Sanctions CNIL : quelles preuves fondent ses décisions ?

Sur quelles preuves la CNIL peut-elle sanctionner un organisme ? Elle examine les pièces des plaintes, les réponses des organismes et les constatations de ses contrôles. Captures d’écran, échanges de courriels ou documents techniques peuvent éclairer un manquement, à condition de comprendre ce qu’ils établissent réellement. La procédure simplifiée allège le traitement des dossiers, mais conserve les droits de la défense.

Point de départ : le bilan publié par la CNIL le 6 juillet 2026, relayé par ZDNet le lendemain. Bilan et procédure simplifiée revérifiés le 15 septembre 2026.

Vous avez une capture, un courriel resté sans réponse ou une caméra qui vous inquiète. Le bon point de départ n’est pas le montant d’une amende : c’est la question que votre pièce permet réellement de vérifier.

À retenir

• Une plainte déclenche une vérification ; elle ne démontre pas automatiquement tous les faits dénoncés.
• Une capture du bandeau cookies et une trace de dépôt de cookies ne prouvent pas la même chose.
• La chronologie d’une demande d’accès est souvent aussi importante que son contenu.
• Les décisions simplifiées ne sont pas publiques : les bilans disponibles ne permettent pas de reconstituer chaque dossier.

23 sanctions : ce que dit exactement le bilan de juillet 2026

La CNIL annonce 23 sanctions en procédure simplifiée depuis janvier 2026, dont 19 issues de plaintes, pour un total de 133 750 euros d’amendes. Ce chiffre correspond au bilan du 6 juillet, pas à un décompte actualisé jusqu’en septembre. Il désigne des amendes prononcées : le communiqué ne justifie pas leur paiement effectif dossier par dossier.

Les sujets cités sont concrets : vidéosurveillance excessive, cookies et demandes d’accès ou d’effacement mal traitées. Huit sanctions concernent ces droits ; quatre d’entre elles comportent aussi un défaut de coopération avec la CNIL. Les amendes alimentent le budget de l’État : leur montant n’est pas une somme attribuée au plaignant. Source : bilan officiel du 6 juillet 2026.

Que fait la CNIL avant de décider d’une sanction ?

La Commission nationale de l’informatique et des libertés contrôle le respect des règles sur les données personnelles. Ses investigations peuvent partir d’une plainte, d’un signalement ou de sa propre initiative. Elle peut contrôler un organisme sur place, l’entendre sur convocation, consulter un service en ligne ou lui demander des documents et des réponses écrites.

Ces méthodes se complètent. Un questionnaire peut ainsi être suivi d’une visite. Sauf pour le contrôle sur pièces, un procès-verbal consigne les informations recueillies et les constatations des agents. La CNIL examine ensuite ces constats et les documents copiés.

Le contrôle peut déboucher sur une clôture, des observations, une mise en demeure ou une procédure de sanction. Une mise en demeure n’est pas une sanction, et elle n’est pas un préalable obligatoire à toute sanction. Source : déroulement des contrôles de la CNIL.

Cookies : distinguer l’écran affiché du comportement technique

Dans son bilan, la CNIL décrit des contrôles en ligne ayant révélé des informations incomplètes, des cookies soumis au consentement déposés avant toute action et un refus plus compliqué que l’acceptation. Ces constats sont expressément rapportés par l’autorité.

Pour comprendre la preuve, il faut séparer deux questions. Une capture montre les boutons et le texte proposés à un instant donné. Elle ne démontre pas, à elle seule, quels traceurs ont été déposés ni leur finalité. Documenter le dépôt nécessite des constatations techniques et un contexte : page visitée, date, état initial du navigateur et actions effectuées.

La charte des contrôles prévoit notamment la collecte de copies d’écran, d’extraits de bases de données ou de code source accessible en ligne. Les agents peuvent tester des formulaires et des mécanismes d’exercice des droits. Le procès-verbal décrit leurs constatations et les pièces annexées. Cela explique les moyens disponibles ; cela ne nous donne pas la liste exacte des annexes des 23 dossiers.

Pour approfondir cette distinction, voir notre article sur les cookies, le consentement et la preuve des irrégularités.

Caméras : photographier un appareil ne suffit pas

Le bilan distingue l’exploitation d’un dispositif sans autorisation préfectorale, rattachée à la licéité du traitement, et la surveillance permanente des salariés, rattachée à la minimisation des données. Il ne faut pas confondre ces qualifications. Source : rubrique vidéosurveillance du communiqué.

Pour un dossier de preuve, une photo de caméra renseigne d’abord sur sa présence et son emplacement apparent. Elle ne révèle pas nécessairement le champ réellement filmé, les horaires d’activation ou la durée de conservation. Plans, réglages et explications de l’organisme peuvent aider à répondre à ces questions. Ce sont ici des pistes de documentation, pas des pièces dont nous affirmerions qu’elles figurent dans chaque décision évoquée.

Droit d’accès : reconstituer les échanges et les dates

Pour une demande d’accès aux données, conservez le message envoyé, sa date, son destinataire, un accusé de réception éventuel et la réponse complète. La CNIL rappelle que l’organisme doit normalement répondre sous un mois. Une prolongation est possible dans les conditions prévues, avec information du demandeur : une réponse après un mois ne suffit donc pas, isolément, à conclure à un manquement. Source : fiche officielle sur le droit d’accès.

La question utile devient : quelle demande l’organisme a-t-il reçue, quand, et quelle suite lui a-t-il donnée ? Pour garder les messages lisibles sans perdre leur version d’origine, notre guide explique comment joindre des e-mails à une plainte.

Procédure simplifiée : quelles garanties pour l’organisme ?

Cette voie concerne les affaires sans difficulté particulière, notamment lorsque les questions de fait ou de droit sont simples ou déjà tranchées. Un rapporteur instruit le dossier ; le président de la formation restreinte, ou un membre désigné, statue seul.

L’organisme reçoit le rapport proposant une sanction. Il peut demander communication et copie des pièces, se faire assister et présenter des observations écrites dans un délai d’un mois. Il peut également demander à être entendu. Le rapporteur peut solliciter des contrôles complémentaires.

Les mesures possibles sont un rappel à l’ordre, une injonction de mise en conformité, éventuellement sous astreinte jusqu’à 100 euros par jour, et une amende administrative plafonnée à 20 000 euros. Source : présentation de la procédure simplifiée.

Les sanctions simplifiées ne peuvent pas être rendues publiques. La CNIL publie des bilans anonymisés, qui renseignent sur les pratiques sanctionnées mais ne remplacent pas les décisions motivées et leurs pièces. Il serait donc abusif d’attribuer à un dossier précis une capture, un témoignage ou une expertise que la source ne décrit pas. Source : publicité des décisions et droits de la défense.

Préparer une plainte qui permette de vérifier les faits

La CNIL demande une présentation de la situation et les pièces indispensables à sa compréhension, notamment les échanges avec l’organisme et les adresses des pages concernées. Pour un problème d’exercice des droits, documentez les démarches préalables. Sa page de saisine précise les démarches selon la situation.

1. Décrivez le fait précis : une demande restée sans suite, un parcours cookies ou une surveillance identifiable.
2. Établissez une chronologie : date, démarche, réponse et pièce correspondante.
3. Conservez les originaux : e-mails complets et captures non recadrées ; travaillez sur des copies pour les annotations.
4. Expliquez la portée de chaque pièce : ce qu’elle montre, et ce qu’elle ne permet pas de savoir.
5. Présentez un ensemble lisible : quelques pièces numérotées et pertinentes valent mieux qu’un volume sans explication.

Cette méthode facilite la vérification, sans garantir une sanction. Elle rejoint notre guide pour constituer un dossier de preuves compréhensible.

Avant de transmettre : le test des trois questions

Pour chaque pièce, notez : quel fait montre-t-elle, à quelle date, et quelle information manque encore ? Par exemple, un courriel envoyé établit votre démarche ; sa réception et la réponse éventuelle complètent la chronologie. Présentez la copie lisible avec une référence à son original, sans transformer une absence d’information en certitude.

Source de départ et limites de cet article

L’article de Christophe Auffray dans ZDNet, publié le 7 juillet 2026, a servi de point de départ. Les chiffres et règles présentés ici ont été recoupés avec les sources officielles liées dans le texte. Les conseils de conservation sont une méthode pratique ; ils ne constituent pas une reconstitution des dossiers confidentiels de la CNIL.

Continuer la lecture

Trois autres articles pour approfondir la preuve, le numérique et la stratégie probatoire.

Kasparov, Judit Polgár et la pièce lâchée : quand une preuve vidéo arrive trop tard

Instagram, images IA et données : pourquoi Meta est régulièrement rappelée à l’ordre

Vidéo, IA générative et expert judiciaire : qui éclaire vraiment le tribunal ?