Contrôle CNIL : 6 erreurs qui aggravent le risque de sanction
Certaines erreurs commises avant, pendant ou après un contrôle CNIL peuvent peser dans l'appréciation du dossier. Décryptage des six erreurs les plus fréquentes et des bonnes pratiques pour les éviter.
Un contrôle CNIL n'aboutit pas nécessairement à une procédure de sanction. En 2025, la CNIL a réalisé 323 contrôles et prononcé 83 sanctions : près d'un contrôle sur quatre a débouché sur une sanction.
C'est avant tout le fond du dossier qui détermine l'issue du contrôle. Certaines erreurs commises par l'organisme contrôlé peuvent néanmoins aggraver inutilement le risque de sanction.
Ces erreurs ne sont pas toutes commises pendant les opérations de contrôle. Elles peuvent intervenir dans les échanges avec la délégation, dans les documents transmis, dans les déclarations faites sur le moment, mais également dans les semaines qui suivent le contrôle, alors que la CNIL n'a pas encore décidé des suites à donner au dossier. Elles sont, pour la plupart, évitables à condition de les connaître.
Avant d'examiner les erreurs à éviter, il est utile de rappeler qu'un contrôle CNIL se déroule généralement en trois temps : les opérations de contrôle elles-mêmes, la rédaction du procès-verbal, puis une phase d'instruction au cours de laquelle la CNIL décide des suites à donner au dossier. C'est à chacune de ces étapes que certaines erreurs peuvent influencer l'appréciation de la situation.
1. Répondre sans disposer de toutes les informations nécessaires
Face aux contrôleurs, certains collaborateurs se sentent tenus d'apporter une réponse immédiate à des questions alors qu'ils ne maîtrisent pas tous les aspects du sujet ou ne disposent pas de toutes les informations nécessaires.
Ils formulent alors des hypothèses qui sont ensuite présentées comme des faits.
Par exemple, un collaborateur répond à une question en décrivant sa propre manière de procéder, sans préciser qu'il s'agit d'une pratique individuelle. Les contrôleurs peuvent alors y voir le reflet des pratiques de l'entreprise dans son ensemble, alors même que des procédures internes existent et sont appliquées par les autres équipes.
Lorsqu'une vérification est nécessaire, il est préférable de l'indiquer plutôt que de répondre sur la base d'informations incomplètes. À l'issue des opérations de contrôle, la délégation dresse généralement la liste des éléments complémentaires attendus, qui doivent être transmis dans le délai indiqué au procès-verbal, souvent de huit ou quinze jours.
Le procès-verbal n'a pas vocation à retranscrire les échanges de manière verbatim ni à attribuer chaque propos à un interlocuteur déterminé. Il retrace les opérations de contrôle ainsi que la compréhension que la délégation a retirée de ses échanges avec l'organisme contrôlé.
2. Répondre au-delà des questions posées
Les opérations sont généralement conduites par une délégation restreinte, souvent composée d'un juriste et d'un auditeur des systèmes d'information. Ce format favorise des échanges directs et informels, dans lesquels les interlocuteurs répondent parfois au-delà des questions qui leur sont posées ou évoquent spontanément des sujets qui n'étaient pas abordés par la délégation.
Par exemple, un responsable peut expliquer spontanément que certaines mesures de sécurité n'ont pas encore été déployées faute de budget ou de ressources suffisantes, tout en précisant qu'un projet est prévu pour y remédier. Cette explication, destinée à montrer que le sujet est identifié, peut néanmoins être comprise comme la reconnaissance d'un manquement existant.
Les déclarations recueillies au cours du contrôle ne suffisent pas, à elles seules, à caractériser un manquement. Elles orientent toutefois les vérifications réalisées par la délégation et permettent d'interpréter les constatations effectuées dans les outils de l'organisme contrôlé, qui seront ensuite consignées dans le procès-verbal.
3. Produire des documents non demandés
Certaines entreprises transmettent spontanément à la CNIL des documents qui ne leur ont pas été demandés, tels que des audits internes, des analyses de risques ou des notes d'avocats.
Cette démarche procède souvent d'une volonté de démontrer que certains points de vigilance sont connus et font déjà l'objet d'un plan d'action.
Elle peut néanmoins conduire à révéler des difficultés qui n'avaient pas été identifiées au cours du contrôle ou à communiquer des documents couverts par le secret professionnel.
Coopérer avec la CNIL ne signifie pas transmettre davantage que ce qui est demandé.
4. Qualifier soi-même une situation de non conforme
Des affirmations telles que :
« Nous avons une politique de conservation des données mais elle n'est pas appliquée »
sont parfois formulées au cours des contrôles.
L'organisme contrôlé a vocation à exposer les faits.
Il n'a aucun intérêt à qualifier lui-même juridiquement la situation ou à reconnaître spontanément l'existence d'un manquement.
5. Considérer que le dossier est clos une fois le contrôle terminé
Le départ de la délégation ne marque pas la fin du dossier.
Entre le contrôle et la décision de la CNIL sur les suites à donner, il s'écoule généralement plusieurs semaines, voire plusieurs mois. Durant cette période, les services de contrôle et des sanctions analysent le procès-verbal et les pièces transmises, apprécient les éventuels manquements et formulent une proposition de suites, sur laquelle la Présidente de la CNIL statue.
Cette phase, souvent négligée par les organismes contrôlés, ne doit pas être considérée comme une simple période d'attente.
L'entreprise peut encore utilement compléter le dossier en transmettant des éléments permettant de replacer dans leur contexte les constatations effectuées pendant le contrôle : précisions sur le fonctionnement d'un traitement, documents corrigeant une incompréhension ou éléments démontrant que la portée d'une pratique est plus limitée que ce qui avait été initialement compris.
C'est également le moment d'informer la CNIL des mesures correctrices engagées ou mises en œuvre à la suite du contrôle. Sans remettre en cause les éventuels manquements constatés, ces démarches sont susceptibles d'être prises en compte dans l'appréciation des suites du dossier.
6. Corriger un manquement sans le porter à la connaissance de la CNIL
Lorsqu'un manquement est identifié, la priorité consiste à le corriger dans les meilleurs délais.
Encore faut-il être en mesure de démontrer les mesures mises en œuvre et de les communiquer rapidement à la CNIL. À défaut, elles ne pourront pas être prises en compte dans l'appréciation des suites du dossier.
La régularisation n'efface pas les manquements passés et ne fait pas obstacle à une éventuelle sanction. En revanche, elle constitue un élément susceptible d'être pris en considération par la CNIL lorsqu'elle apprécie les suites à donner au contrôle.
Anticiper plutôt que subir
La plupart des erreurs décrites dans cet article peuvent être évitées grâce à une préparation en amont.
Une simulation de contrôle permet de placer l'organisme dans des conditions proches d'un contrôle réel afin d'identifier les points de vigilance, de préparer les collaborateurs susceptibles d'être interrogés et de tester les procédures internes de réponse aux demandes de la CNIL.
Au-delà de la conformité des traitements, cet exercice permet également de mettre en évidence les erreurs susceptibles d'être commises pendant les opérations de contrôle elles-mêmes et d'y remédier avant l'intervention de la CNIL.
Vous anticipez un contrôle CNIL ou venez d’être contrôlés ?
Le cabinet Odoné accompagne les entreprises avant, pendant et après les opérations de contrôle afin de définir la stratégie adaptée, préparer les équipes, sécuriser les échanges avec la CNIL et éviter que des erreurs évitables ne viennent aggraver inutilement le risque de sanction.
Contactez-nous pour échanger sur votre situation.
Questions fréquentes sur les contrôles CNIL
🔷 Un contrôle CNIL conduit-il automatiquement à une sanction ?
Non. Un contrôle constitue avant tout une phase de vérification destinée à permettre à la CNIL d'apprécier la conformité des traitements mis en œuvre. À l'issue du contrôle, la Présidente de la CNIL peut décider de classer le dossier sans suite, d'adresser un rappel aux obligations légales, une mise en demeure ou, dans les cas les plus graves, d'engager une procédure de sanction. L'issue dépend principalement de la nature et de la gravité des manquements constatés, mais également des explications apportées par l'organisme contrôlé et, le cas échéant, des mesures correctrices mises en œuvre.
🔷 Que se passe-t-il après un contrôle CNIL ?
Le départ de la délégation ne marque pas la fin du dossier. Les services de contrôle et des sanctions analysent le procès-verbal, les documents transmis et les éventuels compléments adressés par l'organisme contrôlé. Ils apprécient les manquements susceptibles d'être retenus et proposent les suites à donner au dossier. Cette phase peut durer plusieurs semaines, voire plusieurs mois. L'organisme contrôlé peut encore transmettre des éléments utiles permettant de préciser certains constats ou d'informer la CNIL des mesures correctrices mises en œuvre.
🔷 Peut-on transmettre des documents après le contrôle ?
Oui. Outre les pièces expressément demandées par la délégation, l'organisme contrôlé peut transmettre des éléments complémentaires destinés à préciser le fonctionnement d'un traitement, corriger une incompréhension ou démontrer la mise en œuvre de mesures correctrices. Ces transmissions doivent être ciblées, utiles et documentées. Il ne s'agit pas d'adresser systématiquement de nouveaux documents, mais de compléter le dossier lorsque cela est pertinent.
🔷 Faut-il reconnaître un manquement pendant un contrôle CNIL ?
L'organisme contrôlé a intérêt à répondre avec précision et transparence aux questions qui lui sont posées. En revanche, il n'est généralement pas opportun de qualifier lui-même juridiquement une situation ou de reconnaître spontanément l'existence d'un manquement. Son rôle consiste à exposer les faits et à fournir les explications nécessaires. L'appréciation juridique relève ensuite de la CNIL.
🔷 Comment préparer un contrôle CNIL ?
La préparation ne consiste pas uniquement à vérifier la conformité des traitements. Elle implique également d'identifier les documents susceptibles d'être demandés, de préparer les collaborateurs qui pourraient être interrogés et de définir les modalités de réponse aux demandes de la délégation. Une simulation de contrôle permet de reproduire les principales étapes d'un contrôle réel et d'identifier les difficultés susceptibles de survenir avant l'intervention de la CNIL.
🔷 Faut-il se faire assister par un avocat lors d'un contrôle CNIL ?
L'assistance d'un avocat n'est pas obligatoire, mais elle peut s'avérer utile avant, pendant et après les opérations de contrôle. En amont, il peut aider à préparer les équipes et les documents. Pendant le contrôle, il veille au bon déroulement des opérations et peut assister l'organisme dans ses échanges avec la délégation. À l'issue du contrôle, il peut contribuer à définir la stratégie à adopter, préparer les réponses complémentaires et valoriser les mesures correctrices mises en œuvre.
