Avocat CNIL à Paris : répondre au contrôle, à la mise en demeure et à la procédure de sanction.

Recevez la délégation, demandez l'ordre de mission et prévenez immédiatement la direction, le délégué à la protection des données et votre avocat. La loi Informatique et Libertés ouvre aux agents habilités les locaux où des données sont traitées, de 6 heures à 21 heures, le parquet devant en être averti à l'avance (art. 19, I). Les lieux ou parties de lieux affectés au domicile privé ne peuvent être visités qu'avec l'autorisation préalable du juge des libertés et de la détention. Celui qui répond des lieux doit être averti qu'il peut refuser la visite. Les agents peuvent demander communication de tous documents, en prendre copie, recueillir des renseignements et accéder aux programmes et aux données. Désignez un interlocuteur unique, notez les questions posées et les documents remis, et ne fournissez que des réponses que vous pouvez vérifier. Le procès-verbal est dressé contradictoirement lorsque le contrôle a lieu sur place : relisez-le avant de le signer et faites porter vos observations si un constat vous paraît inexact ou incomplet. La liste des documents saisis lui est annexée. Ce procès-verbal servira de base au rapporteur si une procédure de sanction est engagée, d'où l'intérêt de le traiter comme la première pièce du dossier.

Oui, dans un cadre précis. L'article 19, II, de la loi Informatique et Libertés prévoit que le responsable des locaux est informé de son droit d'opposition ; s'il l'exerce, la visite suppose une ordonnance préalable du JLD du tribunal judiciaire dans le ressort duquel se trouvent les locaux. Le même texte permet toutefois au juge d'autoriser une visite sans information préalable du responsable lorsque l'urgence, la gravité des faits ou le risque de destruction de documents le justifie ; l'opposition n'est alors plus possible, et l'occupant peut se faire assister d'un conseil de son choix. L'opposition n'est donc pas une faute en soi, mais elle a des conséquences pratiques : elle retarde la visite et peut conduire la Commission à revenir avec une ordonnance. L'article 226-22-2 du code pénal punit d'un an d'emprisonnement et de 15 000 euros d'amende l'entrave à l'action de la CNIL, notamment l'opposition à une visite autorisée par le juge, le refus de communiquer les renseignements et documents utiles ou leur dissimulation. Le choix de s'opposer se fait donc en connaissance de cause, après avoir mesuré ce que la délégation cherche et ce que l'entreprise gagne à différer.

En principe, non. L'article 19, III, de la loi Informatique et Libertés pose que le secret ne peut être opposé aux membres et agents de la Commission. Le texte réserve toutefois trois exceptions : les informations couvertes par le secret professionnel applicable aux relations entre un avocat et son client, le secret des sources des traitements journalistiques et, dans certaines conditions, le secret médical. Pour ce dernier, la communication des données médicales individuelles issues de traitements de soins, de diagnostic ou de recherche ne peut se faire que sous l'autorité et en présence d'un médecin. Le secret des affaires n'est pas cité parmi ces exceptions ; il ne permet donc pas, à lui seul, de refuser la remise d'un document demandé. En pratique, isolez avant le contrôle les consultations et correspondances échangées avec votre avocat, signalez-les comme telles si la délégation les demande et faites mentionner la difficulté au procès-verbal. Pour les données de santé, organisez la présence d'un médecin plutôt que d'opposer un refus global, qui pourrait être lu comme un défaut de coopération ou, pire, comme une entrave.

Elles peuvent être discutées, mais leur principe est solidement admis. L'article 19, III, de la loi permet aux agents, hors contrôle sur place ou sur convocation, de consulter depuis un service en ligne les données librement accessibles ou rendues accessibles, y compris par imprudence, par négligence ou par le fait d'un tiers, et de les retranscrire dans des documents utilisables pour le contrôle. Ils peuvent aussi agir sous une identité d'emprunt pour contrôler un service en ligne. Dans l'affaire SERGIC, une société de gestion immobilière soutenait que les constatations en ligne étaient nulles parce que les agents avaient téléchargé les documents exposés par une faille de son site. Le Conseil d'État a rejeté l'argument et jugé que les agents peuvent télécharger les fichiers rendus accessibles par un défaut de sécurité ; la requête de la société a été rejetée (CE, 4 novembre 2020, n° 433311). La contestation utile porte donc moins sur la méthode que sur le contenu : date et heure du constat, version du site, parcours suivi, paramétrage des traceurs à ce moment précis. D'où l'intérêt d'archiver l'état du site avant toute correction.

Le délai est fixé par la décision elle-même. L'article 20, III, de la loi Informatique et Libertés permet au président de la CNIL, lorsque le manquement peut faire l'objet d'une mise en conformité, de mettre en demeure le responsable de traitement ou son sous-traitant dans le délai qu'il fixe. La mise en demeure peut viser la satisfaction des demandes d'une personne concernée, la mise en conformité des traitements, la communication d'une violation de données ou la rectification et l'effacement de données. Le président peut exiger qu'il soit justifié de la mise en conformité dans un délai qu'il fixe, ramené à vingt-quatre heures en cas d'urgence ; il prononce la clôture de la procédure lorsque c'est le cas. La réponse doit donc démontrer, pièces à l'appui, ce qui a été modifié et à quelle date : captures, nouvelles mentions d'information, contrats amendés, procédures internes, journaux techniques. Si le délai est irréaliste, une demande motivée de prolongation vaut mieux qu'un silence. La mise en demeure peut être rendue publique à la demande du président ; la décision de clôture reçoit alors la même publicité.

Oui. Le Conseil d'État juge seul, sans appel, les actes que la Commission adopte dans l'exercice de son contrôle, y compris ceux de son président (CJA, art. R. 311-1, 4°), dans le délai de deux mois prévu par l'article R. 421-1 du même code. La commune de Beaucaire avait contesté une mise en demeure portant notamment sur l'analyse d'impact de son dispositif de vidéoprotection : le Conseil d'État a examiné la légalité de la décision, jugé l'analyse d'impact nécessaire au regard de l'ampleur du dispositif et rejeté la requête. Il a aussi jugé irrecevables les conclusions tendant à l'abrogation de la mise en demeure au motif que la commune s'y était conformée (CE, 30 avril 2024, n° 472864). De même, la société TotalEnergies a pu contester le rappel à ses obligations prononcé après les réclamations de trois salariés ; sa requête a été rejetée, le juge relevant qu'elle avait été informée des réclamations et mise à même de présenter ses observations (CE, 1er décembre 2025, n° 498023). Le recours est donc ouvert, mais il suppose un grief juridique réel.

Non. L'article 20, IV, de la loi Informatique et Libertés autorise le président à porter l'affaire devant la formation restreinte, éventuellement après un avertissement ou une mesure correctrice, ce qui signifie que ces étapes sont possibles mais pas obligatoires. Le Conseil d'État l'a jugé, sous la numérotation alors en vigueur de la loi, à propos de la société SERGIC, sanctionnée de 400 000 euros pour un défaut de sécurité de son site et une conservation excessive de documents de candidats à la location : il a jugé que la sanction n'était pas subordonnée à une mise en demeure préalable, puis a tenu pour proportionnée une amende représentant moins de 1 % du chiffre d'affaires de la société (CE, 4 novembre 2020, n° 433311). Cette solution est défavorable aux organismes contrôlés : un contrôle peut déboucher directement sur un rapport proposant une sanction. Elle commande de traiter chaque contrôle comme le début possible d'une procédure de sanction, en corrigeant sans attendre les défauts constatés et en conservant la preuve de ces corrections. À l'inverse, lorsqu'une mise en demeure a été adressée, son exécution justifiée dans le délai permet au président de clore la procédure de mise en demeure, sans que le texte interdise ensuite de saisir la formation restreinte.

La notification du rapport ouvre la phase contradictoire. Selon l'article 40 du décret du 29 mai 2019, le mis en cause dispose d'un mois pour adresser ses observations écrites au rapporteur et au président de la formation restreinte ; chaque mémoire ultérieur est produit dans le même délai et le mis en cause a toujours la possibilité de produire en dernier. Le dossier de procédure est mis à sa disposition et il peut en prendre copie. Il est convoqué au moins quinze jours avant la séance, sept jours en cas de réexamen ou de report à une séance ultérieure, et peut être assisté ou représenté par le conseil de son choix ; dans ce cas, le conseil reçoit seul les actes de procédure, à l'exception de la désignation du rapporteur et de la notification de la décision. Le Conseil d'État juge que les droits de la défense s'appliquent à partir de la notification du rapport prévu par l'article 22 de la loi, et non aux diligences antérieures du rapporteur, sauf atteinte irrémédiable ; il a rejeté sur ce point la requête de l'éditeur d'applications Voodoo (CE, 14 mai 2024, n° 472221). Les observations doivent reprendre chaque manquement, la période retenue, les mesures prises et les éléments financiers, avant que l'instruction ne soit déclarée close.

Elle applique les plafonds de l'article 20, IV, 7°, de la loi et les critères de l'article 83, paragraphe 2, du RGPD : nature, gravité et durée de la violation, nombre de personnes concernées, caractère délibéré ou négligent, mesures prises pour atténuer le dommage, degré de coopération, catégories de données, antécédents et avantages financiers obtenus. Le Conseil d'État exerce un contrôle de proportionnalité, mais il n'impose pas à la Commission d'expliciter le calcul : dans l'affaire Voodoo, il a jugé que la formation restreinte n'avait pas à indiquer les éléments chiffrés du mode de détermination de l'amende de 3 millions d'euros (CE, 14 mai 2024, n° 472221). Pour Orange, il a admis une amende globale de 50 millions d'euros, représentant 0,11 % du chiffre d'affaires mondial, sans décomposition par manquement (CE, 16 octobre 2026, n° 501268). Dans l'affaire Ubeeqo, l'amende de 175 000 euros a été appréciée en tenant compte du chiffre d'affaires du groupe auquel appartenait la société (CE, 6 décembre 2023, n° 467368). Ces trois requêtes ont été rejetées : la discussion sur le montant se prépare dès les observations écrites, chiffres à l'appui.

Oui, les mesures correctrices peuvent atténuer la sanction, leur rapidité et leur effectivité étant appréciées avec les autres circonstances de l'affaire. Dans l'affaire Optical Center, des factures de clients étaient accessibles sans authentification sur le site de l'opticien. Le Conseil d'État a jugé disproportionnée une amende de 250 000 euros fixée sans tenir compte de la célérité avec laquelle la société avait apporté les mesures correctrices, et l'a ramenée à 200 000 euros (CE, 17 avril 2019, n° 422575). La décision, rendue sous l'empire de l'ancienne rédaction de la loi de 1978, illustre un critère aujourd'hui repris à l'article 83 du RGPD : les mesures prises pour atténuer le dommage. Elle a une limite nette. Dans l'affaire Futura Internationale, sanctionnée de 500 000 euros pour démarchage téléphonique malgré des oppositions, le juge a relevé que les correctifs apportés en cours de procédure n'avaient pas mis fin de façon effective aux manquements et que la société avait manqué à son obligation de coopération ; la requête a été rejetée (CE, 1er mars 2021, n° 437808). Une mise en conformité tardive, partielle ou non prouvée pèse donc beaucoup moins dans cette appréciation. Datez chaque correction, conservez l'état antérieur et transmettez les justificatifs au rapporteur.

Elle peut l'être. L'article 22 de la loi Informatique et Libertés permet à la formation restreinte de rendre publiques les mesures qu'elle prend et d'ordonner leur insertion dans des publications qu'elle désigne, aux frais de la personne sanctionnée ; elle peut aussi ordonner que chaque personne concernée soit informée individuellement de la violation et de la mesure. Dans les affaires SERGIC, Voodoo et celle évoquée ci-après, la délibération a été publiée nominativement pendant deux ans, puis anonymisée. Le Conseil d'État contrôle la proportionnalité de cette publicité, mais il l'admet largement : il a validé la publication pendant deux ans d'une sanction de 30 000 euros visant un office public de l'habitat qui avait utilisé le fichier de ses locataires pour leur adresser un courrier étranger aux finalités du traitement, en relevant son effet dissuasif auprès des acteurs du secteur (CE, 5 octobre 2020, n° 424440). La même analyse a été retenue pour l'éditeur de jeux mobiles Voodoo, dont les applications touchaient un très large public (CE, 14 mai 2024). La publicité se discute donc dans les observations écrites, avec des arguments propres : faible nombre de personnes, correction immédiate, absence de risque persistant.

La procédure simplifiée est prévue par l'article 22-1 de la loi Informatique et Libertés, telle que modifiée avec effet au 28 mai 2026. Le président de la CNIL peut l'engager lorsque le rappel à l'ordre, l'injonction ou l'amende constituent la réponse appropriée et que l'affaire ne présente pas de difficulté particulière, eu égard à une jurisprudence établie, aux décisions antérieures de la formation restreinte ou à la simplicité des questions posées. L'amende encourue ne peut alors dépasser 20 000 euros et l'astreinte 100 euros par jour ; ces montants sont portés à 100 000 euros et 500 euros lorsque le chiffre d'affaires annuel mondial total de l'exercice précédent du responsable dépasse 50 millions d'euros. Le président de la formation restreinte, ou l'un des membres de cette formation qu'il désigne, statue seul au vu du rapport d'un agent des services, après que le mis en cause a pu présenter des observations écrites et demander à être entendu. Les décisions rendues selon cette procédure ne peuvent pas être rendues publiques. Le président de la formation restreinte peut refuser de l'utiliser ou l'interrompre, auquel cas la procédure reprend avec les garanties de l'article 22. Les mêmes exigences de preuve et de réponse s'appliquent donc, à une échelle plus courte.

Oui, comme élément de preuve, sans lier le juge. Des clients d'un fabricant de portefeuilles de cryptoactifs, victime de cyberattaques, demandaient réparation de la divulgation de leurs données ; la CNIL avait sanctionné l'entreprise pour insuffisance des mesures de sécurité. Le tribunal judiciaire de Paris a rappelé qu'« Il est constant que la décision rendue par la CNIL ne lie pas le tribunal » (TJ Paris, 4 mars 2025, n° 22/03497), tout en ordonnant la réouverture des débats afin que les demandeurs puissent en solliciter la communication. Dans une autre instance née des mêmes fuites, le juge de la mise en état a ordonné à l'entreprise de déposer au greffe, à son intention, la version confidentielle et une version expurgée de la délibération, avant d'examiner les conditions de leur communication, en rappelant que « si le secret des affaires ou le principe de confidentialité ne constituent pas en eux-mêmes un obstacle à la production forcée d’une pièce » (TJ Paris, 9 décembre 2025, n° 22/00774), la production reste subordonnée à un motif légitime, à sa nécessité et à l'absence d'atteinte disproportionnée. Ces décisions avant dire droit sont défavorables à l'entreprise sanctionnée. La victime doit cependant prouver son dommage : la Cour de cassation juge que « la simple violation du règlement général sur la protection des données n'ouvre pas, à elle seule, droit à réparation » (Cour de cassation, chambre sociale, 24 juin 2026, pourvoi n° 24-22.792).