Notre Centre de réponse aux crises couvre tous les scénarios de mise en application avec les prochaines étapes immédiates — Abmahnung, enquête CNIL, et plus. Important : consultez un avocat qualifié avant de répondre à toute mise en demeure formelle.
⚠️ Avertissement : Cet article est fourni à titre informatif uniquement et ne constitue pas un conseil juridique. Si vous avez reçu une communication de la CNIL, consultez immédiatement un avocat qualifié ayant une expérience en matière de mise en application du RGPD.
📌 Cet article porte sur le déroulement d'une enquête CNIL. Pour savoir comment la CNIL détecte les sites web non conformes — scans automatisés, canaux de plainte et campagnes sectorielles — consultez : Comment la CNIL détecte les sites web non conformes
Si vous avez reçu une communication de la CNIL et devez agir immédiatement, voici les cinq points les plus importants :
Le reste de cet article couvre l'intégralité du processus d'enquête et ce à quoi vous pouvez vous attendre à chaque étape.
La plupart des entreprises rencontrent la CNIL de l'une de ces deux façons : un courrier arrive demandant des informations, ou elles lisent un article sur une amende infligée à une autre société et commencent à se demander si leur propre exposition est similaire. Comprendre le fonctionnement réel du processus d'enquête de la CNIL est essentiel. Le processus est défini par la loi, il comporte des étapes distinctes, et ce que vous faites — ou omettez de faire — à chaque étape a une incidence directe sur l'issue.
Une enquête CNIL peut s'ouvrir de trois manières :
Plainte. Un particulier, une organisation ou un groupe de défense soumet une plainte via cnil.fr. La CNIL a reçu 16 433 plaintes en 2023. Chacune est évaluée sous l'angle de la compétence et de la plausibilité. Une plainte bien documentée provenant d'une source crédible aboutit presque toujours à une suite.
Enquête d'initiative propre. La CNIL ouvre des enquêtes de manière proactive, sur la base de ses priorités annuelles publiées, de ses résultats de scan automatisé ou de reportages médiatiques. Vous pouvez ne jamais savoir qu'une enquête a été ouverte avant de recevoir la première communication officielle de la CNIL.
Renvoi transfrontalier. Dans le cadre du mécanisme de guichet unique du RGPD, une autre autorité de protection des données de l'UE peut renvoyer des affaires concernant des utilisateurs français à la CNIL, ou la CNIL peut demander une coopération dans un dossier transfrontalier.
Une fois qu'une plainte ou une initiative parvient à l'unité d'enquête, la CNIL procède à une évaluation préliminaire. Il ne s'agit pas encore d'une enquête formelle — c'est une décision visant à déterminer si une enquête formelle est justifiée.
Au cours de cette phase, la CNIL examine la plainte, peut procéder à une inspection en ligne basique du site web de l'organisation et évalue sa compétence. Si l'évaluation préliminaire conclut qu'une enquête formelle est justifiée, un dossier est ouvert. L'organisation n'est généralement pas notifiée à ce stade.
Délai : De quelques semaines à quelques mois, selon la charge de travail de la CNIL et la complexité de la plainte.
C'est à ce stade que les pouvoirs d'investigation effectifs de la CNIL sont mis en œuvre. Il existe deux formes d'enquête :
Les enquêteurs de la CNIL accèdent à distance au site web de l'organisation et documentent ce qu'ils constatent. Ils peuvent visiter le site comme le ferait un utilisateur ordinaire, observer quels cookies sont déposés, interagir avec les mécanismes de consentement et consigner les résultats. Aucun préavis n'est requis pour les contrôles en ligne. Les enquêteurs peuvent accéder à votre site à tout moment sans vous en informer.
Les enquêteurs de la CNIL peuvent effectuer des visites physiques dans les locaux d'une organisation. Lors d'un contrôle sur place, les enquêteurs peuvent accéder aux systèmes, serveurs et infrastructures techniques, demander et copier des documents, et interroger le personnel. Les contrôles sur place sont généralement réservés aux enquêtes les plus importantes et les plus complexes.
Dans de nombreuses enquêtes, la CNIL envoie des questionnaires écrits formels demandant des documents spécifiques : politiques de confidentialité, registres de traitement des données, contrats avec les sous-traitants, registres de gestion du consentement, accords de transfert de données. Les organisations sont légalement tenues de répondre. Il n'existe aucun droit légal de refuser un contrôle ou un questionnaire de la CNIL. L'obstruction ou le défaut de coopération constitue en lui-même une violation susceptible d'aggraver la sanction finale.
Avant qu'une sanction soit prononcée, la CNIL doit donner à l'organisation la possibilité de répondre. C'est la procédure contradictoire — un principe juridique fondamental.
L'organisation reçoit un rapport formel documentant les violations présumées et est invitée à soumettre des observations par écrit, et parfois en personne lors d'une audition. Il ne s'agit pas d'une formalité. Les réponses apportées à ce stade ont eu des effets concrets sur l'issue dans des dossiers documentés.
Que faire à ce stade :
Introduite en 2022. Traitée par le Directeur général de la CNIL sans audition complète. Utilisée pour les violations moins graves. Sanctions maximales : avertissement formel ou amende jusqu'à 20 000 €. Les décisions ne sont généralement pas rendues publiques, sauf si l'organisation ne se conforme pas après une mise en demeure formelle.
Traitée par la formation restreinte — le comité des sanctions de la CNIL. C'est la procédure applicable aux violations graves. Les pouvoirs comprennent :
Publication : l'amende que vous ne pouvez pas cacher. Les décisions importantes sont publiées sur cnil.fr, généralement avec le nom de l'organisation, la nature de la violation et le montant de l'amende. Elles restent accessibles en ligne indéfiniment. La dimension réputationnelle d'une amende CNIL publiée dépasse souvent le coût financier direct pour les entreprises orientées vers les consommateurs.
Mise en conformité. Respectez les mesures correctives et payez toute amende imposée. La CNIL surveille la conformité avec les injonctions qu'elle émet et peut imposer des sanctions supplémentaires en cas de non-respect.
Recours. Les décisions de la CNIL peuvent faire l'objet d'un recours devant le Conseil d'État (la plus haute juridiction administrative française). En pratique, peu d'organisations parviennent à faire annuler des amendes en appel — mais certaines ont obtenu une réduction du montant.
| Type de dossier | Durée habituelle |
|---|---|
| Plainte simple → avertissement ou petite amende | 6–18 mois |
| Violation de consentement aux cookies / mentions légales | 12–24 mois |
| Enquête sur une violation majeure de données | 18–36 mois |
| Dossier transfrontalier (implique d'autres APD) | 24–48 mois |
Conséquences financières directes :
Coûts indirects : Temps de gestion détourné vers l'enquête, obligations potentielles de notification aux utilisateurs concernés, atteinte à la réputation si la décision est publiée. Pour les petites entreprises, les coûts de réponse juridique égalent souvent ou dépassent l'amende elle-même.
Les décisions de la CNIL identifient systématiquement des facteurs atténuants qui réduisent les sanctions :
Facteurs aggravants : Non-coopération ou obstruction ; violations ayant persisté après des avertissements antérieurs ; grande échelle des utilisateurs concernés ; données sensibles impliquées ; avantage financier tiré de la violation.
L'enseignement à tirer des dossiers CNIL documentés : la qualité de votre réponse à une enquête CNIL compte autant que la violation sous-jacente. Les organisations qui ont pleinement coopéré ont systématiquement obtenu de meilleurs résultats que celles qui ne l'ont pas fait — même lorsque les violations sous-jacentes étaient comparables.
Évaluez votre exposition avant que la CNIL ne le fasse.
Un scan Sitetals vérifie votre site web par rapport aux principales catégories de conformité que la CNIL examine — consentement aux cookies, mentions légales, politique de confidentialité et exposition aux transferts de données.
Scannez votre site maintenant — résultats en moins de 60 secondesSources : Rapport annuel CNIL 2023, décisions de sanction publiées par la CNIL (cnil.fr/fr/les-sanctions), Articles 57–58 du RGPD (pouvoirs des APD), Articles 60–62 du RGPD (mécanisme de coopération), Articles 20–22 de la Loi Informatique et Libertés (procédure CNIL), Décision CNIL SAN-2021-023 (Google), Décision CNIL SAN-2023-009 (Criteo, 40 M€)