Le fondement européen de ce recours figure à l’article 78 du règlement, qui ouvre à toute personne physique ou morale un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne. L’article 78 ouvre ce recours juridictionnel effectif à toute personne physique ou morale visée par une décision contraignante d’une autorité de contrôle (article 78 du RGPD : recours contre une autorité de contrôle). En droit interne, le délai de recours contentieux est de deux mois à compter de la notification de la délibération. Aux termes de l’article R. 421-1 du code de justice administrative : « La juridiction ne peut être saisie que par voie de recours formé contre une décision, et ce, dans les deux mois à partir de la notification ou de la publication de la décision attaquée. » (article R. 421-1 du code de justice administrative). La notification de la délibération fait donc courir une horloge impitoyable : l’entreprise sanctionnée réunit dès réception le rapport de sanction, les pièces du contrôle, la chronologie des mesures correctives déjà prises et les justificatifs comptables, puis confie à son conseil la rédaction de la requête. Laisser passer le délai rend la sanction définitive, y compris l’amende et l’injonction.
La requête demande l’annulation de la délibération et, à titre subsidiaire, la réduction du montant de l’amende. Cette double demande se rencontre dans toutes les affaires jugées ces dernières années. La société Optical Center, frappée en 2021 d’une amende de 250 000 euros avec injonction de mise en conformité sous astreinte de 500 euros par jour de retard à l’issue d’un délai de trois mois, demandait au Conseil d’État d’annuler la délibération et, à titre subsidiaire, de réduire le montant de la sanction pécuniaire (Conseil d’État, 26 avril 2022, n° 449284). La société Voodoo, sanctionnée de 3 millions d’euros en 2022 pour un manquement lié aux traceurs, demandait l’annulation puis, à titre subsidiaire, la réformation de la délibération en réduisant le montant de l’amende et en annulant sa publication (Conseil d’État, 14 mai 2024, n° 472221). Le juge examine donc d’abord la légalité, puis le dosage, et l’entreprise a intérêt à chiffrer dès la requête les deux étages : pourquoi la sanction serait illégale, et pourquoi, à la supposer légale, son montant serait excessif.
En cas d’urgence, par exemple une injonction sous astreinte journalière qui commence à courir ou une publication imminente de la sanction qui menace la réputation et les contrats en cours, le référé-suspension permet de demander au juge des référés la suspension de l’exécution de la décision en attendant le jugement au fond. Aux termes de l’article L. 521-1 du code de justice administrative : « Quand une décision administrative, même de rejet, fait l’objet d’une requête en annulation ou en réformation, le juge des référés, saisi d’une demande en ce sens, peut ordonner la suspension de l’exécution de cette décision, ou de certains de ses effets, lorsque l’urgence le justifie et qu’il est fait état d’un moyen propre à créer, en l’état de l’instruction, un doute sérieux quant à la légalité de la décision. » (article L. 521-1 du code de justice administrative). Deux conditions cumulatives : l’urgence, caractérisée par un préjudice grave et immédiat comme une astreinte qui s’accumule chaque jour ou une publication nominative dévastatrice, et un doute sérieux sur la légalité, nourri par un moyen précis tiré de la procédure ou du fond. La requête au fond doit être déposée en même temps que la demande de suspension, et la suspension cesse au plus tard avec le jugement. La suspension ne joue pas pour l’amende elle-même de la même façon que pour l’injonction, mais elle peut geler l’astreinte et la publication, ce qui préserve la trésorerie et l’image pendant l’instruction.
Sur le fond, trois lignes de défense reviennent dans la jurisprudence. D’abord la motivation : l’entreprise soutient que la CNIL n’a pas expliqué le montant. Le Conseil d’État a écarté ce moyen dans l’affaire Google, en jugeant que la formation restreinte n’avait ni à se prononcer sur l’ensemble des critères prévus à l’article 83 du règlement ni à indiquer les éléments chiffrés relatifs au mode de détermination du montant de la sanction infligée (Conseil d’État, 19 juin 2020, n° 430810). Autrement dit, l’absence d’une grille chiffrée publique ne suffit pas à annuler, et l’entreprise doit attaquer la substance plutôt que la forme du calcul. Ensuite la proportionnalité, terrain principal mais difficile. Dans l’affaire Google, le juge a estimé qu’eu égard à la gravité particulière des manquements commis, qui tient à la nature des exigences méconnues et à leurs effets sur les utilisateurs, au caractère continu de ces manquements et à la durée de la période durant laquelle ils ont perduré, aux plafonds prévus par le 4 de l’article 83 du règlement, et à la situation financière de la société, la sanction pécuniaire de 50 millions d’euros ne revêtait pas un caractère disproportionné, avant de rejeter la requête de la société. Dans l’affaire Futura Internationale, une amende de 500 000 euros, représentant 2,5 % du chiffre d’affaires de l’exercice 2018, assortie d’une publication pendant deux ans avant anonymisation, n’a pas été jugée disproportionnée eu égard à la nature, à la gravité et à la persistance des manquements, notamment le caractère excessif des données collectées, le défaut d’information, le non-respect du droit d’opposition et le manquement caractérisé à l’obligation de coopération (Conseil d’État, 1er mars 2021, n° 437808). Dans l’affaire Voodoo, le juge a retenu que l’amende de 3 millions d’euros devait être calculée, en application de la loi du 6 janvier 1978, par référence au chiffre d’affaires mondial, et que, compte tenu de la gravité du manquement, de son effet sur les utilisateurs et des avantages financiers qui ont pu en être tirés, la sanction n’était pas disproportionnée. La leçon pour l’entreprise sanctionnée est claire : contester le montant suppose de démontrer, pièces comptables à l’appui, que la CNIL a surévalué la gravité, la durée ou le nombre de victimes, ou sous-évalué les efforts de mise en conformité, car le juge contrôle le dosage mais valide régulièrement des montants élevés face à des manquements massifs et persistants.
La troisième ligne de défense tient aux correctifs apportés en cours de procédure. Les sociétés sanctionnées font souvent valoir qu’elles ont renforcé leur sécurité, informé les clients et purgé les données avant la délibération. Le Conseil d’État en tient compte pour la suite, l’injonction et parfois la publication, mais admet que des correctifs tardifs n’effacent pas les manquements constatés : dans l’affaire Futura, le juge a relevé que les correctifs apportés en cours de procédure n’avaient pas mis fin de façon effective aux manquements constatés avant la notification du rapport de sanction. L’entreprise documente donc chaque mesure avec sa date de déploiement effectif, ses preuves de fonctionnement et son périmètre, car une mesure annoncée mais inachevée au jour de la délibération pèse peu, tandis qu’une conformité achevée et vérifiée ouvre la voie à la clôture examinée ci-après. Des sanctions plus anciennes confirment la sévérité d’ensemble : 25 000 euros contre un éditeur en 2017 (Conseil d’État, 6 juin 2018, n° 412589), 250 000 euros contre un opticien en 2018 avec publication pendant deux ans (Conseil d’État, 17 avril 2019, n° 422575). Le barème réel va donc de quelques dizaines de milliers d’euros pour des PME à plusieurs dizaines de millions pour les grands opérateurs, et chaque entreprise évalue sa défense en regard de cette échelle.
B. Injonctions sous astreinte, publication de la sanction et vagues indemnitaires : exécuter vite, à Paris comme en Île-de-France
L’amende n’est que la partie visible de la délibération. La formation restreinte assortit presque toujours sa sanction d’une injonction de mise en conformité sous astreinte, et c’est cette injonction qui occupe les équipes pendant les mois suivants. Dans l’affaire Optical Center jugée en 2022, l’injonction de mettre les traitements en conformité avec les articles 12, paragraphe 2, et 32 du règlement courait sous astreinte de 500 euros par jour de retard à l’issue d’un délai de trois mois suivant la notification. Dans l’affaire Voodoo, l’injonction de mise en conformité dans un délai de trois mois était assortie d’une astreinte de 20 000 euros par jour de retard. Dans l’affaire de janvier 2026, les injonctions portent sur l’achèvement des nouvelles mesures de sécurité dans un délai de trois mois et sur la finalisation du tri et de la purge des données dans un délai de six mois à compter de la notification. Chaque jour de retard après l’échéance fait courir l’astreinte, dont la liquidation peut ajouter des centaines de milliers d’euros à la facture, de sorte que l’entreprise sanctionnée traite l’injonction comme un projet prioritaire : chef de projet désigné, planning contresigné par la direction, jalons documentés, tests d’intrusion et constats d’huissier ou attestations d’audit pour prouver l’effectivité. Demander au juge la suspension de l’injonction ou un délai supplémentaire suppose de démontrer des diligences réelles, car une entreprise passive obtient rarement grâce.
L’exécution complète et vérifiée ouvre la porte à la clôture de la procédure, illustrée par l’affaire Futura : après la sanction de 2019, la CNIL a adopté le 30 janvier 2020 une délibération qui a constaté la mise en conformité de la société, rendant sans objet les conclusions aux fins d’injonction devant le Conseil d’État. La clôture ne fait pas disparaître l’amende, mais elle éteint l’astreinte, lève la menace d’une nouvelle sanction pour non-exécution et fournit un argument de communication face aux clients et aux partenaires qui ont lu la sanction publiée. La publication elle-même, prévue par l’article 22 de la loi du 6 janvier 1978, n’est pas une peine accessoire anodine : dans l’affaire Voodoo, le juge a validé la publication de la délibération, qui n’identifiera plus nommément la société à l’expiration d’un délai de deux ans, compte tenu de la gravité du manquement et du grand nombre d’utilisateurs concernés. Pendant deux ans, la sanction reste donc lisible par tout client, tout fournisseur et tout candidat qui cherche le nom de l’entreprise, avec un effet commercial que l’amende seule ne mesure pas. L’entreprise prépare en conséquence une page d’information claire sur les mesures prises, sans minimiser les faits constatés, et surveille les contenus qui reprendraient la sanction de façon inexacte.
Le troisième front est indemnitaire. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. L’article 82 ouvre à toute victime d’un dommage matériel ou moral causé par une violation du règlement un droit à réparation contre le responsable ou le sous-traitant (article 82 du RGPD : droit à réparation). En droit français, ce droit prolonge le principe général selon lequel tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer (article 1240 du code civil). Après une fuite massive, les actions individuelles et les mandats confiés à des associations se multiplient, et la CNIL elle-même a consacré en octobre 2026 une page aux cas dans lesquels les victimes d’une violation de données peuvent être indemnisées. L’entreprise sanctionnée provisionne ce risque, conserve les preuves de son information des victimes et de ses mesures correctives, et évalue les offres transactionnelles raisonnables face aux dossiers les mieux documentés, car un contentieux de masse coûte plus cher en frais et en image qu’en condamnations unitaires. Les frais de procédure devant le Conseil d’État eux-mêmes obéissent à la règle commune : dans toutes les instances, le juge condamne la partie tenue aux dépens ou, à défaut, la partie perdante, à payer à l’autre partie la somme qu’il détermine, au titre des frais exposés et non compris dans les dépens (article L. 761-1 du code de justice administrative). Un recours perdu ajoute donc une condamnation aux frais au montant de l’amende.
Pour les entreprises parisiennes et franciliennes, quelques spécificités pratiques comptent. Le recours contre la sanction se porte devant le Conseil d’État, qui siège au Palais-Royal à Paris, et les échanges avec le secrétariat du contentieux comme les audiences s’organisent dans la capitale, ce qui simplifie la vie des directions juridiques d’Île-de-France mais impose aux autres de prévoir les déplacements ou la représentation. Les actions en réparation des victimes franciliennes se portent devant les juridictions du lieu d’établissement du responsable ou du domicile des personnes concernées, et le tribunal judiciaire de Paris concentre une part importante de ce contentieux de masse, avec un pôle civil expérimenté sur les fuites de données. Les sociétés dont le siège parisien traite les données de millions de clients retiennent qu’un contrôle peut viser aussi bien leurs prestataires d’hébergement et de télésurveillance situés en petite couronne, car le sous-traitant qui ne respecte pas ses propres obligations de sécurité répond de sa part. Enfin, les délais pratiques parisiens, constats, audits, recrutement d’un délégué à la protection des données externe, passation des marchés de sécurité, se gèrent d’autant mieux que l’entreprise anticipe : les cabinets d’audit sont saturés après chaque sanction médiatisée, et les trois ou six mois d’injonction passent vite.
Conclusion
La sanction de janvier 2026 rappelle trois vérités simples. D’abord, la sécurité se juge au jour des faits : authentification robuste des accès distants, détection des comportements anormaux, information complète des victimes et durées de conservation maîtrisées forment le socle que tout contrôle vérifie, et les correctifs lancés après la violation atténuent sans effacer. Ensuite, l’amende se conteste dans un délai de deux mois devant le Conseil d’État, par une requête qui demande l’annulation puis, à titre subsidiaire, la réduction, avec un référé-suspension possible en cas d’urgence sur l’injonction ou la publication, mais la jurisprudence valide régulièrement des montants élevés face à des manquements massifs et persistants. Enfin, la sortie de crise passe par l’exécution documentée des injonctions, la clôture constatant la mise en conformité, la gestion de la publication pendant deux ans et le provisionnement des actions en réparation des victimes. À la date de rédaction, les deux délibérations du 8 janvier 2026 peuvent encore être portées devant le juge, et seule sa décision dira définitivement leur sort ; en attendant, chaque entreprise lit ces sanctions comme un contrôle technique de ses propres mesures, avant que le contrôleur ne s’en charge.