Octobre 2026 : votre société reçoit une lettre recommandée dont l’en-tête ne laisse aucun doute. Après un contrôle dans vos locaux ou une plainte déposée contre vous, la Commission nationale de l’informatique et des libertés vous a d’abord mis en demeure de répondre à une personne qui exerçait ses droits ou de corriger un traitement non conforme. Le délai fixé par le président de la Commission s’est écoulé sans réponse complète de votre part, et le courrier que vous tenez en main vous apprend que le président de la CNIL a saisi la formation restreinte en vue du prononcé d’une sanction. Un rapport est joint à l’envoi, avec parfois déjà le montant d’amende envisagé, et une séance se profile à l’horizon. C’est le moment où beaucoup de dirigeants découvrent que la procédure répressive de la CNIL obéit à des règles écrites, à des délais comptés en jours et à un rituel d’audience dont la méconnaissance coûte cher : amende administrative pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial, injonction de mise en conformité sous astreinte pouvant courir à 100 000 euros par jour de retard, et publication de la sanction qui expose l’entreprise bien au-delà du montant payé. Les développements qui suivent sont de portée générale : ils décrivent les vérifications et la méthode utiles dans toute situation comparable de contrôle puis de sanction par la CNIL, sans formuler aucun constat sur une entreprise en particulier. Cet article explique d’abord ce que votre convocation contient exactement — le rapport du rapporteur, le délai d’un mois pour y répondre, la séance publique devant la formation restreinte — puis comment construire des observations qui portent leurs fruits, préparer l’audition et, si la sanction tombe malgré tout, l’exécuter intelligemment et la contester devant le Conseil d’État dans le délai de deux mois.
I. Ce que votre convocation signifie : un rapport à contredire, une séance à préparer
A. Le rapport du rapporteur vous est notifié et vous disposez d’un mois pour répondre par écrit
La saisine de la formation restreinte ne sort jamais de nulle part. En procédure ordinaire, elle fait suite à une mise en demeure du président de la CNIL restée sans effet : l’article 20 de la loi Informatique et Libertés prévoit que le président « peut le rappeler à ses obligations légales ou, si le manquement constaté est susceptible de faire l’objet d’une mise en conformité, prononcer à son égard une mise en demeure, dans le délai qu’il fixe », et qu’il « peut demander qu’il soit justifié de la mise en conformité dans un délai qu’il fixe », délai qui « peut être fixé à vingt-quatre heures en cas d’urgence ». Si vous vous conformez, le président « prononce, le cas échéant, la clôture de la procédure de mise en demeure » ; dans le cas contraire, il saisit la formation restreinte « en vue du prononcé, après procédure contradictoire », des mesures prévues au même article. Retenez le premier réflexe : dès la mise en demeure, constituez le dossier de votre mise en conformité — captures d’écran datées, journaux de correction, courriers de réponse aux personnes concernées — car c’est ce dossier, transmis avant l’expiration du délai fixé, qui permet d’obtenir la clôture et d’éviter la saisine.
Une fois la formation restreinte saisie, le président de la CNIL désigne un rapporteur parmi les membres du collège qui n’appartiennent pas à la formation restreinte, et c’est sur la base de son rapport que les mesures seront prononcées : l’article 22 de la loi Informatique et Libertés dispose que « Les mesures prévues aux IV et V de l’article 20 et aux 1° à 7° du I de l’article 21 de la présente loi sont prononcées sur la base d’un rapport établi par l’un des membres de la Commission nationale de l’informatique et des libertés, désigné par le président de celle-ci parmi les membres n’appartenant pas à la formation restreinte ». Ce rapport vous est notifié, et lorsqu’une sanction financière est envisagée il comporte le montant proposé par le rapporteur, comme le décrit la page de la CNIL consacrée aux étapes de la procédure de sanction ordinaire. L’article 22 de la loi Informatique et Libertés ajoute que « Le rapporteur peut présenter des observations orales à la formation restreinte mais ne prend pas part à ses délibérations », ce qui garantit la séparation entre l’instruction et le jugement : celui qui a instruit à charge ne vote pas la sanction.
Le délai pour répondre est bref et impératif : selon la même page de la CNIL, l’organisme dispose à compter de la réception du rapport d’un mois pour adresser ses observations écrites, puis le rapporteur peut lui répondre dans un délai d’un mois, l’organisme gardant toujours la possibilité de répliquer une dernière fois. Lorsque la complexité de l’affaire le justifie, le président de la formation restreinte peut accorder une prolongation de ces délais à la demande du rapporteur ou du mis en cause. Concrètement, dès réception du rapport : accusez réception par écrit, identifiez chaque manquement reproché et le paragraphe du rapport qui le porte, rassemblez les pièces qui le réfutent ou qui prouvent la correction intervenue depuis, et faites-vous assister, car l’article 22 de la loi Informatique et Libertés ouvre au mis en cause le droit de se faire représenter ou assister. Un mémoire d’observations structuré point par point, accompagné d’un bordereau de pièces numérotées, vaut toujours mieux qu’une lettre générale de contestation.
La procédure simplifiée obéit à une logique plus rapide qu’il faut connaître, car beaucoup de mises en cause pour des dossiers peu complexes en relèvent. L’article 22-1 de la loi Informatique et Libertés, qui organise cette voie, prévoit qu’un membre de la formation restreinte désigné par son président statue seul, sur la base d’un rapport établi par un agent des services de la CNIL notifié au mis en cause, avec les mêmes garanties d’observations écrites. Comme l’explique la page de la CNIL consacrée à la procédure simplifiée, l’organisme dispose à compter de la réception du rapport d’un délai d’un mois pour formuler des observations écrites, et aucune séance publique n’est organisée, sauf si l’organisme demande à être entendu, auquel cas il peut, à sa demande, comparaître à une séance avec le rapporteur et le président de la formation restreinte pour y présenter ses observations orales. Les sanctions y sont plafonnées plus bas que dans l’ordinaire : rappel à l’ordre, amende administrative d’un montant limité, et injonction de mise en conformité pouvant être assortie d’une astreinte journalière elle aussi plafonnée. La leçon pratique est double : ne méprisez pas un dossier « mineur », car la procédure simplifiée frappe vite, et si vous voulez être entendu, c’est à vous de le demander expressément.
L’affaire jugée par le Conseil d’État le 28 novembre 2025 sous le n° 499566 illustre, à partir d’une décision de justice publiée, ce qui arrive quand une société ignore tous les courriers. Dans cette affaire, la CNIL avait été saisie des réclamations d’un particulier qui avait demandé à la société Timework-it d’effacer ses données personnelles sans obtenir de réponse, puis la Commission avait rappelé la société à ses obligations, l’avait relancée à plusieurs reprises et l’avait mise en demeure de répondre dans le délai d’un mois (Conseil d’État, 28 novembre 2025, n° 499566, point 6). Le 26 septembre 2024, un membre de la formation restreinte désigné par son président avait infligé à cette société, en procédure simplifiée, une amende de 15 000 euros et lui avait enjoint de répondre à la demande d’effacement sous astreinte de 50 euros par jour de retard. La société soutenait n’avoir reçu ni le rapport ni les courriers, mais le Conseil d’État a relevé que le rapport et la lettre de notification avaient été signifiés à son siège le 12 juillet 2024 par un commissaire de justice, avec avis de passage et lettre prévue par le code de procédure civile, de sorte que « la société s’étant abstenue de donner suite et la signification ayant été régulièrement accomplie », elle n’était pas fondée à invoquer une irrégularité (Conseil d’État, 28 novembre 2025, n° 499566, point 2). Trois enseignements concrets : un pli « avisé et non réclamé » ne vous protège pas, une boîte générique qui classe en indésirables n’est pas une excuse — la société invoquait un mauvais paramétrage de son système — et l’absence de réponse à la CNIL est elle-même analysée comme un défaut de coopération qui aggrave la sanction.
B. La séance devant la formation restreinte : convocation quinze jours avant, audience publique, délibéré à huis clos
En procédure ordinaire, l’instruction écrite terminée, le rapporteur informe le mis en cause et le président de la formation restreinte que le dossier est prêt, et une séance est fixée. La page de la CNIL sur la procédure ordinaire indique que l’organisme est informé de la date de la séance au moins quinze jours avant sa tenue, selon la page de la CNIL sur la procédure ordinaire : ce délai de quinze jours au minimum est celui dont vous disposez pour finaliser la préparation de l’audience — choix des personnes qui comparaîtront, derniers justificatifs de mise en conformité, note de plaidoirie articulée avec vos écritures. La séance « se tient publiquement », mais l’organisme peut demander au président de la formation restreinte de restreindre la publicité de la séance dans l’intérêt de l’ordre public ou pour la protection de secrets protégés par la loi, auquel cas elle se tient à huis clos (même page de la CNIL). Si votre dossier comporte des secrets d’affaires, des éléments de sécurité informatique ou des données de tiers, préparez tôt une demande motivée de huis clos plutôt que de la découvrir le jour de l’audience.
Le déroulement de l’audience est contradictoire et symétrique : le rapporteur s’exprime le premier, puis l’organisme et son conseil présentent leurs observations orales à l’appui de leurs écritures et répondent aux questions des membres, toujours selon la page de la CNIL sur la procédure ordinaire. Préparez donc une présentation orale courte qui ne répète pas vos écritures mais qui les porte : reconnaissez ce qui a été corrigé avec les preuves à l’appui, contestez précisément ce qui est inexact dans le rapport, et répondez aux questions des membres sans esquiver, car leur intime conviction se forme aussi sur votre attitude de coopération. Pendant la procédure, le rapporteur peut d’ailleurs vous entendre s’il l’estime utile, audition suivie d’un procès-verbal, et demander des contrôles complémentaires : chaque échange est une occasion de démontrer la correction, jamais une formalité à subir en silence.
À l’issue des débats, les membres de la formation restreinte délibèrent à huis clos et peuvent décider de la publicité de la sanction. L’article 22 de la loi Informatique et Libertés leur donne en effet le pouvoir de rendre publiques les mesures prises et d’en ordonner l’insertion dans des publications et journaux désignés, aux frais des personnes sanctionnées, voire d’ordonner que le responsable informe individuellement, à ses frais, chacune des personnes concernées de la violation relevée. La délibération vous est notifiée quelques semaines après la séance, et c’est cette notification qui fait courir le délai de recours : l’article R. 421-1 du code de justice administrative dispose que la juridiction ne peut être saisie que par un recours formé « dans les deux mois à partir de la notification ou de la publication de la décision attaquée ». Notez la date de notification sur l’enveloppe et dans vos systèmes dès réception : un recours hors délai est irrecevable, quelle que soit la solidité de vos moyens.
L’affaire jugée par le Conseil d’État le 17 avril 2019 sous le n° 423559 montre, à partir d’une autre décision de justice publiée, comment une sanction lourde assortie de publicité se construit et se défend. Dans cette affaire, la CNIL avait constaté lors d’un contrôle en ligne puis d’un contrôle sur place que le formulaire de demande de logement de l’association ADEF présentait un défaut de sécurité permettant à tout tiers d’accéder, par simple modification des liens URL, aux bulletins de salaires, avis d’imposition et justificatifs d’identité téléchargés par les demandeurs ; la formation restreinte avait infligé une sanction pécuniaire de 75 000 euros et ordonné sa publication pendant deux ans (Conseil d’État, 17 avril 2019, n° 423559, point 1). L’association contestait notamment l’absence de mise en demeure préalable, mais le Conseil d’État a jugé que la formation restreinte peut sanctionner sans mise en demeure préalable lorsque les manquements ne sont plus susceptibles d’être régularisés, « soit qu’ils soient insusceptibles de l’être, soit qu’il y ait déjà été remédié » (même décision, point 2). La requête a été rejetée. L’enseignement est net : corriger vite après le contrôle ne garantit pas l’absence de sanction, mais corriger tard — ou pas du tout — garantit presque la sévérité, car le montant est calibré sur la gravité, la négligence et la coopération.
II. Répondre, être entendu et contester : la méthode qui fait la différence
A. Vos observations écrites : contester les manquements, prouver la correction, démontrer la coopération
Le cœur de votre défense, ce sont les observations écrites répondant au rapport dans le délai d’un mois. Commencez par vérifier la matérialité de chaque manquement reproché au regard des textes visés. Si le rapport vous reproche de ne pas avoir répondu à une personne qui demandait l’effacement de ses données, mesurez le grief à l’aune du droit applicable : l’article 17 du RGPD ouvre à toute personne le droit d’obtenir du responsable l’effacement de ses données dans les meilleurs délais, et l’article 12, paragraphe 3, du RGPD impose au responsable d’informer la personne des suites données à sa demande, au plus tard dans le mois de sa réception, avec information préalable en cas de prolongation justifiée par la complexité ou le nombre de demandes. Si vous avez répondu dans ce délai d’un mois, produisez la preuve d’envoi et d’horodatage ; si vous avez dépassé, expliquez et régularisez immédiatement, car une réponse tardive vaut mieux qu’une absence de réponse, comme le montre l’affaire du 28 novembre 2025 où l’absence totale de réponse avait conduit à l’amende et à l’injonction sous astreinte. Vérifiez aussi le point de départ : le délai d’un mois court à compter de la réception de la demande par vos services, d’où l’importance d’une adresse de contact dédiée aux droits des personnes, relevée quotidiennement, plutôt qu’une boîte générique noyée sous les messages commerciaux.
Si le rapport vous reproche un défaut de sécurité, confrontez le constat aux mesures réellement déployées. Dans l’affaire du 17 avril 2019, le manquement tenait à ce que des documents sensibles restaient accessibles par simple modification d’URL, alors que des mesures simples comme l’occultation des chemins d’accès auraient prévenu le risque (Conseil d’État, 17 avril 2019, n° 423559, point 6). Pour votre dossier, faites auditer le point précis relevé par les agents — journalisez la correction, faites tester par un tiers, conservez les rapports d’intervention — et joignez ces éléments à vos observations : la formation restreinte sanctionne la négligence documentée par le contrôle, elle tient compte de la correction documentée par vos soins. Et si le manquement invoqué n’existe pas ou plus au jour où vous répondez, dites-le avec pièces à l’appui, tout en sachant, depuis la même décision, qu’une régularisation intervenue après le contrôle n’interdit pas par elle-même le prononcé d’une sanction.
Le troisième axe de vos observations est la coopération, car c’est un critère légal de fixation de l’amende. L’article 31 du RGPD fait de la coopération avec l’autorité de contrôle, à la demande de celle-ci, une obligation du responsable comme du sous-traitant, et l’article 83 du RGPD veut des amendes, comme l’a rappelé le Conseil d’État le 28 novembre 2025 : elles doivent être « effectives, proportionnées et dissuasives », en tenant compte notamment du critère suivant : « le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs ». Dans l’affaire du 28 novembre 2025, le Conseil d’État a validé une amende de 15 000 euros en relevant que la société avait fait preuve d’une « négligence prolongée », ne pouvait « pas être regardée comme ayant coopéré avec l’autorité de contrôle », et que le montant n’excédait ni le plafond applicable ni ses capacités contributives (Conseil d’État, 28 novembre 2025, n° 499566, points 7 à 9). Traduction pratique : répondez à chaque sollicitation de la CNIL dans le délai imparti, même pour demander un délai supplémentaire motivé ; ne laissez jamais un recommandé « avisé et non réclamé » ; et si vos moyens sont limités, documentez vos capacités financières, car la proportionnalité s’apprécie aussi au regard de ce que l’entreprise peut supporter.
Enfin, utilisez les outils procéduraux à votre disposition au lieu de les subir. Demandez la prolongation du délai d’un mois si le dossier est complexe, en motivant précisément les vérifications restantes. Sollicitez le huis clos si la publicité de l’audience porterait atteinte à des secrets protégés par la loi. Et préparez l’audition comme un exercice distinct des écritures : qui comparaît, qui parle de quoi, quelles questions redoutées et quelles réponses pièces à l’appui. Pour situer ces étapes dans l’ensemble du contentieux des sanctions — de la mise en demeure initiale à l’amende, l’injonction et l’astreinte — vous pouvez utilement relire notre analyse d’ensemble des sanctions de la CNIL : mise en demeure, amende, injonction et astreinte, qui décrit la chaîne complète dont l’audience devant la formation restreinte constitue l’épisode décisif.
B. Après la délibération : exécuter sans tarder, faire constater, saisir le Conseil d’État dans les deux mois
La délibération de la formation restreinte peut prononcer tout l’éventail des mesures de l’article 20 de la loi Informatique et Libertés : rappel à l’ordre, injonction de mise en conformité ou de satisfaction des droits des personnes — laquelle « peut être assortie, sauf dans des cas où le traitement est mis en œuvre par l’Etat, d’une astreinte dont le montant ne peut excéder 100 000 € par jour de retard à compter de la date fixée par la formation restreinte » — limitation ou interdiction du traitement, suspension des flux vers un pays tiers, et « une amende administrative ne pouvant excéder 10 millions d’euros ou, s’agissant d’une entreprise, 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu », plafonds portés à 20 millions d’euros et 4 % dans les cas les plus graves visés par l’article 83 du RGPD. S’y ajoutent la publicité de la décision, son insertion dans la presse à vos frais et l’information individuelle des personnes concernées ordonnées sur le fondement de l’article 22 de la loi Informatique et Libertés, ainsi que les injonctions provisoires que le président de la formation restreinte peut adopter une fois saisi, assorties d’astreintes elles aussi plafonnées. Face à ce catalogue, la première décision à prendre est celle de l’exécution : payez l’amende dans le délai de recouvrement par le Trésor public, exécutez l’injonction avant l’échéance fixée pour stopper le compteur de l’astreinte, et faites constater la conformité par écrit auprès de la Commission, car l’astreinte est liquidée par la formation restreinte qui en fixe le montant définitif, et seule une exécution prouvée permet d’en limiter le montant.
N’attendez pas pour exécuter au motif que vous envisagez un recours : le recours ne suspend pas par lui-même l’exécution de la sanction, et l’affaire du 28 novembre 2025 enseigne que l’injonction était justifiée au jour de son prononcé « quand bien même la société s’y est ultérieurement conformée » (Conseil d’État, 28 novembre 2025, n° 499566, point 10). Autrement dit, vous conformer après coup n’efface pas la sanction déjà prononcée, mais ne pas vous conformer du tout expose à la liquidation de l’astreinte en plus de l’amende. Si une astreinte court, chiffrez chaque jour de retard au taux fixé, provisionnez le risque et adressez à la CNIL les preuves datées de chaque étape de mise en conformité : en cas de contestation du montant liquidé, ces pièces feront la différence entre une astreinte ramenée à sa juste mesure et une addition maximale.
Le recours contre la sanction relève du Conseil d’État en premier et dernier ressort : l’article R. 311-1 du code de justice administrative attribue au Conseil d’État les recours contre les décisions prises par les organes des autorités de contrôle ou de régulation, au nombre desquelles figure expressément « la Commission nationale de l’informatique et des libertés ». Le recours se forme au secrétariat du contentieux du Conseil d’État, à Paris, dans le délai de deux mois rappelé plus haut, et il est en principe un recours de plein contentieux qui permet au juge non seulement d’annuler mais de réformer la sanction, comme le montre l’affaire du 28 novembre 2025 où la société demandait à titre subsidiaire le remplacement de l’amende par un rappel à l’ordre ou sa réduction. Vos moyens reprendront la grille du contrôle exercé par le Conseil d’État dans les deux décisions citées : régularité de la procédure — notification du rapport, respect du contradictoire, signification régulière — puis bien-fondé des manquements au regard des textes visés, puis proportionnalité de l’amende au regard des critères de l’article 83 du RGPD, y compris vos capacités contributives et votre coopération. Préparez ce recours dès la notification de la délibération, sans attendre la fin du délai de deux mois, car le mémoire exige la relecture complète du dossier d’instruction et la confrontation de chaque grief aux pièces que vous aviez produites.
Deux derniers points de vigilance ferment la méthode. D’abord, ne confondez pas les voies : la mise en demeure du président de la CNIL, qui n’est qu’une invitation à régulariser dans un délai fixé, ne se conteste pas comme une sanction, tandis que la délibération de la formation restreinte, qui inflige amende, injonction ou publicité, est seule susceptible du recours devant le Conseil d’État. Ensuite, anticipez l’après-sanction : une amende devenue définitive n’éteint pas les actions indemnitaires des personnes concernées, puisque l’article 82 du RGPD ouvre à toute personne victime d’un dommage matériel ou moral causé par une violation du règlement le droit d’obtenir réparation du responsable du traitement ou du sous-traitant. Régulariser durablement le traitement litigieux après la sanction n’est donc pas seulement une façon de solder le contentieux avec la CNIL : c’est aussi la manière de tarir la source des réclamations individuelles qui, comme l’a montré l’affaire du 28 novembre 2025, sont très souvent le point de départ des contrôles et des sanctions.
En définitive, la convocation devant la formation restreinte n’est ni une formalité ni une condamnation annoncée : c’est une procédure contradictoire écrite puis orale, enfermée dans des délais courts — un mois pour répondre au rapport, quinze jours au minimum avant la séance, deux mois pour saisir le Conseil d’État — où chaque étape conditionne la suivante. Celui qui répond point par point au rapport avec des preuves datées, qui demande les prolongations et le huis clos quand ils sont justifiés, qui comparaît avec son conseil pour porter ses écritures à l’audience, puis qui exécute la décision tout en préparant méthodiquement son recours, se donne les meilleures chances de réduire l’amende, d’éviter l’astreinte et d’échapper à la publicité. Celui qui ignore les courriers, comme les décisions citées l’ont sanctionné, laisse le rapport devenir la sanction.