Sanctions de la CNIL : barème, montants et pouvoirs

Un courrier de la CNIL, une plainte d'un ancien salarié, un contrôle inopiné : la question qui revient toujours chez les dirigeants est la même. Que risque-t-on vraiment ? Les sanctions de la CNIL font peur, souvent à cause de montants relayés sans contexte, et cette peur pousse soit à l'inaction, soit à des dépenses mal ciblées.

Cet article pose les faits. Il explique le barème légal des amendes, les autres sanctions que la CNIL peut prononcer, la façon dont elle décide, et les leviers concrets pour réduire votre risque. Sans dramatiser, sans chiffre inventé. Si le RGPD lui-même reste flou pour vous, commencez par notre article RGPD, c'est quoi ? avant de revenir ici.

Définition — Une sanction de la CNIL est une mesure prononcée par la Commission nationale de l'informatique et des libertés contre un organisme qui ne respecte pas le RGPD ou la loi Informatique et Libertés. Elle prend la forme d'une amende administrative ou d'une mesure correctrice, comme une mise en demeure, une injonction ou une limitation de traitement.

Points clés

• La CNIL dispose de plusieurs pouvoirs : l'amende n'est qu'un outil parmi d'autres.
• Le barème légal fixe deux plafonds : 10 M€ ou 2 % du chiffre d'affaires pour les manquements les moins graves, 20 M€ ou 4 % pour les plus graves.
• La grande majorité des dossiers se règlent par une mise en demeure ou un rappel à l'ordre, pas par une amende maximale.
• Le montant d'une sanction dépend de critères précis : gravité, durée, coopération et mesures déjà mises en place.
• Une démarche de conformité documentée est le meilleur moyen de réduire le risque et son coût potentiel.

Le barème légal des amendes de la CNIL

Le barème des sanctions de la CNIL est fixé par l'article 83 du RGPD, qui prévoit deux plafonds selon la nature du manquement. C'est le seul repère chiffré fiable : tout le reste dépend du dossier.

Type de manquement	Plafond de l'amende
Manquements les moins graves (registre, sécurité, notification de violation)	Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial
Manquements les plus graves (principes de base, consentement, droits des personnes, transferts)	Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial

Pour chaque plafond, c'est le montant le plus élevé entre la valeur fixe et le pourcentage qui s'applique. Le pourcentage se calcule sur le chiffre d'affaires mondial du groupe, ce qui explique les montants très élevés visant certaines grandes entreprises.

Ces plafonds sont des maximums, pas des tarifs. Ils marquent la limite que la CNIL ne peut pas dépasser, mais une part importante des décisions aboutit à des montants bien inférieurs, voire à aucune amende. Poser correctement les bases avec une mise en conformité RGPD priorisée par les risques reste la meilleure protection contre le haut du barème.

Bon à savoir — Le chiffre de 20 millions d'euros circule beaucoup, mais il correspond au plafond réservé aux manquements les plus graves des plus grandes structures. Pour une PME, l'ordre de grandeur d'une sanction financière est en pratique sans commune mesure avec ce plafond théorique.

Les autres sanctions que la CNIL peut prononcer

L'amende n'est qu'une partie de l'arsenal. La CNIL dispose de mesures correctrices qu'elle utilise beaucoup plus souvent, selon la gravité et la bonne foi de l'organisme. Voici les principales, de la plus légère à la plus lourde :

• Le rappel à l'ordre : un avertissement officiel, sans autre conséquence immédiate, pour un manquement de faible gravité.
• La mise en demeure : une demande formelle de corriger un ou plusieurs points dans un délai fixé. Ce n'est pas encore une sanction, mais un signal fort.
• L'injonction de mise en conformité : l'ordre de se conformer, parfois assorti d'une astreinte financière par jour de retard.
• La limitation ou l'interdiction d'un traitement : la CNIL peut geler ou faire cesser un traitement non conforme.
• La publicité de la décision : certaines sanctions sont rendues publiques, avec un effet direct sur la réputation.

Ces mesures peuvent se cumuler : une décision peut associer une amende, une injonction sous astreinte et la publication de la sanction. À l'inverse, un dossier traité de bonne foi se termine souvent par une simple mise en demeure, sans suite si les corrections sont apportées.

Attention — La publicité d'une décision pèse souvent plus lourd que l'amende elle-même. Une sanction rendue publique circule dans la presse et chez vos partenaires. Pour une TPE ou une PME, cette exposition peut coûter plus cher qu'un montant financier. Notre guide RGPD pour les TPE et PME : par où commencer aide à sécuriser les points les plus visibles en premier.

Comment la CNIL décide du montant

La CNIL ne fixe pas ses sanctions au hasard. L'article 83 du RGPD liste les critères qu'elle doit prendre en compte, ce qui rend sa décision en partie prévisible. Comprendre ces critères, c'est savoir où agir pour faire baisser le risque.

Parmi les éléments pesés lors de l'examen d'un dossier :

• La gravité du manquement : nature des données, nombre de personnes touchées, dommage causé.
• Le caractère intentionnel ou négligent : une erreur de bonne foi n'est pas traitée comme une violation délibérée.
• Les mesures prises pour limiter le dommage : réaction rapide, correction, information des personnes.
• Le degré de coopération avec la CNIL : transparence pendant le contrôle, réponses aux demandes.
• Les mesures de conformité déjà en place : registre, analyses d'impact, sécurité, gouvernance.

Autrement dit, deux organismes ayant commis un manquement comparable peuvent être traités très différemment selon leur attitude et leur préparation. Une analyse d'impact sur la protection des données menée en amont d'un traitement sensible démontre une démarche sérieuse, ce qui joue en votre faveur.

Conseil — Le meilleur moment pour construire votre défense, c'est avant tout contrôle. Un dossier de conformité tenu à jour montre votre bonne foi et pèse directement sur la décision. Pour savoir où vous en êtes réellement, prenez contact : un premier échange suffit souvent à situer votre niveau de risque.

Que risque-t-on vraiment au-delà de l'amende

Se focaliser sur le montant maximal fait passer à côté des risques les plus fréquents. Pour beaucoup d'organisations, la sanction financière n'est ni le scénario le plus probable, ni le plus coûteux.

Le premier risque est la perte de confiance. Une fuite de données mal gérée ou une décision publique abîme la relation avec vos clients et vos partenaires. Dans un appel d'offres, un incident RGPD non traité peut suffire à vous écarter.

Le deuxième risque est opérationnel. Une injonction de cesser un traitement peut désorganiser une activité entière si ce traitement est au cœur de votre modèle. Devoir arrêter une prospection ou un service dans l'urgence coûte du temps et de l'argent.

Le troisième risque est le contentieux. Au-delà de la CNIL, les personnes concernées peuvent demander réparation d'un préjudice devant les tribunaux. La sanction administrative et l'action civile sont deux voies distinctes qui peuvent se cumuler.

Comment réduire le risque de sanction

Réduire son risque ne veut pas dire viser une conformité parfaite du jour au lendemain, mais traiter en priorité ce qui expose le plus, puis entretenir la démarche dans la durée.

Quelques leviers ordonnés par efficacité :

1. Cartographier vos traitements et vérifier que chacun a une finalité claire et une base légale.
2. Sécuriser les données et encadrer les accès, car les défauts de sécurité sont un motif fréquent de plainte.
3. Organiser la réponse aux droits des personnes, dont l'ignorance déclenche beaucoup de saisines.
4. Documenter vos efforts, car une trace écrite de votre démarche pèse lors d'un contrôle.
5. Ancrer la conformité dans vos process pour qu'elle survive au départ d'une personne ou à un nouveau projet.

Selon votre taille, désigner un DPO externe permet de tenir cet effort sans mobiliser une ressource interne à plein temps. Intégrer le réflexe privacy by design dès la conception évite de corriger dans l'urgence. Et si vous utilisez de l'intelligence artificielle, la conformité à l'AI Act vient s'ajouter au RGPD, avec son propre régime de sanctions. Le socle commun reste une mise en conformité RGPD menée par étapes.

Conseil — Une conformité réaliste, priorisée par les risques, protège mieux qu'un projet parfait jamais terminé. C'est l'approche que nous appliquons chez le cabinet mydari avec nos clients. Si vous voulez cadrer votre plan d'action, prenez contact : nous partons de votre risque réel, pas d'une checklist générique.

FAQ

Quel est le montant maximum d'une amende de la CNIL ?

Le plafond le plus élevé est de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu. Il vise les manquements les plus graves. Un second plafond, de 10 millions d'euros ou 2 %, s'applique aux manquements moins graves. Ce sont des maximums, pas des tarifs systématiques.

La CNIL sanctionne-t-elle les petites entreprises ?

Oui, aucune structure n'est à l'abri, et les contrôles font souvent suite à une plainte d'un client ou d'un ancien salarié. En pratique, les petites structures de bonne foi sont plus souvent mises en demeure de corriger que lourdement sanctionnées.

Quelle différence entre une mise en demeure et une sanction ?

Une mise en demeure n'est pas une sanction : c'est une demande formelle de corriger des manquements dans un délai fixé. Si vous vous conformez à temps, l'affaire s'arrête souvent là, sans suite. La sanction intervient plus tard, si la mise en demeure reste sans effet ou si le manquement est grave.

Les sanctions de la CNIL sont-elles rendues publiques ?

Certaines le sont, d'autres non. La CNIL peut décider de rendre une décision publique, notamment pour les manquements graves ou à visée pédagogique. Cette publicité a un effet direct sur la réputation, souvent plus lourd que le montant financier. Les décisions publiées sont consultables sur le site de la CNIL.

Peut-on contester une sanction de la CNIL ?

Oui. Une décision de sanction de la CNIL peut faire l'objet d'un recours devant le Conseil d'État, juge compétent pour ces décisions, dans les délais légaux. Se faire accompagner par un conseil spécialisé est recommandé pour préparer ce type de procédure.

La coopération avec la CNIL réduit-elle la sanction ?

Oui, le degré de coopération fait partie des critères pris en compte par l'article 83 du RGPD. Une attitude transparente pendant le contrôle, des réponses rapides et des corrections apportées jouent en votre faveur. À l'inverse, la rétention d'information ou la mauvaise foi alourdissent l'appréciation du dossier.

Une amende est-elle systématique en cas de manquement ?

Non. La CNIL privilégie souvent l'accompagnement avant l'amende, surtout pour les organismes de bonne foi engagés dans une démarche. Un manquement peut se solder par un rappel à l'ordre, une mise en demeure ou une injonction. L'amende reste réservée aux cas les plus sérieux ou aux refus de se corriger.

Conclusion

Les sanctions de la CNIL couvrent un éventail bien plus large que la seule amende maximale qui alimente les craintes. Entre le rappel à l'ordre, la mise en demeure, l'injonction et la publicité de la décision, la réponse est graduée et dépend de votre attitude et de votre préparation. Le barème fixe des plafonds, mais votre risque réel se joue ailleurs.

La bonne nouvelle, c'est que ce risque se pilote. Une démarche documentée, priorisée par les risques, vous place du bon côté des critères d'appréciation. Pour transformer cette lecture en plan d'action adapté à votre activité, prenez contact avec nos équipes. Pour approfondir d'autres sujets, parcourez le blog.

Pour aller plus loin, consultez les ressources officielles de la CNIL et le détail du barème dans l'article 83 du RGPD.

L'équipe mydari

Tous les articles