Évolution des sanctions de la CNIL en matière de RGPD : ce qui change pour les entreprises
En juin 2026, la politique de sanction de la Commission nationale de l'informatique et des libertés connaît un tournant net : le cadre de mise en conformité au titre du Règlement général sur la protection des données – le RGPD – se durcit, et les décisions récentes de l'autorité dessinent un périmètre d'exposition plus large pour les entreprises françaises. L'évolution des sanctions de la CNIL en matière de RGPD ne porte pas seulement sur les montants : elle porte sur la méthode de contrôle, la charge de la preuve et les obligations documentaires attendues.
Depuis l'entrée en application du RGPD, les dispositions du Règlement (UE) 2016/679 et de la Loi Informatique et Libertés, dans leur version consolidée, définissent deux niveaux de sanctions administratives – l'un plafonné à dix millions d'euros ou deux pour cent du chiffre d'affaires mondial annuel, l'autre à vingt millions d'euros ou quatre pour cent. La CNIL peut également prononcer des injonctions, des avertissements et des mesures conservatoires. Ce que change l'évolution récente, c'est l'intensité et la prévisibilité de l'application de ces pouvoirs.
Cette note examine ce qui change concrètement, qui est concerné, quelles obligations nouvelles en découlent et comment l'entreprise doit se préparer.
Ce que recouvre l'évolution des sanctions de la CNIL en matière de RGPD
L'évolution des sanctions de la CNIL en matière de RGPD désigne l'ensemble des inflexions de doctrine et de procédure par lesquelles l'autorité de contrôle française intensifie l'effectivité du RGPD à l'égard des responsables de traitement et des sous-traitants établis ou opérant en France. Elle s'inscrit dans le cadre du Règlement (UE) 2016/679 et de la Loi Informatique et Libertés modifiée, qui confèrent à la CNIL un pouvoir de sanction administrative, de mise en demeure et d'injonction.
Concrètement, plusieurs axes se dégagent. D'abord, la CNIL a développé une doctrine de contrôle par thèmes – sécurité des données, gestion des cookies, droits des personnes – qui produit des séries de mises en demeure coordonnées dans un même secteur d'activité. Ensuite, la formation restreinte, organe délibérant de la CNIL, adopte désormais une grille d'analyse structurée des manquements, distincte de la procédure ordinaire, qui accélère les délais de prononcé des sanctions. Enfin, les orientations du Comité européen de la protection des données (CEPD) imposent aux autorités nationales une cohérence transnationale : une décision prononcée à Paris peut désormais servir de précédent dans toute l'Union.
Dans notre pratique de la conformité données, nous observons que cette structuration modifie profondément l'anticipation du risque : il ne s'agit plus seulement de répondre à un contrôle ponctuel, mais de démontrer en permanence l'effectivité du programme de conformité.
Quels responsables de traitement et sous-traitants sont exposés ?
Toute entité qualifiable de responsable de traitement ou de sous-traitant au sens du RGPD est susceptible d'être contrôlée par la CNIL, sans considération de taille ou de secteur. L'évolution récente déplace toutefois le centre de gravité de l'exposition.
Les entreprises de taille intermédiaire – ETI et PME en croissance – sont désormais dans le viseur direct de l'autorité. La CNIL a clairement indiqué que la disproportion entre taille de l'entreprise et niveau du manquement reste un facteur d'individualisation de la sanction, non un exonératoire. Les directions des systèmes d'information sont concernées à double titre : en tant que gestionnaires des traitements opérationnels et en tant que maîtres d'ouvrage des contrats informatiques liant la société à ses sous-traitants de données.
Les sous-traitants au sens de l'article 28 du RGPD – hébergeurs, éditeurs de logiciels en mode SaaS, prestataires d'infogérance – sont également exposés à titre autonome dès lors qu'ils outrepassent les instructions du responsable ou manquent à leurs obligations propres de sécurité. Cette extension de la responsabilité directe du sous-traitant constitue l'une des évolutions les plus significatives de la doctrine de contrôle.
Nous accompagnons régulièrement des DSI et des directions juridiques d'ETI dans l'audit de leur cartographie des traitements et la revue de leurs contrats de sous-traitance : c'est précisément là que se révèlent les écarts susceptibles d'engager la responsabilité de l'entreprise.
À retenir pour votre organisation
La CNIL engage ses contrôles sur signalement (plainte d'un particulier), sur dossier thématique ou de sa propre initiative. Aucun secteur ne bénéficie d'une immunité. Les entreprises qui traitent des données de santé, des données sensibles au sens du RGPD ou des données de mineurs sont placées en surveillance prioritaire.
Pour une analyse de votre exposition au regard de l'évolution des sanctions de la CNIL, écrivez-nous à contact@vernaylestang.com.
Quelles obligations nouvelles l'évolution de la doctrine impose-t-elle en pratique ?
L'inflexion de la doctrine de sanction se traduit par un renforcement de trois catégories d'obligations que les entreprises doivent intégrer dans leur programme de conformité au titre du RGPD.
Premièrement, l'obligation de documentation continue. Le principe d'accountability – responsabilité et obligation de rendre compte, au sens du Règlement (UE) 2016/679 – exige que l'entreprise soit en mesure de démontrer, à tout instant et sur demande, l'effectivité de ses mesures. Le registre des traitements, les analyses d'impact relatives à la protection des données (AIPD), les politiques de sécurité et les contrats de sous-traitance doivent être maintenus à jour et immédiatement communicables. Un registre non actualisé constitue, à lui seul, un manquement susceptible de fonder une mise en demeure.
Deuxièmement, la gestion des violations de données. La Loi Informatique et Libertés et le RGPD imposent la notification à la CNIL de toute violation de données à caractère personnel dans un délai déterminé par les textes. La CNIL contrôle désormais non seulement le respect du délai de notification, mais aussi la qualité de l'analyse de risque conduite en interne et la traçabilité des mesures correctives prises. L'absence de procédure interne de détection et de gestion des incidents est retenue comme un facteur aggravant.
Troisièmement, l'encadrement des transferts hors Union européenne. Les décisions de la CNIL récentes montrent une attention accrue aux flux de données vers des États tiers. Les clauses contractuelles types adoptées par la Commission européenne, les règles d'entreprise contraignantes et les évaluations d'impact des transferts (TIA) doivent être mises en place et documentées. Les contrats informatiques conclus avec des prestataires extra-européens – hébergeurs cloud notamment – sont sous surveillance particulière.
Pour approfondir le cadre applicable à votre organisation, consultez notre page dédiée à la mise en conformité RGPD.
Illustration pratique – Paris, printemps 2026
Nous avons accompagné une société de services numériques parisienne, lors d'un contrôle sur dossier initié par la CNIL au premier trimestre 2026, dans la consolidation de son registre des traitements, la formalisation de ses contrats de sous-traitance avec ses hébergeurs et la préparation de la réponse aux questionnaires de l'autorité. La démarche anticipée a permis d'apporter à la CNIL les éléments de conformité attendus dans les délais impartis.
Procédure de contrôle : comment se déroule une instruction de la CNIL ?
La procédure de contrôle de la CNIL se déroule en plusieurs phases distinctes, chacune créant des obligations procédurales pour l'entreprise contrôlée. Comprendre ce déroulement permet d'organiser une réponse efficace dès la première demande de l'autorité.
La phase de contrôle peut prendre quatre formes : contrôle sur place, contrôle sur convocation, contrôle en ligne ou contrôle sur pièces (à distance, sur la base de documents transmis). Dans notre pratique, nous observons une multiplication des contrôles sur pièces et en ligne depuis plusieurs années, ce qui signifie qu'une entreprise peut être contrôlée sans aucun déplacement d'agents – et donc sans signal d'alerte préalable.
À l'issue du contrôle, les agents dressent un procès-verbal remis à l'entreprise. Si des manquements sont identifiés, la direction des affaires juridiques de la CNIL peut ouvrir une instruction et transmettre le dossier à la formation restreinte. Cette dernière est l'organe délibérant chargé de prononcer les sanctions : elle dispose de pouvoirs étendus, incluant l'injonction de mise en conformité assortie d'une astreinte journalière et la publication de la décision, dite « name and shame ».
La publicité de la décision est un élément d'exposition considérable pour les entreprises : même en l'absence de sanction pécuniaire maximale, la publication du nom de la société et du manquement constaté produit des effets réputationnels qui dépassent largement le cadre du droit des données.
Si votre entreprise a déjà reçu un questionnaire ou une demande de la CNIL, ou si une démarche de mise en conformité antérieure n'a pas abouti à un programme documenté, un second regard juridique permet d'identifier les risques résiduels avant que l'instruction ne progresse. Contactez-nous à contact@vernaylestang.com.
Matrice de décision : quel niveau de priorité accorder à votre programme de conformité ?
L'exposition d'une entreprise au risque de sanction CNIL varie selon sa situation. La matrice ci-dessous permet à la direction et à la DSI d'identifier la bonne séquence d'actions.
Situation A – Absence ou vétusté du registre des traitements → Obligation prioritaire : reconstruction du registre, qualification des traitements, identification des sous-traitants → Délai de régularisation : à engager sans délai, aucune période de grâce reconnue par la CNIL → Niveau d'exposition : élevé, car le registre est le premier document demandé en contrôle.
Situation B – Contrats de sous-traitance informatique non conformes → Obligation prioritaire : revue des clauses de l'article 28 RGPD dans tous les contrats liant la société à ses prestataires de traitement → Délai de régularisation : lors des prochains renouvellements contractuels au minimum, immédiatement pour les contrats à renouveler prochainement → Niveau d'exposition : moyen à élevé selon le volume et la sensibilité des données traitées.
Situation C – Absence de procédure de gestion des violations de données → Obligation prioritaire : formalisation d'un protocole interne de détection, d'analyse et de notification → Délai de régularisation : le délai de notification à la CNIL court dès la prise de connaissance de la violation ; sans procédure, le délai est systématiquement dépassé → Niveau d'exposition : élevé, facteur aggravant reconnu par la formation restreinte.
Situation D – Programme de conformité documenté et maintenu à jour → Obligation de maintenance : actualisation périodique, sensibilisation des collaborateurs, revue annuelle des analyses d'impact → Niveau d'exposition : résiduel, maîtrisable par une veille régulière → Action recommandée : audit de robustesse par un regard extérieur tous les deux à trois ans.
Check-list « ce qu'il faut préparer »
- Registre des traitements à jour, signé par le responsable de traitement ou le DPO désigné.
- Contrats de sous-traitance révisés pour intégrer les clauses obligatoires du RGPD et les instructions documentées au sous-traitant.
- Protocole interne de gestion des violations de données, avec identification des destinataires internes et du délai de notification.
- Politique de transferts hors UE : identification des flux, base juridique retenue, évaluation d'impact documentée.
- Formation de sensibilisation des collaborateurs exposés (accès aux données, gestion des demandes d'exercice de droits).
Quelles idées reçues ralentissent la mise en conformité des ETI et des PME ?
Plusieurs idées reçues persistent dans les directions générales et les DSI, qui retardent l'engagement d'un programme sérieux de conformité RGPD et augmentent l'exposition au risque de sanction.
La première est que « la CNIL ne contrôle que les grandes entreprises ». Cette perception est inexacte. La CNIL dispose d'une compétence sans seuil de taille et ses contrôles thématiques ciblent régulièrement des structures de taille moyenne, notamment dans les secteurs de la santé, du commerce électronique, des ressources humaines et des services numériques. La publication des décisions de la formation restreinte montre une diversité de profils d'entreprises sanctionnées.
La deuxième idée reçue est que « la désignation d'un DPO suffit à écarter le risque ». Le délégué à la protection des données – DPO – est un élément du programme de conformité, non un bouclier. Sa désignation ne transfère pas la responsabilité du responsable de traitement. En cas de manquement, c'est bien la société qui est sanctionnée, non le DPO. Un DPO sans ressources, sans accès aux décisions et sans autorité réelle sur les traitements ne satisfait pas aux exigences du RGPD.
La troisième est que « les contrats informatiques en cours sont conformes parce qu'ils ont été signés après 2018 ». La signature postérieure à l'entrée en application du RGPD ne garantit pas la conformité des clauses. Nous observons régulièrement, dans notre pratique des contrats informatiques, des clauses de traitement qui ne satisfont pas aux exigences de l'article 28 du Règlement, notamment sur les instructions documentées, les audits du sous-traitant et les conditions de retour des données.
Pour une vue d'ensemble des contrôles en cours et des secteurs prioritaires, consultez également notre note sur l'évolution des sanctions CNIL : qui est concerné et que faire.
Illustration pratique – Lyon, automne 2025
Nous avons accompagné une ETI industrielle lyonnaise dans la revue de l'ensemble de ses contrats de sous-traitance informatique – incluant des prestataires SaaS établis hors de l'Union européenne – à la suite de la réception d'un questionnaire de la CNIL dans le cadre d'un contrôle thématique sectoriel. La revue a permis d'identifier plusieurs clauses non conformes aux obligations de l'article 28 du RGPD et d'engager les avenants nécessaires avant la phase d'instruction.
Domaines liés
- Mise en conformité RGPD – accompagnement opérationnel de votre programme de protection des données
- Contrôle des concentrations – seuils, notification et cadre juridique applicable aux opérations
Questions fréquentes sur l'évolution des sanctions de la CNIL en matière de RGPD
1. Quelles démarches engager en priorité ?
Les démarches prioritaires sont la mise à jour du registre des traitements, la vérification de la conformité des contrats de sous-traitance et la formalisation d'un protocole interne de gestion des violations de données. Ces trois éléments constituent les points de contrôle systématiques de la CNIL lors de tout contrôle sur pièces ou sur place. En l'absence de l'un d'eux, la société est exposée à une mise en demeure, indépendamment de la taille ou du secteur. Un audit juridique préalable permet de hiérarchiser les actions selon l'exposition réelle de l'organisation.
2. Quels documents ou process mettre à jour ?
Les documents à mettre à jour en priorité incluent le registre des traitements, les analyses d'impact relatives à la protection des données pour les traitements à risque élevé, les contrats conclus avec les sous-traitants au sens du RGPD, la politique interne de gestion des violations de données et les mentions d'information délivrées aux personnes concernées. Les processus à formaliser portent sur la réception et le traitement des demandes d'exercice de droits, la détection et l'escalade des incidents de sécurité, et la revue périodique des bases juridiques des traitements. Ces obligations sont rattachées au principe d'accountability du Règlement (UE) 2016/679 et de la Loi Informatique et Libertés.
3. Qui est concerné par l'évolution des sanctions de la CNIL en matière de RGPD ?
Sont concernés tous les responsables de traitement et sous-traitants au sens du RGPD qui traitent des données à caractère personnel de personnes résidant dans l'Union européenne, qu'ils soient établis en France ou à l'étranger. L'évolution de la doctrine de contrôle affecte en particulier les ETI et les PME des secteurs numérique, santé, ressources humaines et commerce en ligne, ainsi que les sous-traitants informatiques – hébergeurs, éditeurs SaaS, intégrateurs – qui agissent pour le compte de responsables de traitement. Les obligations et conformité s'imposent sans seuil de taille.
4. Quels sont les pouvoirs de sanction de la CNIL et comment sont-ils mis en œuvre ?
La CNIL dispose de pouvoirs de correction, de sanctions pécuniaires et de mesures provisoires, fondés sur le Règlement (UE) 2016/679 et la Loi Informatique et Libertés. Elle peut prononcer des avertissements, des mises en demeure, des injonctions assorties d'astreintes, des amendes administratives plafonnées selon le niveau du manquement et ordonner la limitation ou l'interdiction temporaire d'un traitement. La formation restreinte, organe délibérant distinct des services d'instruction, délibère sur le prononcé des sanctions. La publicité des décisions – le « name and shame » – constitue une mesure autonome aux effets réputationnels significatifs, indépendamment de l'amende prononcée.
5. Comment les contrats informatiques doivent-ils être adaptés pour répondre aux obligations et conformité RGPD ?
Les contrats informatiques liant un responsable de traitement à un prestataire qui traite des données pour son compte doivent inclure les clauses obligatoires définies par le Règlement (UE) 2016/679 – notamment les instructions documentées au sous-traitant, les mesures de sécurité, les conditions de recours à des sous-traitants ultérieurs, les modalités d'audit et les dispositions relatives au retour ou à la destruction des données en fin de contrat. Un contrat qui ne satisfait pas à ces exigences expose à la fois le responsable de traitement et le sous-traitant à des sanctions. La revue des contrats informatiques en cours est une obligation de maintenance continue, non un exercice ponctuel de mise en conformité.
Vernay & Lestang – Avocats d'affaires · Paris
Notre équipe Propriété intellectuelle, numérique et données conseille les directions juridiques, les DSI et les directions générales d'ETI et de groupes sur l'ensemble des enjeux de conformité au titre du RGPD et de la Loi Informatique et Libertés : cartographie des traitements, revue des contrats informatiques, gestion des contrôles CNIL et structuration des programmes de protection des données à caractère personnel. Nous intervenons également dans les contentieux liés aux violations de données et aux manquements constatés par les autorités de contrôle.
Nos honoraires sont définis après analyse du dossier. Pour un premier avis sur votre programme de conformité ou sur une procédure en cours, adressez-nous un message à contact@vernaylestang.com.
Avertissement : cette publication a une vocation purement informative et ne constitue pas un conseil juridique. Elle ne saurait se substituer à une analyse adaptée à votre situation. Pour un avis sur votre dossier, écrivez-nous à contact@vernaylestang.com.
Florence Delcourt
Analyste juridique au sein de Vernay & Lestang, Florence Delcourt traite les dossiers de propriété intellectuelle, de droit du numérique, de protection des données à caractère personnel et de conformité. Voir le profil
Publié le 3 juin 2026
Parlons de votre situation
Pour une première analyse, écrivez-nous à info@vernaylestang.com.
Ce contenu est une information générale et ne constitue pas un conseil juridique. Pour une analyse de votre situation, contactez info@vernaylestang.com.