23 sanctions en six mois : la CNIL muscle sa procédure simplifiée, souvent sur simple plainte

Le 9 juillet 2026, la CNIL a annoncé avoir prononcé 23 sanctions depuis janvier 2026 dans le cadre de sa procédure simplifiée, pour un total de 133 750 euros — soit environ 5 800 euros en moyenne par dossier. Dix-neuf des vingt-trois trouvent leur origine dans une plainte déposée par un particulier, et non dans un contrôle lancé par la CNIL elle-même. Les motifs se répartissent en trois catégories récurrentes : une vidéosurveillance excessive (caméras filmant des salariés en continu, ou fonctionnant sans l’autorisation préfectorale requise), des bandeaux cookies non conformes (accepter les cookies prend un clic, les refuser en prend plusieurs), et le non-respect des demandes d’accès ou d’effacement — huit dossiers sur vingt-trois, dont quatre aggravés par un défaut de coopération avec la CNIL une fois celle-ci sollicitée.

Comment fonctionne la procédure simplifiée

• →Créée en 2022, elle est réservée aux dossiers qui ne présentent pas de difficulté juridique particulière — la plupart des plaintes de particuliers sur les cookies, les caméras ou des demandes de droits restées sans réponse entrent exactement dans ce cadre.
• →Une sanction prononcée selon cette procédure est plafonnée à 20 000 euros, et peut s’accompagner d’une injonction de mise en conformité, parfois assortie d’une astreinte journalière.
• →La décision est prise de manière unilatérale par le président de la CNIL ou un membre délégué, sans l’audience collégiale qu’exige une procédure ordinaire — ce qui permet de traiter les dossiers rapidement.
• →Le nom de l’organisme sanctionné n’est pas rendu public, contrairement aux sanctions phares de la CNIL contre de grandes entreprises — l’exposition est financière et procédurale, pas réputationnelle.

Ce que ça change pour votre PME

Le réflexe habituel face au risque RGPD est de penser à un grand contrôle visant une entreprise de taille importante — le genre de dossier qui fait la une. Ce n’est pas à quoi ressemblent ces 23 dossiers. Dix-neuf ont démarré parce qu’un client, un salarié ou un visiteur a déposé une plainte après une mauvaise expérience : un bandeau cookies qui ne permettait pas de refuser en un clic, une caméra remarquée comme étant allumée en permanence, un email demandant l’oubli resté sans réponse. Rien de tout cela n’exige que la CNIL vienne vous chercher — il suffit d’une personne suffisamment mécontente pour la signaler, et la procédure simplifiée est justement conçue pour traiter ce type de dossier rapidement. Le facteur aggravant dans un tiers des dossiers liés aux droits des personnes n’est pas l’erreur initiale — c’est le silence qui suit, une fois que la CNIL elle-même demande des explications.

Avant qu’une plainte n’arrive à la CNIL : quatre vérifications

• →Testez votre propre bandeau cookies comme le ferait un visiteur : refuser tous les cookies prend-il exactement autant de clics que les accepter ?
• →Auditez vos caméras : autorisation préfectorale pour tout espace ouvert au public, pas de filmage continu du poste de travail d’un seul salarié, et une durée de conservation documentée et limitée.
• →Donnez aux demandes d’accès et d’effacement une voie qui ne peut pas se perdre dans une boîte mail partagée — le délai légal de réponse est d’un mois, prolongeable à trois pour les cas complexes, et il court dès le jour de réception de la demande, pas le jour où quelqu’un la remarque.
• →Si la CNIL vous contacte à la suite d’une plainte, répondez et coopérez — les chiffres montrent que le défaut de coopération est traité comme un facteur aggravant à part entière, indépendamment de la gravité du manquement initial.

Le point de rupture récurrent dans les dossiers liés aux droits des personnes est structurel, pas une question de mauvaise foi : une demande de droit d’accès ou d’effacement arrive sur contact@ ou support@, mélangée aux demandes commerciales et aux spams, et personne ne la signale comme une échéance légale avant qu’il ne soit déjà trop tard. C’est exactement la faille qu’un agent de tri d’emails est conçu pour combler — trier une boîte partagée, extraire la demande, et la router vers la personne responsable de la conformité dès son arrivée, plutôt que le jour où quelqu’un finit par la remarquer en faisant défiler la boîte. Vingt-trois dossiers en six mois, déclenchés le plus souvent par une seule personne mécontente, suggère que cette application rapide devient la norme plutôt que l’exception — un risque qu’il vaut mieux fermer avant qu’il ne se transforme en plainte.