En une phrase. La CNIL a réalisé 340 contrôles en 2024 (rapport annuel 2024) selon quatre modalités : sur place (visite physique), sur pièces (documents demandés à distance), en ligne (navigation automatisée d’un site web), et sur audition (convocation dans les locaux de la CNIL). Tout responsable de traitement peut faire l’objet d’un contrôle, sans préavis. La procédure peut conduire à une mise en demeure (340 en 2024) ou à une sanction (87 en 2024, pour un total de 89 millions d’euros). Connaître ses droits et obligations en cours d’inspection est déterminant.
Les thématiques prioritaires CNIL 2024-2025 sont : sécurité des données de santé, applications mobiles, mineurs en ligne, intelligence artificielle, programmes de fidélité. L’entreprise contrôlée a le droit d’être assistée par un conseil, de demander la communication des constats, et de contester. Elle a l’obligation de coopérer (article 19 LIL) — l’obstruction est sanctionnée pénalement.
Points clés
- 4 types de contrôles : sur place, sur pièces, en ligne, sur audition.
- 340 contrôles en 2024 et 87 sanctions pour 89 M€ cumulés.
- Pas de préavis pour le contrôle sur place — sauf cas exceptionnels.
- Droits : assistance d’un conseil, communication des constats, observations.
- Obligations : coopérer, fournir tous les documents demandés, ne pas faire obstacle.
1. Bases légales du contrôle CNIL
- Articles 19 à 22 LIL : pouvoirs d’enquête et de contrôle
- Article 58 RGPD : pouvoirs d’investigation des autorités de contrôle
- Décret n° 2019-536 du 29 mai 2019 : procédure de contrôle
- Règlement intérieur CNIL : modalités pratiques
Le contrôle est confié à des agents habilités de la CNIL, qui peuvent être assistés d’experts.
2. Les 4 types de contrôles
| Type | Description | Volume 2024 |
|---|---|---|
| Sur place | Visite physique, sans préavis | ~130 |
| Sur pièces | Demande écrite de documents | ~80 |
| En ligne | Navigation automatisée (cookies, mentions) | ~110 |
| Sur audition | Convocation des dirigeants/DPO à la CNIL | ~20 |
Le contrôle en ligne s’est imposé pour les cookies, dark patterns, applications mobiles.
3. Sélection des cibles
La CNIL choisit ses cibles selon :
- Programme annuel publié (thématiques prioritaires)
- Plaintes reçues (10 000+ par an depuis 2020)
- Notifications de violation suggérant un dysfonctionnement
- Articles de presse révélant des manquements
- Signalement par d’autres autorités (CSA-Arcom, AMF, ANSSI)
- Décision politique suite à un scandale public
En 2024, environ 60 % des contrôles font suite à une plainte ou un signalement, 40 % au programme thématique.
4. Le contrôle sur place : déroulé
Étapes typiques :
- Arrivée des inspecteurs (généralement 2-4 personnes, sans préavis)
- Présentation des mandats et de la décision du Président de la CNIL
- Réunion d’ouverture : présentation du périmètre, désignation des interlocuteurs
- Demande des documents : registre, AIPD, contrats sous-traitants, politiques, journaux d’accès
- Entretiens avec DPO, DSI, métiers
- Inspection technique éventuelle : postes de travail, serveurs, applications
- Réunion de clôture : restitution orale des constats principaux
- Procès-verbal de contrôle signé sur place ou envoyé sous 8 jours
Durée typique : 1 à 5 jours selon la taille et la complexité.
5. Droits du responsable contrôlé
- Présence d’un avocat ou conseil (article 19 LIL)
- Demande de copie des documents emportés
- Refus d’accès à des locaux à usage privé (sauf autorisation du juge des libertés)
- Communication du PV de contrôle
- Observations écrites dans un délai imparti (généralement 1 mois)
- Accès au dossier en phase contentieuse
6. Obligations du responsable contrôlé
- Coopérer avec les agents (article 19 LIL)
- Fournir les documents demandés (papier ou numérique)
- Autoriser l’accès aux locaux professionnels en heures ouvrables
- Ne pas faire obstacle (sanction pénale : 1 an d’emprisonnement, 15 000 € — article 226-22-2 Code pénal)
- Ne pas alerter les personnes susceptibles d’être concernées (obstacle à l’enquête)
7. Documents systématiquement demandés
Top 12 des documents à préparer — la checklist de préparation à un contrôle CNIL en détaille la constitution :
- Registre des traitements
- Politique de confidentialité (toutes versions)
- AIPD (toutes)
- Contrats sous-traitants (DPA)
- Procédure droits des personnes (formulaires + journal)
- Registre des violations
- Désignation et lettre de mission du DPO
- Politiques internes (sécurité, charte IT)
- PSSI et plan de continuité
- Politique de mots de passe et journalisation des accès
- Mentions d’information sur formulaires
- Bandeau cookies et preuves de consentement
Tout document non remis = manquement aggravant.
8. Suites du contrôle
Trois issues possibles :
Classement sans suite
Conformité satisfaisante, ou manquements mineurs corrigés. ~30 % des contrôles.
Mise en demeure
Notification de manquements avec délai pour se mettre en conformité (1 à 6 mois généralement). 340 mises en demeure en 2024. Non-respect = sanction.
Sanction (procédure formelle)
Procédure devant la formation restreinte de la CNIL (5 membres). Audition contradictoire, décision motivée. 87 sanctions en 2024.
9. Types de sanctions CNIL
| Sanction | Texte | Exemple |
|---|---|---|
| Avertissement | Art. 20 III LIL | Manquement de moindre gravité |
| Mise en demeure | Art. 20 II LIL | Avec délai de mise en conformité |
| Amende administrative | Art. 20 III LIL | Jusqu’à 20 M€ ou 4% CA mondial |
| Injonction | Art. 20 III LIL | Cesser ou modifier un traitement |
| Suspension de flux | Art. 20 III LIL | Vers pays tiers notamment |
| Publication | Art. 20 III LIL | Sur site CNIL + JO + presse |
10. Sanctions CNIL marquantes 2024-2025
| Date | Entité | Montant | Motif |
|---|---|---|---|
| Sept. 2024 | Cdiscount | 1 500 000 € | Cookies, sécurité |
| Mai 2024 | Plateforme paris en ligne | 5 000 000 € | Sécurité défaillante |
| 2024 | Société de recouvrement | 600 000 € | Information, conservation |
| Janv. 2025 | Délibération multi-acteurs | Cumul 4 M€ | Marketing direct |
| 2025 | Acteur santé majeur | 2 000 000 € | Sécurité, sous-traitance |
Le rapport annuel 2024 mentionne 89 M€ de sanctions, en baisse par rapport à 2023 (sans Amazon/Google), mais en hausse en nombre.
11. Préparation à un contrôle CNIL
Check-list immédiate :
- [ ] Registre des traitements à jour < 12 mois
- [ ] AIPD réalisées pour traitements à risque
- [ ] Contrats sous-traitants signés (DPA conformes article 28)
- [ ] Politique de confidentialité actualisée
- [ ] Procédure droits des personnes documentée
- [ ] Registre des violations même si vide
- [ ] DPO formé et opérationnel (lettre de mission)
- [ ] PSSI à jour
- [ ] Bandeau cookies conforme aux lignes directrices 2020
- [ ] Audit RGPD < 24 mois
- [ ] Plan de réponse à un contrôle (qui fait quoi, contacts)
12. Que faire si un contrôle commence demain ?
Réflexes immédiats :
- Prévenir la direction et le DPO
- Convoquer l’avocat spécialisé RGPD si disponible
- Identifier le mandat et le périmètre exact
- Mobiliser DSI, RH, métiers concernés
- Préparer le registre et les pièces clés (sortie papier ou clé USB)
- Désigner UN interlocuteur principal pour les inspecteurs
- Documenter le déroulé (note interne en parallèle)
- Refuser de signer un PV non conforme à ce qui s’est dit (mention “sous réserve”)
- Demander copie des documents emportés
- Préparer les observations écrites sous le délai imparti
FAQ
La CNIL peut-elle débarquer sans préavis ?
Oui pour le contrôle sur place. Le décret du 29 mai 2019 prévoit l’absence de préavis sauf cas exceptionnels. La visite a lieu pendant les heures ouvrables. Les agents présentent leur mandat à l’arrivée.
Combien de temps dure un contrôle CNIL ?
Sur place : 1 à 5 jours selon la complexité. Sur pièces : 2 semaines à 3 mois entre la demande et la fourniture. Procédure complète (du contrôle à la décision/sanction) : 12 à 24 mois en moyenne.
Puis-je refuser un contrôle CNIL ?
Non. L’article 19 LIL impose la coopération. Refuser l’accès, ne pas fournir les documents demandés, ou alerter des tiers susceptibles d’être concernés constitue un délit pénal (1 an d’emprisonnement, 15 000 € — article 226-22-2 Code pénal). Le contrôle peut toutefois être encadré (vie privée, secret professionnel).
Quelle est la sanction maximale CNIL ?
20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu (article 83 §5 RGPD). En pratique : 150 M€ Google (2021), 60 M€ Facebook (2021), 50 M€ Google (2019), 35 M€ Amazon Europe Core (2022), 32 M€ Spotify via DPC (2023).
Ai-je le droit à un avocat pendant le contrôle ?
Oui. L’article 19 LIL prévoit explicitement la possibilité d’être assisté par un avocat ou un conseil pendant les opérations de contrôle. Cette assistance est fortement recommandée pour les contrôles sur place. L’avocat peut faire mentionner ses observations au PV.