Un contrôle CNIL peut se dérouler sur place, sur pièces, sur audition ou en ligne, auprès de tout organisme public ou privé. Il fait suite à une plainte, à un signalement, à l’actualité ou à une thématique prioritaire choisie chaque année.
Ces thématiques ne représentent qu’environ 20 % des contrôles. Ainsi, la plupart des organismes contrôlés le sont après une plainte ou un signalement.
La Commission nationale Informatique et Libertés (CNIL) effectue des contrôles sur des thématiques qu’elle choisit. Cette année, la CNIL a choisi de se concentrer sur la prospection commerciale, les outils de surveillance du télétravail et les services de cloud. Ces contrôles sont appréhendés avec une certaine crainte par de nombreuses entreprises.
Depuis la mise en place du règlement général sur la protection des données (RGPD) en 2018, la Commission nationale Informatique et Libertés (CNIL) sanctionne les organisations qui ne respectent pas les exigences du RGPD. Les contrôles de la CNIL portent sur quatre domaines :
- un contrôle en ligne des éléments visibles d’un organisme,
- un contrôle à demeure dans l’entreprise qui traite les données ou chez un sous-traitant,
- une audition sur convocation des représentants d’un organisme,
- et un contrôle sur pièces via un questionnaire adressé à l’organisme.
Il est conseillé aux entreprises auditées de rassembler les documents qui démontrent leur conformité au RGPD et de sensibiliser les collaborateurs qui peuvent être impliqués dans un contrôle.
DPO Partagé
Un délégué à la protection des données (DPO) peut aider une entreprise lors d’un contrôle de la Commission nationale Informatique et Libertés (CNIL) en anticipant ce type de contrôle et en préparant l’entreprise à y répondre de manière efficace. Un DPO expérimenté, comme ceux que l’on trouve dans une société de DPO partagé, peut accompagner les clients lors des contrôles de la CNIL et les aider à se préparer à ces contrôles en identifiant les domaines à risque et en s’assurant que les procédures et les documents nécessaires sont en place pour gérer le contrôle de manière efficace. Une mission bien préparée est toujours préférable à une action dans l’urgence en cas de contrôle de la CNIL.
Contacter DPO PARTAGE au 01 83 64 42 98 pour toutes vos questions ou le Formulaire de contact
Contrôle CNIL : les suites possibles
Après un contrôle, le dossier peut être clôturé. En cas de manquement, le président de la CNIL peut adresser une mise en demeure, qui ne constitue pas une sanction. Sinon, la formation restreinte peut prononcer des mesures ou des sanctions, financières ou non.
Les thèmes de 2026 donnent une indication utile. Par exemple, pour le recrutement, la CNIL vérifiera la décision automatisée, l’information des candidats et les durées de conservation, surtout chez les grandes entreprises et les cabinets de recrutement. Préparez donc ces trois points en priorité si vous recrutez beaucoup.
- D’abord, tenez votre registre des traitements à jour.
- Ensuite, rassemblez les preuves : contrats de sous-traitance, analyses d’impact, procédures de violation.
- Enfin, désignez la personne qui reçoit les contrôleurs et répond à leurs questions.
Pour les montants et la procédure de sanction, consultez notre page sur les sanctions RGPD de la CNIL. Pour faire le point avant un contrôle, notre audit RGPD détaille la méthode.
Sources
Formes du contrôle, mise en demeure et sanctions : Le contrôle de la CNIL, CNIL.
Thématiques 2026 et part de 20 % des contrôles : Les contrôles en 2026 : recrutement, répertoire électoral unique et fédérations sportives, CNIL.
Questions fréquentes
Comment se passe un contrôle de la CNIL ?
Quels sont les thèmes de contrôle de la CNIL en 2026 ?
Une mise en demeure de la CNIL est-elle une sanction ?
Qui peut être contrôlé par la CNIL ?
Comments 1