Vingt-trois sanctions en six mois, pour 133 750 euros d’amendes. Aucun géant du numérique dans la liste : des TPE, des cabinets d’avocats, des cabinets médicaux. Et en examinant ces décisions annoncées par la CNIL le 6 juillet 2026, un détail saute aux yeux : dans la plupart des dossiers, ce n’est pas la faute initiale qui a coûté le plus cher. C’est ce qui s’est passé après.
Qui la CNIL sanctionne-t-elle vraiment en 2026 ?
Le grand public retient les amendes record, comme les 42 millions d’euros infligés à Free et Free Mobile pour une violation de données. Mais la réalité statistique est ailleurs : depuis janvier, la formation restreinte de la CNIL a rendu 23 décisions en procédure simplifiée, ciblant presque exclusivement des petites structures. Dix-neuf de ces vingt-trois procédures sont nées d’une plainte. Autrement dit, le contrôle ne tombe pas du ciel : il commence par un salarié filmé qui ne l’accepte plus, un client dont la demande d’effacement reste sans réponse, un internaute agacé par un bandeau cookies impossible à refuser.
Qu’est-ce que la procédure simplifiée, et pourquoi elle change tout ?
Créée pour désengorger la formation restreinte, la procédure simplifiée permet de sanctionner rapidement les dossiers sans difficulté particulière : un président statue seul, l’amende est plafonnée à 20 000 euros et la décision n’est pas rendue publique avec le nom de l’organisme. Ce plafond rassure à tort. Pour un cabinet de cinq personnes, 10 000 euros représentent souvent la marge d’un trimestre. Et l’absence de publicité ne protège pas du plaignant, qui, lui, sait très bien qui il a fait sanctionner.
Quels manquements reviennent dans les 23 décisions ?
| Manquement | Situation type | Ce que la CNIL attend |
|---|---|---|
| Vidéosurveillance des salariés | Caméra filmant un poste de travail en continu | Pas de surveillance permanente, information affichée, zones limitées |
| Cookies et traceurs | Dépôt avant consentement, refus plus difficile que l’acceptation | Refuser aussi simplement qu’accepter |
| Droits des personnes | Demande d’accès ou d’effacement restée sans réponse | Une réponse dans le délai d’un mois, traçable |
| Silence face à la CNIL | Courriers de l’autorité ignorés pendant l’instruction | Répondre systématiquement, même pour demander un délai |
La dernière ligne est la plus instructive. Des avocats et des médecins ont été sanctionnés non pas pour le manquement d’origine, mais pour n’avoir jamais répondu à la CNIL. Le silence est un manquement autonome, prévu par l’article 31 du RGPD, et c’est lui qui transforme un dossier banal en sanction.
Comment une petite structure se met-elle à l’abri ?
Le point de départ est toujours le même : savoir qui reçoit les demandes. Dans la plupart des dossiers sanctionnés, la demande d’accès est arrivée dans une boîte mail générique ou chez un salarié absent, et le délai d’un mois s’est écoulé sans que personne ne s’en aperçoive. Tenir un registre des demandes, avec la date de réception et la date de réponse, suffit à prouver sa bonne foi même quand on répond avec quelques jours de retard.
C’est précisément le travail que le module droits des personnes de DPO SUITE automatise : chaque demande est horodatée à la réception, le compte à rebours du délai d’un mois se déclenche seul et l’historique des réponses constitue la preuve en cas de contrôle. Découvrir le module.
Vient ensuite l’audit des deux points chauds : les caméras (angles, information, durée de conservation) et le bandeau cookies (le refus en un clic). Une demi-journée suffit pour les deux, et ce sont les deux premiers réflexes d’un plaignant. Et si le contrôle arrive malgré tout, mieux vaut savoir comment se déroule un contrôle CNIL avant d’y être.
FAQ
Une entreprise de moins de 10 salariés peut-elle être sanctionnée ?
Oui. La procédure simplifiée vise précisément les dossiers modestes, et les décisions de 2026 concernent surtout des TPE, des professions libérales et des cabinets médicaux. La taille ne confère aucune immunité.
Que faire si la CNIL vous écrit ?
Répondre, toujours, dans le délai indiqué. Si vous avez besoin de temps, demandez un délai par écrit. L’absence de réponse constitue un manquement en soi et aggrave systématiquement le dossier initial.
Une sanction en procédure simplifiée est-elle publique ?
Non, elle n’est pas publiée avec le nom de l’organisme. Mais le plaignant est informé de la suite donnée, et l’amende, jusqu’à 20 000 euros, reste due.
Quel est le délai pour répondre à une demande de droits ?
Un mois à compter de la réception, quel que soit le canal d’arrivée, prolongeable de deux mois pour les demandes complexes à condition d’en informer la personne dans le premier mois.
Source : les sanctions prononcées par la CNIL.
