Pourquoi la CNIL vous écrit-elle et qu’est-ce que cela signifie ?
Saisie d’une plainte, la CNIL est tenue de la traiter et d’informer son auteur de l’état d’avancement et de l’issue de la procédure, sauf à démontrer que la plainte est manifestement infondée ou excessive. Le courrier adressé à l’entreprise s’inscrit dans cette instruction : il ne signifie pas qu’un manquement est nécessairement caractérisé à ce stade.
Il ne marque pas davantage l’ouverture d’une procédure de sanction : celle-ci suppose la désignation d’un rapporteur et la saisine de la formation restreinte ou de son président en procédure simplifiée (articles 22 et 22-1 de la loi Informatique et Libertés).
Faut-il répondre et dans quel délai ?
Le délai de réponse est indiqué dans le courrier de la CNIL. En pratique, il est généralement compris entre 15 jours et un mois. Lorsque ce délai ne peut être tenu, il est recommandé de solliciter une prolongation avant son échéance, en précisant les raisons de cette demande et la date à laquelle une réponse pourra être apportée.
L’entreprise est tenue de coopérer avec la CNIL et de répondre à ses demandes d’informations. Un défaut de coopération peut constituer un manquement sanctionnable. En 2023, le défaut de coopération constituait le principal manquement retenu en procédure simplifiée : 15 organismes ont été sanctionnés pour n’avoir pas répondu aux sollicitations de la CNIL. Depuis janvier 2026, 4 des 8 sanctions simplifiées relatives aux droits des plaignants y associent un défaut de coopération.
Comment préparer la réponse au courrier de la CNIL ?
Tant qu’aucun contrôle n’est engagé, la CNIL s’appuie essentiellement sur la plainte et sur la réponse de l’entreprise pour décider des suites à donner. La préparation de cette réponse appelle trois précautions.
1. Ne pas mettre en cause personnellement le plaignant
La réponse porte sur le traitement, non sur le plaignant ou ses intentions. Les motivations du plaignant ne suffisent pas, à elles seules, à remettre en cause l’exercice de ses droits. L’identité du plaignant n’est, en principe, pas communiquée à l’entreprise, sauf lorsqu’elle est indispensable au traitement de la plainte.
2. Vérifier les faits auprès des équipes opérationnelles
Avant de répondre, il convient de reconstituer ce qui s’est réellement passé auprès des équipes concernées : service client, ressources humaines, marketing, équipes informatiques ou, le cas échéant, prestataire. Une réponse inexacte, démentie ensuite par un contrôle, fait perdre à l’entreprise sa crédibilité pour la suite du dossier.
3. Identifier et corriger les éventuels dysfonctionnements structurels
Les vérifications peuvent révéler un dysfonctionnement non pas ponctuel mais structurel. Lorsqu’un manquement est identifié, les mesures nécessaires pour y remédier doivent être engagées sans attendre la position de la CNIL. Une régularisation n’efface pas un manquement passé. Les mesures correctrices et la coopération de l’entreprise sont en revanche prises en compte par la CNIL dans l'appréciation des suites à donner à la plainte.
Quelles suites la plainte peut-elle avoir ?
La CNIL dispose d’une large marge d’appréciation pour décider des suites à donner à une plainte. Elle tient compte notamment de la gravité des faits, des éléments de preuve qui les corroborent et de leur contexte (nombre de personnes concernées, sensibilité des données, etc.).
Au vu des éléments recueillis, la CNIL peut notamment :
- clore la plainte, le cas échéant en formulant des observations à l’entreprise ;
- rappeler l’entreprise à ses obligations légales ou la mettre en demeure ;
- procéder à un contrôle sur place, sur pièces, sur audition ou en ligne ;
- engager une procédure de sanction, ordinaire ou simplifiée.
La procédure simplifiée est réservée aux dossiers ne présentant pas de difficulté juridique particulière. L’amende ne peut y excéder 20 000 €, ou 100 000 € lorsque le chiffre d’affaires annuel mondial de l’entreprise sur l’exercice précédent dépasse 50 millions d’euros, et la décision n’est pas rendue publique. En procédure ordinaire, la formation restreinte peut décider de rendre publique sa décision.
Dans ses deux derniers bilans de la procédure de sanction simplifiée, la CNIL indique que 14 des 16 sanctions prononcées entre mai et octobre 2025, puis 19 des 23 sanctions prononcées depuis janvier 2026, ont pour origine des plaintes. Elles portent notamment sur la vidéosurveillance, la prospection commerciale, les cookies, le non-respect des droits d’accès ou d’effacement et le défaut de coopération avec la CNIL.
Comment Odoné vous accompagne face à une plainte CNIL ?
Le cabinet accompagne les entreprises à chaque étape de l’instruction d’une plainte par la CNIL :
- Analyse de la plainte et des risques associés : examen des griefs, évaluation des risques juridiques et des suites possibles de la procédure.
- Définition d’une stratégie de réponse : préparation d’une réponse argumentée et documentée, tenant compte des enjeux propres au dossier.
- Suivi de l’instruction : accompagnement dans les échanges avec la CNIL et les éventuelles demandes complémentaires.
