Un contrôle CNIL n'aboutit pas nécessairement à une procédure de sanction. En 2025, la CNIL a réalisé 323 contrôles et prononcé 83 sanctions : près d'un contrôle sur quatre a débouché sur une sanction.
Si le fond du dossier reste déterminant, certaines erreurs commises avant, pendant ou après les opérations de contrôle peuvent inutilement aggraver la situation. Elles sont, pour la plupart, évitables.
Nous revenons ci-dessous sur chacune de ces erreurs et sur les bonnes pratiques permettant de les éviter.
1. Répondre sans disposer de toutes les informations nécessaires
Face aux contrôleurs, certains collaborateurs se sentent tenus d'apporter une réponse immédiate à des questions alors qu'ils ne maîtrisent pas tous les aspects du sujet ou ne disposent pas de toutes les informations nécessaires.
Ils formulent alors des hypothèses qui sont ensuite présentées comme des faits.
Par exemple, un collaborateur répond à une question en décrivant sa propre manière de procéder, sans préciser qu'il s'agit d'une pratique individuelle. Les contrôleurs peuvent alors y voir le reflet des pratiques de l'entreprise dans son ensemble, alors même que des procédures internes existent et sont appliquées par les autres équipes.
Lorsqu'une vérification est nécessaire, il est préférable de l'indiquer plutôt que de répondre sur la base d'informations incomplètes. À l'issue des opérations de contrôle, la délégation dresse généralement la liste des éléments complémentaires attendus, qui doivent être transmis dans le délai indiqué au procès-verbal, souvent de huit ou quinze jours.
Le procès-verbal n'a pas vocation à retranscrire les échanges de manière verbatim ni à attribuer chaque propos à un interlocuteur déterminé. Il retrace les opérations de contrôle ainsi que la compréhension que la délégation a retirée de ses échanges avec l'organisme contrôlé.
2. Répondre au-delà des questions posées
Les opérations sont généralement conduites par une délégation restreinte, souvent composée d'un juriste et d'un auditeur des systèmes d'information. Ce format favorise des échanges directs et informels, dans lesquels les interlocuteurs répondent parfois au-delà des questions qui leur sont posées ou évoquent spontanément des sujets qui n'étaient pas abordés par la délégation.
Par exemple, un responsable peut expliquer spontanément que certaines mesures de sécurité n'ont pas encore été déployées faute de budget ou de ressources suffisantes, tout en précisant qu'un projet est prévu pour y remédier. Cette explication, destinée à montrer que le sujet est identifié, peut néanmoins être comprise comme la reconnaissance d'un manquement existant.
Les déclarations recueillies au cours du contrôle ne suffisent pas, à elles seules, à caractériser un manquement. Elles orientent toutefois les vérifications réalisées par la délégation et permettent d'interpréter les constatations effectuées dans les outils de l'organisme contrôlé, qui seront ensuite consignées dans le procès-verbal.
3. Produire des documents non demandés
Certaines entreprises transmettent spontanément à la CNIL des documents qui ne leur ont pas été demandés, tels que des audits internes, des analyses de risques ou des notes d'avocats.
Cette démarche procède souvent d'une volonté de démontrer que certains points de vigilance sont connus et font déjà l'objet d'un plan d'action.
Elle peut néanmoins conduire à révéler des difficultés qui n'avaient pas été identifiées au cours du contrôle ou à communiquer des documents couverts par le secret professionnel.
Coopérer avec la CNIL ne signifie pas transmettre davantage que ce qui est demandé.
4. Qualifier soi-même une situation de non conforme
Des affirmations telles que :
« Nous avons une politique de conservation des données mais elle n'est pas appliquée »
sont parfois formulées au cours des contrôles.
L'organisme contrôlé a vocation à exposer les faits.
Il n'a aucun intérêt à qualifier lui-même juridiquement la situation ou à reconnaître spontanément l'existence d'un manquement.
5. Considérer que le dossier est clos une fois le contrôle terminé
Le départ de la délégation ne marque pas la fin du dossier.
Entre le contrôle et la décision de la CNIL sur les suites à donner, il s'écoule généralement plusieurs semaines, voire plusieurs mois. Durant cette période, les services de contrôle et des sanctions analysent le procès-verbal et les pièces transmises, apprécient les éventuels manquements et formulent une proposition de suites, sur laquelle la Présidente de la CNIL statue.
Cette phase, souvent négligée par les organismes contrôlés, ne doit pas être considérée comme une simple période d'attente.
L'entreprise peut encore utilement compléter le dossier en transmettant des éléments permettant de replacer dans leur contexte les constatations effectuées pendant le contrôle : précisions sur le fonctionnement d'un traitement, documents corrigeant une incompréhension ou éléments démontrant que la portée d'une pratique est plus limitée que ce qui avait été initialement compris.
C'est également le moment d'informer la CNIL des mesures correctrices engagées ou mises en œuvre à la suite du contrôle. Sans remettre en cause les éventuels manquements constatés, ces démarches sont susceptibles d'être prises en compte dans l'appréciation des suites du dossier.
6. Corriger un manquement sans le porter à la connaissance de la CNIL
Lorsqu'un manquement est identifié, la priorité consiste à le corriger dans les meilleurs délais.
Encore faut-il être en mesure de démontrer les mesures mises en œuvre et de les communiquer rapidement à la CNIL. À défaut, elles ne pourront pas être prises en compte dans l'appréciation des suites du dossier.
La régularisation n'efface pas les manquements passés et ne fait pas obstacle à une éventuelle sanction. En revanche, elle constitue un élément susceptible d'être pris en considération par la CNIL lorsqu'elle apprécie les suites à donner au contrôle.
