Sanction CNIL

Sanction CNIL : les enjeux pour la PME

Une sanction intervient à l’issue d’un contrôle ou d’une plainte, et vise aussi bien le responsable de traitement que le sous-traitant. Selon la CNIL, la formation restreinte peut prononcer, seules ou cumulées, un rappel à l’ordre, une injonction de mise en conformité assortie d’une astreinte pouvant atteindre 100 000 euros par jour de retard, une limitation ou une interdiction du traitement, et une amende administrative. Elle peut rendre sa décision publique. L’organisme dispose de deux mois pour saisir le Conseil d’État.

Le RGPD prévoit deux plafonds d’amende, le montant le plus élevé étant retenu : 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les obligations de l’entreprise, comme la sécurité, le registre, l’analyse d’impact ou le DPO ; 20 millions d’euros ou 4 % pour les principes, les droits des personnes, les transferts ou le non-respect d’une injonction. Pour les dossiers peu complexes, la procédure simplifiée limite l’amende à 20 000 euros lorsque le chiffre d’affaires est inférieur à 50 millions d’euros, et ces sanctions ne sont pas rendues publiques. Une personne qui subit un préjudice peut, en outre, en obtenir la réparation intégrale.

Le bilan 2025 de la CNIL éclaire les priorités : 83 sanctions, dont 67 en procédure simplifiée, et 143 mises en demeure. Les manquements les plus sanctionnés portent sur les cookies, la vidéosurveillance des salariés, la sécurité des données, les demandes d’accès, d’effacement ou d’opposition restées sans suite, la prospection et le défaut de réponse à la CNIL elle-même.

Trois gestes réduisent l’exposition : répondre à chaque demande de droit d’accès ou d’effacement dans le délai, sécuriser les comptes, et répondre sans attendre aux courriers de la CNIL. Cette fiche est une information générale, à compléter par l’avis d’un conseil.

Exemple

Une boutique en ligne de 30 salariés réalise 6 millions d’euros de chiffre d’affaires. Un client, resté sans réponse trois mois après une demande d’effacement, saisit la CNIL. Le dossier, peu complexe, suit la procédure simplifiée : la boutique reçoit une amende de 5 000 euros et une injonction de traiter la demande sous astreinte. Elle crée une adresse dédiée aux demandes, désigne une responsable et ramène son délai de réponse à 10 jours en moyenne.