Procédure de sanction CNIL : les étapes en 2026

L’essentiel. Une sanction CNIL n’arrive jamais sans prévenir. Entre le contrôle et l’amende, il existe une chaîne répressive à étapes, chacune assortie de délais précis et d’un droit de réponse. Trois issues sont possibles après un contrôle ou une plainte : la clôture, la mise en demeure (art. 20-II de la loi Informatique et Libertés — ce n’est pas une sanction), ou l’ouverture d’une procédure de sanction. Cette dernière existe en deux versions : la procédure ordinaire, devant une formation restreinte de six membres, séance publique, amendes plafonnées par l’art. 83 RGPD à 20 M€ ou 4 % du chiffre d’affaires mondial ; et la procédure simplifiée (art. 22-1), écrite, décidée par un seul membre, plafonnée à 20 000 € d’amende et 100 € par jour d’astreinte, et non publique. En 2025, la CNIL a rendu 259 décisions dont 83 sanctions — 67 en procédure simplifiée contre 16 en ordinaire. Le point décisif se joue tôt : à réception du rapport de sanction, vous disposez d’un mois pour produire des observations écrites, et c’est là que se construit à peu près tout ce qui pèsera sur le montant final.

Dans mon expérience de conseil, la plupart des organisations découvrent le fonctionnement de la chaîne répressive de la CNIL le jour où elles y entrent — et perdent alors leurs meilleures cartes dans les trois premières semaines, en répondant trop vite, trop peu, ou à côté. Or la procédure est écrite, contradictoire et très codifiée : elle laisse une marge de manœuvre réelle à qui la connaît. Voici le déroulé complet, étape par étape, avec les délais applicables et ce qu’il faut faire à chaque moment.

Cadre juridique de référence, tel qu’en vigueur en août 2026 : loi n° 78-17 du 6 janvier 1978 modifiée (« Informatique et Libertés »), art. 20 et 22-1 ; décret n° 2019-536 du 29 mai 2019 ; règlement intérieur de la CNIL ; RGPD, art. 58, 77, 78, 83.

D’où part une procédure de sanction CNIL

Une procédure de sanction ne se déclenche jamais spontanément. Elle suppose un manquement constaté, et ce constat n’a que deux origines possibles.

La plainte. Toute personne concernée peut saisir l’autorité de contrôle de son État membre au titre de l’article 77 du RGPD. La CNIL en reçoit plus de 14 000 par an depuis 2021, et 2025 a été marquée par une hausse très importante de ce volume. L’écrasante majorité se règle par une intervention amiable auprès de l’organisme ; une minorité déclenche une instruction.

Le contrôle. Sur place, en ligne, sur pièces ou sur audition — les quatre modalités que j’ai détaillées dans le guide consacré au contrôle CNIL et à sa préparation. Le contrôle donne lieu à un procès-verbal, contradictoire, que vous signez et sur lequel vous pouvez porter des observations. Ce PV constitue la matière première de tout ce qui suivra : ne le signez jamais sans l’avoir relu ligne à ligne.

À l’issue, la CNIL retient l’une de trois suites : la clôture du dossier, une mesure d’accompagnement (rappel aux obligations légales, avertissement, mise en demeure), ou l’engagement d’une procédure de sanction. Le chiffre est instructif : sur 259 décisions rendues en 2025, 143 étaient des mises en demeure, 31 des rappels aux obligations légales, 2 des avertissements et 83 des sanctions. La sanction reste minoritaire — mais elle n’est plus l’exception qu’elle était avant 2022.

La mise en demeure : le dernier arrêt avant la sanction

Beaucoup de dirigeants confondent mise en demeure et sanction. C’est une erreur de lecture aux conséquences pratiques importantes.

La mise en demeure est une injonction du président de la CNIL (art. 20-II de la loi Informatique et Libertés) de faire cesser un manquement dans un délai fixé. Elle n’est pas une sanction : elle n’est pas inscrite au titre des mesures correctrices punitives, elle n’emporte pas d’amende, et elle constitue en pratique une seconde chance.

Ce qu’il faut savoir :

• Le délai ne peut être inférieur à 10 jours, sauf urgence caractérisée où il peut descendre à 24 heures. Depuis la réforme de 2022, le plafond de six mois a disparu : la CNIL peut accorder des délais longs quand un programme de conformité sérieux le justifie. C’est une porte à pousser.
• Elle peut être publique. Dans ce cas, le bureau de la CNIL adopte une délibération motivée, un communiqué paraît sur cnil.fr et la décision est publiée sur Légifrance, anonymisée au bout de deux ans. La clôture, si vous vous mettez en conformité, est elle aussi publiée.
• Depuis 2022, certaines mises en demeure n’appellent pas de réponse écrite. Vous devez vous conformer dans le délai, sans avoir à en justifier. La CNIL vérifiera par un contrôle ultérieur — ce qui ne vous dispense évidemment pas de documenter vos actions.

Les suites dépendent entièrement de votre réponse. Une réponse satisfaisante, accompagnée de justificatifs, déclenche un courrier de clôture qui met fin au contrôle. Une réponse partielle appelle une demande de compléments. Une réponse insuffisante ou une absence de réponse ouvre directement la voie à la procédure de sanction.

Un point que l’on sous-estime systématiquement : depuis la réforme de 2022, si vous ne répondez pas à une mise en demeure qui l’exigeait, le président de la formation restreinte peut être saisi pour vous enjoindre de transmettre les éléments demandés, sous astreinte de 100 € par jour. Le silence n’est plus une option neutre — il a un prix, et il devient lui-même un manquement autonome. En 2025, 14 organismes ont été sanctionnés en procédure simplifiée pour le seul défaut de coopération avec la CNIL.

Procédure ordinaire : les six étapes devant la formation restreinte

C’est la voie des dossiers complexes ou graves. Elle se déroule devant la formation restreinte, organe distinct du collège, composée d’un président et de cinq membres élus par leurs pairs. Cette séparation entre l’organe qui poursuit et l’organe qui juge n’est pas cosmétique : elle constitue la garantie procédurale centrale du dispositif.

Étape 1 — Désignation du rapporteur et saisine

Le président de la CNIL désigne un rapporteur parmi les membres du collège qui ne siègent pas à la formation restreinte, et saisit celle-ci. L’organisme mis en cause en est informé. Le rapporteur instruit à charge et à décharge : il peut vous entendre (l’audition donne lieu à un procès-verbal) et demander des contrôles complémentaires.

Étape 2 — Notification du rapport de sanction

Le rapport propose une ou plusieurs des mesures de l’art. 20-III. En cas de sanction financière, il chiffre le montant proposé. C’est le document qui structure toute la suite : il fixe le périmètre des manquements reprochés et l’ordre de grandeur de l’amende.

À ce stade, deux droits doivent être exercés systématiquement :

• L’accès au dossier. Vous pouvez prendre connaissance et copie de toutes les pièces auprès du service des sanctions, sur demande. Beaucoup d’organismes ne le font pas. C’est une faute : on ne conteste pas utilement des constats dont on n’a pas vu les pièces.
• L’assistance d’un conseil. À chaque étape de la procédure, sans restriction.

Étape 3 — Observations écrites (le mois qui compte)

Vous disposez d’un mois à compter de la réception du rapport pour formuler des observations écrites. Le rapporteur dispose ensuite d’un mois pour y répondre, et vous conservez toujours la faculté de répondre au rapporteur.

Quand la complexité du dossier le justifie, le président de la formation restreinte peut accorder une prolongation des délais, à la demande du rapporteur ou de l’organisme (art. 40 du décret du 29 mai 2019). Détail utile : lorsqu’une prolongation est accordée au rapporteur, elle est automatiquement octroyée à l’organisme.

Dans ma pratique, c’est cette étape qui détermine l’issue. Le montant proposé par le rapporteur bouge — parfois beaucoup — en fonction de la qualité des observations. L’article 83(2) du RGPD énumère les critères de modulation, et il faut les traiter un par un : nature et gravité du manquement, caractère intentionnel ou négligent, mesures prises pour atténuer le dommage, degré de coopération, catégories de données concernées, manquements antérieurs. Un dossier qui démontre, pièces à l’appui, qu’une remédiation a été engagée dès le contrôle ne se juge pas comme un dossier qui découvre le sujet à réception du rapport.

Étape 4 — Clôture de l’instruction et convocation

Quand il estime le dossier prêt, le rapporteur informe l’organisme et le président de la formation restreinte que l’instruction est close. L’organisme est alors informé de la date de séance au moins quinze jours avant sa tenue.

Étape 5 — La séance

La séance de la formation restreinte est publique. L’organisme peut demander au président d’en restreindre la publicité dans l’intérêt de l’ordre public ou pour protéger des secrets protégés par la loi (art. 65 du règlement intérieur de la CNIL) ; la séance se tient alors à huis clos. Cette demande mérite d’être posée systématiquement lorsque le dossier contient des éléments d’architecture technique ou de secret des affaires.

L’ordre de parole est fixé : le rapporteur d’abord, puis l’organisme et son conseil, qui répondent aux questions des membres. Le commissaire du gouvernement peut donner son avis. L’organisme et son conseil prennent la parole en dernier — c’est la règle du dernier mot, et elle se prépare.

Étape 6 — Délibéré, notification, recours

Les membres délibèrent à huis clos. Ils décident aussi de la publicité de la sanction : en 2025, seules 10 des 83 décisions ont été rendues publiques. La délibération est notifiée quelques semaines plus tard.

À compter de la notification, l’organisme dispose de deux mois pour former un recours devant le Conseil d’État, juge de premier et dernier ressort des décisions de la formation restreinte (CJA, art. R. 311-1). Le Conseil d’État exerce ici un contrôle de pleine juridiction : il ne se borne pas à vérifier la légalité, il peut réformer la sanction et en modifier le montant. Ce recours est indépendant du recours juridictionnel ouvert aux personnes concernées par l’article 78 du RGPD.

Les amendes sont recouvrées par le Trésor public et versées au budget de l’État. La CNIL, elle, n’indemnise personne : la réparation du préjudice relève du juge judiciaire sur le fondement de l’article 82 du RGPD, le cas échéant par la voie de l’action de groupe de l’article 80.

Procédure simplifiée : la voie devenue majoritaire

Créée en 2022 (art. 22-1 de la loi Informatique et Libertés), la procédure simplifiée traite les dossiers « ne présentant pas de difficulté particulière ». Elle est devenue le régime de droit commun en volume : 67 des 83 sanctions prononcées en 2025 l’ont été par cette voie.

Trois critères l’ouvrent : l’existence d’une jurisprudence établie, des décisions antérieures de la formation restreinte sur la même question, ou la simplicité des questions de fait et de droit à trancher.

Le mécanisme diffère sur quatre points :

• Le rapporteur est désigné parmi les agents des services de la CNIL, non parmi les membres du collège.
• Le président de la formation restreinte prend l’affaire ou la confie à un membre qu’il désigne, et statue seul.
• La procédure est écrite. Aucune séance n’est organisée, sauf si l’organisme demande à être entendu — auquel cas une séance réunit le mis en cause, le rapporteur et le président de la formation restreinte.
• Les décisions ne sont pas rendues publiques.

Les délais, eux, sont identiques : un mois pour les observations écrites, un mois pour la réponse du rapporteur. Les droits aussi : accès au dossier, assistance d’un conseil.

Point rarement anticipé : le président de la formation restreinte peut refuser le recours à cette procédure pour tout motif, ou la suspendre à tout moment. Le dossier rebascule alors en procédure ordinaire, avec désignation d’un commissaire-rapporteur, l’ensemble des pièces antérieures demeurant au dossier. Autrement dit, ce que vous écrivez en procédure simplifiée peut être lu par une formation restreinte plénière. Rédigez en conséquence.

Ordinaire ou simplifiée : ce qui change concrètement

	Procédure ordinaire	Procédure simplifiée (art. 22-1)
Qui instruit	Rapporteur désigné parmi les membres du collège	Rapporteur désigné parmi les agents de la CNIL
Qui décide	Formation restreinte (président + 5 membres)	Le président de la formation restreinte, ou un membre désigné, seul
Séance	Publique (huis clos sur demande motivée)	Écrite ; séance seulement si l’organisme le demande
Amende maximale	Plafonds de l’art. 83(4) et 83(5) RGPD : 10 M€ ou 2 % du CA mondial / 20 M€ ou 4 %	20 000 €
Astreinte	Jusqu’à 100 000 € par jour de retard	Jusqu’à 100 € par jour de retard
Autres mesures	Rappel à l’ordre, injonction, limitation ou interdiction du traitement, suspension des flux, retrait de certification	Rappel à l’ordre, injonction sous astreinte, amende
Publicité	Possible, décidée par la formation restreinte	Exclue
Délai d’observations	1 mois (prolongeable)	1 mois (prolongeable)
Recours	Conseil d’État, 2 mois	Conseil d’État, 2 mois

Ce que les chiffres 2025 disent de la politique répressive

Le bilan publié par la CNIL le 9 février 2026 mérite d’être lu comme une grille de lecture du risque réel.

259 décisions, dont 83 sanctions, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements. 486 839 500 € d’amendes cumulées — un montant très concentré : deux décisions en matière de traceurs représentent à elles seules 325 M€ et 150 M€. Les 78 amendes prononcées comprennent 27 injonctions sous astreinte, auxquelles s’ajoutent 3 liquidations d’astreinte et 2 rappels à l’ordre. Quatre décisions ordinaires ont été adoptées en coopération avec les homologues européens via le guichet unique.

Les trois motifs dominants en procédure simplifiée sont sans surprise, et ce sont exactement ceux qu’un audit interne détecte : sécurité insuffisante (14 organismes — mots de passe faibles, comptes partagés), défaut de coopération avec la CNIL (14 organismes), non-respect des droits des personnes (14 décisions, portant sur l’effacement, l’opposition et l’accès). S’y ajoutent 10 décisions en matière de prospection commerciale ou politique et 16 sanctions pour non-respect des règles de vidéosurveillance des salariés.

Le début 2026 confirme la structure à deux vitesses : trois décisions ordinaires publiques de 27 M€, 15 M€ et 5 M€ au premier trimestre, et en parallèle un flux continu de sanctions simplifiées comprises entre 2 000 € et 20 000 €, souvent assorties d’injonctions. J’ai détaillé ces décisions dans l’analyse des sanctions CNIL 2026.

La leçon pratique est celle-ci : le risque d’une amende à huit chiffres concerne une poignée d’acteurs. Le risque réel, pour une PME ou une collectivité, c’est une sanction simplifiée de 5 000 à 20 000 € assortie d’une injonction sous astreinte — déclenchée le plus souvent par une plainte isolée mal traitée, ou par une absence de réponse à un courrier de la CNIL.

Ce qu’il faut faire à chaque étape

Un déroulé opérationnel, tiré de ce qui fonctionne réellement en défense.

Au contrôle. Relire le procès-verbal avant signature et y porter des observations écrites si un constat est inexact ou incomplet. Désigner un interlocuteur unique. Ne fournir que ce qui est demandé, mais le fournir intégralement. Tracer toutes les remises de documents.

À réception d’une mise en demeure. Traiter le délai comme impératif, et répondre même si la conformité n’est pas achevée : un plan d’action daté, chiffré et documenté vaut infiniment mieux que le silence. Si le délai est intenable, demander une prolongation motivée — le plafond de six mois n’existe plus. Joindre des preuves, pas des déclarations.

À réception du rapport de sanction. Demander immédiatement l’accès au dossier. Vérifier que chaque manquement reproché repose sur une pièce identifiable. Reprendre les critères de l’art. 83(2) RGPD un par un dans les observations. Produire l’état d’avancement de la remédiation — la mise en conformité intervenue après le contrôle est prise en compte, et c’est souvent le levier le plus efficace sur le montant.

Avant la séance. Préparer une prise de parole courte, factuelle, sans contestation de principe sur des faits établis. Demander le huis clos si le dossier contient des secrets protégés. Ne jamais découvrir les questions des membres en séance : elles portent presque toujours sur les points faibles déjà identifiés dans les échanges écrits.

Après la décision. Le délai de recours de deux mois court à compter de la notification. Si une injonction sous astreinte a été prononcée, le calendrier d’exécution devient prioritaire sur tout le reste : les liquidations d’astreinte sont désormais courantes, et elles s’ajoutent à l’amende initiale.

En amont, surtout. Les trois motifs dominants de sanction simplifiée se préviennent avec trois documents : un registre des traitements à jour dont il existe un exemple rempli, une procédure documentée de réponse aux demandes de droits, et une politique de sécurité conforme aux attentes de l’article 32 du RGPD — à commencer par la politique de mots de passe. C’est exactement le socle que décrit le guide de mise en conformité RGPD, et c’est le type de tenue documentaire continue que Legiscope automatise.

Un dernier réflexe, souvent décisif : une violation de données correctement notifiée dans les 72 heures et gérée selon une procédure formalisée change radicalement la lecture d’un dossier par le rapporteur. À l’inverse, une violation découverte par la CNIL au détour d’un contrôle transforme un manquement technique en manquement de gouvernance.

---

Recevez chaque semaine nos analyses de conformité. Décisions CNIL commentées, évolutions réglementaires et guides pratiques, rédigés par un docteur en droit des nouvelles technologies. Inscrivez-vous à la newsletter.

Ce qu’il faut retenir

• La sanction n’est qu’une des issues possibles. Sur 259 décisions rendues par la CNIL en 2025, 143 étaient des mises en demeure et 83 des sanctions. La mise en demeure (art. 20-II) n’est pas une sanction : c’est une seconde chance, avec un délai qui ne peut être inférieur à 10 jours.
• Deux procédures coexistent. L’ordinaire, devant une formation restreinte de six membres, en séance publique, avec les plafonds de l’art. 83 RGPD. La simplifiée (art. 22-1), écrite, décidée par un membre seul, plafonnée à 20 000 € et non publique — elle représente 67 des 83 sanctions de 2025.
• Le mois d’observations écrites est le moment décisif. À réception du rapport de sanction, un mois pour répondre, prolongeable si la complexité le justifie. C’est là que se joue le montant, en traitant un par un les critères de modulation de l’art. 83(2) RGPD.
• Deux droits à exercer systématiquement : l’accès aux pièces du dossier auprès du service des sanctions, et l’assistance d’un conseil à chaque étape.
• Le silence coûte cher. Ne pas répondre à la CNIL constitue un manquement autonome : 14 organismes ont été sanctionnés sur ce seul fondement en 2025, et une injonction sous astreinte de 100 € par jour peut être prononcée pour forcer la transmission des éléments demandés.
• Recours : deux mois devant le Conseil d’État, qui statue en pleine juridiction et peut réformer le montant de la sanction.

FAQ

Une mise en demeure de la CNIL est-elle une sanction ?

Non. La mise en demeure est une injonction du président de la CNIL de faire cesser un manquement dans un délai fixé (art. 20-II de la loi Informatique et Libertés). Elle n’emporte aucune amende et n’est pas inscrite parmi les mesures répressives. Elle peut toutefois être rendue publique, et son non-respect ouvre directement la voie à une procédure de sanction.

Combien de temps dure une procédure de sanction CNIL ?

Aucun texte ne fixe de durée globale. En pratique, comptez plusieurs mois entre la notification du rapport et la décision : un mois pour vos observations, un mois pour la réponse du rapporteur, d’éventuels échanges supplémentaires, un délai minimal de quinze jours entre la clôture de l’instruction et la séance, puis quelques semaines avant la notification de la délibération. Les prolongations accordées au titre de l’art. 40 du décret du 29 mai 2019 allongent d’autant ce calendrier.

Peut-on éviter la publicité d’une sanction CNIL ?

En procédure simplifiée, la question ne se pose pas : les décisions ne peuvent pas être rendues publiques. En procédure ordinaire, la publicité est décidée par la formation restreinte lors du délibéré, et elle reste minoritaire — 10 décisions sur 83 en 2025. Vous pouvez en revanche demander que la séance se tienne à huis clos lorsque la protection de secrets protégés par la loi l’exige (art. 65 du règlement intérieur de la CNIL).

Que se passe-t-il si l’on ne respecte pas une injonction de la CNIL ?

L’astreinte prononcée avec l’injonction est liquidée, c’est-à-dire convertie en somme exigible calculée sur les jours de retard. La CNIL a rendu trois décisions de liquidation d’astreinte en 2025 et plusieurs au premier trimestre 2026, pour des montants allant de quelques centaines d’euros à plusieurs milliers. Cette somme s’ajoute à l’amende initiale et fait l’objet d’une décision distincte, elle-même susceptible de recours.

Faut-il un avocat pour une procédure de sanction CNIL ?

Ce n’est pas obligatoire : l’organisme peut se défendre seul et le texte prévoit seulement la faculté de se faire assister ou représenter par le conseil de son choix. En pratique, dès lors qu’un montant significatif est proposé ou que la qualification juridique des manquements est discutable, l’accompagnement par un conseil rompu à la procédure administrative répressive change l’issue — d’autant que les observations écrites constituent aussi la matière d’un éventuel recours devant le Conseil d’État.

Quelle est la différence entre le rapporteur et la formation restreinte ?

Le rapporteur instruit le dossier et propose une sanction ; la formation restreinte décide. Cette séparation est la garantie centrale de la procédure : en procédure ordinaire, le rapporteur est choisi parmi les membres du collège qui ne siègent pas à la formation restreinte, et il ne participe pas au délibéré. En procédure simplifiée, le rapporteur est un agent des services de la CNIL et la décision revient au président de la formation restreinte statuant seul.