Article

Sanctions CNIL pour les TPE : montants et procédure

Une TPE peut être sanctionnée par la CNIL exactement comme une grande entreprise. Le RGPD ne prévoit aucune exemption liée à la taille de la structure ou à son chiffre d'affaires : dès qu'une TPE traite des données personnelles — celles de ses clients, de ses salariés ou de ses prospects — elle est soumise aux mêmes obligations et aux mêmes risques de sanction que n'importe quel autre responsable de traitement.

La Commission nationale de l'informatique et des libertés dispose d'un éventail de mesures qui va du simple rappel à l'ordre à l'amende administrative pouvant atteindre plusieurs millions d'euros. Dans la pratique, la CNIL adapte systématiquement la sanction à la taille et aux ressources de l'organisme contrôlé, ce qui explique que les montants réellement infligés aux TPE restent, la plupart du temps, très inférieurs aux plafonds légaux.

Cet article détaille les différentes sanctions que la CNIL peut prononcer, les montants applicables, ainsi que le déroulement d'un contrôle et d'une procédure de sanction, de la première alerte jusqu'à la décision définitive.

Quels sont les pouvoirs de sanction de la CNIL ?

La CNIL est l'autorité administrative indépendante chargée de veiller au respect du RGPD et de la loi Informatique et Libertés en France. Elle dispose de deux catégories de pouvoirs : des pouvoirs de contrôle, qui lui permettent de vérifier la conformité d'un organisme, et des pouvoirs correctifs, qui lui permettent de sanctionner un manquement une fois celui-ci constaté.

Ces pouvoirs correctifs sont énumérés à l'article 58 du RGPD et précisés par l'article 20 de la loi n° 78-17 du 6 janvier 1978 modifiée. La formation restreinte de la CNIL, organe chargé de prononcer les sanctions, peut notamment :

• Adresser un rappel à l'ordre, sans caractère public
• Mettre en demeure l'organisme de se conformer au RGPD dans un délai déterminé
• Limiter temporairement ou définitivement un traitement de données
• Ordonner la suspension des flux de données vers un pays tiers
• Prononcer une amende administrative
• Assortir la mise en demeure d'une astreinte journalière

Pour une TPE, la mise en demeure constitue, en pratique, la réponse la plus fréquente de la CNIL. Elle laisse à l'entreprise un délai — souvent compris entre un et trois mois — pour se mettre en conformité avant d'envisager une sanction financière. La CNIL réserve l'amende directe, sans mise en demeure préalable, aux manquements les plus graves ou les plus manifestement délibérés.

Quels montants d'amende risque une TPE ?

L'article 83 du RGPD fixe deux plafonds d'amende administrative, applicables selon la nature du manquement constaté. Ces plafonds s'appliquent à toute structure, quelle que soit sa taille, y compris une TPE.

Ces plafonds ne signifient pas que la CNIL les applique systématiquement, ni même qu'elle les applique fréquemment aux TPE. L'article 83, paragraphe 2, du RGPD impose à la CNIL de fixer chaque amende de manière proportionnée, en tenant compte notamment de la taille de l'entreprise, de ses ressources financières, de la gravité du manquement et de son caractère intentionnel ou non.

Depuis 2022, la CNIL dispose également d'une procédure de sanction simplifiée, réservée aux dossiers les moins complexes. Dans ce cadre, un seul membre de la formation restreinte peut prononcer une amende, dont le montant ne peut pas dépasser 20 000 €. Cette procédure est fréquemment utilisée à l'encontre de petites structures, notamment pour des manquements liés aux cookies, à la sécurité des mots de passe ou à l'absence de registre des traitements.

Comment se déroule un contrôle et une procédure de sanction ?

Le déclenchement du contrôle

Un contrôle de la CNIL peut être déclenché de plusieurs manières : une plainte déposée par une personne concernée, un signalement, une notification de violation de données, ou une thématique de contrôle définie chaque année par la CNIL dans son programme annuel. Le contrôle peut prendre la forme d'une vérification sur pièces, d'un contrôle en ligne, d'une audition ou d'une visite sur place dans les locaux de l'entreprise.

Le constat du manquement

À l'issue du contrôle, les agents de la CNIL rédigent un rapport de contrôle. Si un manquement au RGPD est constaté, la CNIL peut clore le dossier sans suite, adresser une mise en demeure, ou décider d'engager une procédure de sanction devant la formation restreinte.

La procédure contradictoire

Lorsqu'une procédure de sanction est engagée, l'entreprise reçoit une notification des griefs détaillant les manquements retenus contre elle. Elle dispose ensuite d'un délai pour présenter ses observations écrites, avant une éventuelle séance orale devant la formation restreinte, au cours de laquelle elle peut se faire assister par un avocat. Ce principe du contradictoire s'applique aussi bien à la procédure ordinaire qu'à la procédure simplifiée, avec des délais plus courts dans ce second cas.

La décision et les voies de recours

La formation restreinte rend ensuite sa décision, qui peut être rendue publique — parfois sous une forme anonymisée pour les manquements les moins graves. La décision est notifiée à l'entreprise, qui dispose d'un délai de deux mois pour la contester devant le Conseil d'État, seule juridiction compétente pour statuer sur les décisions de sanction de la CNIL.

Quelles situations déclenchent un contrôle ou une sanction ?

Certaines situations reviennent régulièrement dans les décisions de sanction de la CNIL concernant des petites structures. La méconnaissance des obligations de base du RGPD reste la cause la plus fréquente : absence de registre des traitements, absence de base légale identifiée pour un traitement, ou durée de conservation des données non définie.

Le non-respect des règles applicables aux cookies et au recueil du consentement constitue également un motif récurrent de sanction, notamment via la procédure simplifiée. Un bandeau de cookies qui ne propose pas de refus aussi simple que l'acceptation, par exemple, expose l'entreprise à un rappel à l'ordre, voire à une amende.

Une absence de réaction — ou une réaction tardive — face à une violation de données personnelles aggrave systématiquement la sanction. La CNIL considère qu'une entreprise qui ne notifie pas une violation dans le délai légal, ou qui n'en informe pas les personnes concernées lorsque cela est requis, manque à une obligation distincte de celle qui a causé la violation initiale.