Une question précise ? Lancez une analyse avec le Copilote →
L’essentiel
- Fondement légal
- RGPD et loi du 6 janvier 1978
- Manquements fréquents
- Consentement, sécurité, conservation et prospection irrégulière
- Montants observés
- Des sanctions jusqu’à 50 millions d’euros
- Mise en demeure
- Pas toujours requise avant la sanction
- Mise en conformité
- Elle n’efface pas les manquements passés
- Publicité de la sanction
- Publication possible, parfois aux frais de l’organisme
- Contrôle du montant
- Proportionnalité et montant peuvent être examinés
- Droit de se taire
- Effets variables selon la période procédurale
Cadre juridique et définition de la sanction CNIL
La CNIL peut prononcer une sanction pécuniaire lorsque des manquements aux règles de protection des données sont établis.
Les sanctions concernent notamment le consentement, la sécurité, la conservation, l’information des personnes et le respect des finalités du traitement. Les articles 45 et suivants de la loi du 6 janvier 1978 sont notamment mentionnés comme fondement de la procédure de sanction.
La sanction peut être accompagnée d’une publication, d’une injonction de mise en conformité ou d’une astreinte. Dans l’affaire Orange, le Conseil d’État a confirmé l’injonction de mise en conformité sous astreinte ainsi que le montant de l’amende.
- Amende de 30 000 euros pour détournement de la finalité d’un fichier
- Amende de 150 000 euros pour collecte excessive de données de géolocalisation
- Amende de 50 millions d’euros dans l’affaire Orange
- Astreinte liquidée à hauteur de 5,2 millions d’euros dans l’affaire Clearview AI
Manquements et critères pris en compte
Les décisions analysées montrent que la CNIL sanctionne notamment la collecte excessive, la conservation pendant une durée excessive, l’absence de consentement valable ou explicite, le défaut d’information et le non-respect du droit d’opposition.
La sécurité des données constitue également un critère important. Optical Center a été sanctionnée pour un accès non protégé par HTTPS et pour des insuffisances relatives à la sécurité des mots de passe, tandis que Doctissimo a fait l’objet de griefs concernant la sécurité et l’utilisation de cookies sans consentement préalable.
- Vérifier la finalité et la proportionnalité de la collecte
- Documenter le consentement et ses conditions de recueil
- Respecter les durées de conservation applicables au traitement
- Assurer l’information et l’exercice effectif des droits
- Sécuriser les accès et encadrer les relations avec les prestataires
Exemples de sanctions CNIL
| Organisme | Montant | Manquement principal |
|---|---|---|
| Orange | 50 millions d’euros | Publicités assimilées à des courriels et lecture persistante de cookies |
| Google LLC | 50 millions d’euros | Information insuffisamment transparente et consentement non éclairé |
| CRITEO | 40 millions d’euros | Absence de preuve du consentement et politique de confidentialité incomplète |
| Cityscoot | 150 000 euros | Collecte excessive de données de géolocalisation |
| DOCTISSIMO | 380 000 euros | Consentement, conservation et sécurité des données de santé |
| Office public de l’habitat de Rennes Métropole | 30 000 euros | Détournement de la finalité d’un fichier |
Procédure et démarches pratiques
Une mise en demeure peut précéder la sanction, mais la formation restreinte peut sanctionner un manquement corrigé spontanément lorsqu’une mise en demeure ne peut plus utilement être prononcée. La mise en conformité ne fait alors pas disparaître les manquements passés.
À l’inverse, une mise en demeure peut être clôturée lorsque les réponses et échanges établissent l’absence de manquements persistants. Cette clôture n’exclut pas une nouvelle procédure en cas de persistance ou de réitération.
La procédure peut donner lieu à une contestation portant notamment sur le contrôle, le caractère contradictoire des échanges, le droit de se taire ou le montant de la sanction. Le Conseil d’État a toutefois validé certaines sanctions malgré ces contestations ; concernant le droit de se taire, l’abrogation de l’article 22 de la loi du 6 janvier 1978 a été reportée au 1er octobre 2026.
- Conserver les éléments établissant la mise en conformité
- Répondre précisément à une mise en demeure
- Documenter les mesures correctrices et leur date de mise en œuvre
- Vérifier les conditions de publication et d’injonction
- Évaluer la proportionnalité de la sanction au regard des manquements et des mesures prises
Pour approfondir
Des sanctions adaptées à la nature des manquements
Les décisions publiées montrent une grande diversité de manquements : défaut de sécurité, consentement invalide, conservation excessive, collecte déloyale ou détournement de finalité.
Les montants varient fortement selon les affaires. La CNIL a notamment sanctionné Orange et Google à hauteur de 50 millions d’euros, CRITEO à hauteur de 40 millions d’euros et un office public de l’habitat à hauteur de 30 000 euros.
Points de vigilance pour les organismes
La mise en conformité technique ne suffit pas nécessairement à effacer un manquement antérieur : une sanction peut rester possible lorsque le manquement a été constaté puis corrigé spontanément.
La sécurité doit être organisée concrètement. Dans l’affaire Optical Center, l’absence de HTTPS, la faiblesse de la protection des mots de passe et l’insuffisance du contrat avec le prestataire ont été retenues ; l’entreprise ne pouvait pas simplement invoquer l’intervention de ce prestataire.
Les pratiques de collecte et de conservation doivent également rester cohérentes avec la finalité poursuivie. La collecte quasi permanente de données de géolocalisation, la conservation prolongée de données de santé ou la lecture de cookies après retrait du consentement ont donné lieu à des sanctions.
Pour approfondir
Le droit de se taire dans la procédure de sanction
Le Conseil constitutionnel a jugé que l’article 22 de la loi du 6 janvier 1978 méconnaissait l’article 9 de la Déclaration de 1789 faute d’information sur le droit de se taire.
L’abrogation a toutefois été reportée au 1er octobre 2026. Les mesures antérieures à la publication de la décision QPC ne pouvaient pas être contestées sur ce fondement lorsque la sanction n’avait pas été déterminée de manière décisive par les observations ou propos de la société.
Exemples tirés de nos contenus
Questions fréquentes
Une entreprise peut-elle encore être sanctionnée après avoir corrigé son manquement ?
Oui. Une sanction reste possible lorsque le manquement, constaté puis corrigé spontanément, ne peut plus utilement faire l’objet d’une mise en demeure. La mise en conformité ne fait pas disparaître les manquements passés.
La CNIL peut-elle sanctionner une collecte excessive de données de géolocalisation ?
Oui. Cityscoot a été sanctionnée de 150 000 euros pour la collecte quasi permanente des données de géolocalisation de ses scooters, jugée sans finalité justifiée. Le recoupement possible avec d’autres informations a également soulevé des préoccupations relatives à la vie privée.
Le recours à un prestataire permet-il d’éviter une sanction CNIL ?
Non nécessairement. Dans l’affaire Optical Center, la société n’a pas pu se décharger de ses responsabilités en invoquant son prestataire internet, le contrat ne garantissant pas suffisamment la protection des données des clients. Des insuffisances relatives à la sécurité des mots de passe ont également été relevées.
Le montant d’une sanction CNIL peut-il être réduit après un recours ?
Oui. Le Conseil d’État a réduit de 250 000 à 200 000 euros la sanction infligée à Optical Center. La proportionnalité, la gravité des manquements et la rapidité de la mise en conformité ont notamment été prises en compte.
Une mise en demeure clôt-elle automatiquement le risque de sanction ?
Non. La clôture peut intervenir lorsque les réponses et les échanges établissent l’absence de manquements persistants. Toutefois, une nouvelle procédure peut être engagée en cas de persistance ou de réitération des manquements.
La CNIL peut-elle sanctionner l’utilisation d’un fichier pour une finalité différente de celle prévue ?
Oui. L’office public de l’habitat de Rennes Métropole a été sanctionné de 30 000 euros pour avoir utilisé des données collectées pour la gestion du parc social et l’information des locataires afin de diffuser un message appelant à la mobilisation. La CNIL a considéré que ce contenu dépassait une simple information.
Décisions et analyses sur « Sanction CNIL »
Dernières décisions
Informations documentaires générées à partir de ressources officielles (jurisprudence, législation …) qui ne constituent pas un conseil juridiqueRetour en haut