Controle CNIL : comment se deroule une inspection et quelles sanctions pour une TPE ou PME
Publie le 07/10/2026 · Temps de lecture : 10 min
La CNIL a prononce 83 sanctions en 2025, dont 67 dans le cadre de la procedure de sanction simplifiee, reservee aux manquements les plus courants et les moins complexes a qualifier. Cette procedure, creee par le decret n° 2022-517 du 8 avril 2022, vise precisement les structures de petite taille : cookies non conformes, videosurveillance excessive des salaries, refus de repondre a une demande de droit d'acces, ou absence de reponse a la CNIL elle-meme. Contrairement a une idee repandue, un controle CNIL n'est donc pas reserve aux multinationales : une TPE ou une PME peut tout a fait en faire l'objet, a la suite d'une plainte d'un client, d'un salarie, ou d'un controle thematique sur un secteur d'activite.
Voici comment se deroule concretement une inspection, ce que la CNIL peut exiger, et quelles suites (de la simple mise en demeure a l'amende administrative) une petite structure risque reellement.
Sommaire
- 1. Les 4 types de controle de la CNIL
- 2. Comment se deroule un controle sur place
- 3. Apres le controle : rapport et phase contradictoire
- 4. Quelles sanctions possibles, du rappel a l'ordre a l'amende
- 5. La procedure de sanction simplifiee depuis 2022
- 6. Comment se preparer a un controle en TPE/PME
- Questions frequentes
1. Les 4 types de controle de la CNIL
La CNIL dispose de quatre modalites de controle distinctes, prevues par la loi Informatique et Libertes du 6 janvier 1978 modifiee. Chacune repond a un contexte different et n'a pas la meme intensite pour l'entreprise controlee.
- Le controle sur place : les agents de la CNIL se deplacent dans les locaux de l'entreprise, en principe entre 6h et 21h. Ils peuvent consulter les postes de travail, les logiciels, les documents papier, et interroger le personnel present.
- Le controle sur pieces : la CNIL adresse un courrier accompagne d'un questionnaire detaille sur un traitement precis. L'entreprise doit repondre par ecrit et joindre les justificatifs demandes, dans le delai indique.
- Le controle sur audition : un representant de l'entreprise est convoque dans les locaux de la CNIL. La convocation doit lui parvenir au moins 8 jours avant la date fixee.
- Le controle en ligne : depuis mars 2014 (loi relative a la consommation, codifiee a l'article 44 de la loi Informatique et Libertes), les agents de la CNIL peuvent constater a distance, depuis leurs propres locaux, le contenu d'un site ou d'une application accessible au public, sans que l'entreprise en soit informee au moment du constat. C'est le mode de controle le plus frequent pour les manquements lies aux cookies ou aux mentions d'un site web.
2. Comment se deroule un controle sur place
Lors d'un controle sur place, les agents presentent un ordre de mission signe par le president de la CNIL ou son representant. L'entreprise peut demander l'assistance d'un conseil (avocat, delegue a la protection des donnees) mais ne peut pas s'opposer au controle sans motif valable : un refus expose a une sanction specifique pour obstacle a l'action de la CNIL, independamment du fond du dossier.
Sur place, les agents peuvent demander acces au registre des traitements, aux contrats conclus avec les sous-traitants (hebergeur, prestataire d'emailing, logiciel de caisse ou de CRM), a la politique de confidentialite publiee, et aux preuves de recueil du consentement lorsque le traitement en depend (cookies, prospection commerciale). Ils peuvent egalement examiner les mesures de securite effectivement en place : gestion des mots de passe, chiffrement, sauvegardes, droits d'acces aux fichiers clients.
3. Apres le controle : rapport et phase contradictoire
A la suite du controle, les agents redigent un rapport qui est transmis a l'entreprise controlee. Celle-ci dispose d'un delai pour presenter ses observations ecrites : c'est la phase contradictoire, un principe essentiel de la procedure. Rien n'est encore decide a ce stade : le dossier peut etre classe sans suite si l'entreprise demonstre sa conformite ou corrige rapidement le manquement constate.
Si le dossier est maintenu, il est transmis soit au president de la formation restreinte de la CNIL (procedure de sanction simplifiee, pour les manquements les moins complexes), soit a la formation restreinte collegiale (pour les dossiers les plus importants ou les montants d'amende les plus eleves). Dans les deux cas, l'entreprise peut etre entendue et assistee d'un avocat avant toute decision finale.
4. Quelles sanctions possibles, du rappel a l'ordre a l'amende
L'article 83 du RGPD fixe un plafond de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves, mais ce chiffre concerne les tres grandes entreprises : en 2021, Google a ete sanctionne a hauteur de 150 millions d'euros et Facebook de 60 millions d'euros pour des manquements aux regles sur les cookies. Pour une TPE ou une PME, l'eventail des sanctions est different et progressif :
- Le rappel a l'ordre : la mesure la plus legere, sans publicite ni astreinte, pour un manquement mineur corrige rapidement.
- La mise en demeure : un delai (generalement de quelques semaines a quelques mois) est accorde pour se mettre en conformite. Elle peut etre rendue publique si l'entreprise ne reagit pas, ce qui constitue en soi un risque reputationnel.
- L'injonction, assortie le cas echeant d'une astreinte financiere journaliere si elle n'est pas respectee dans le delai imparti.
- La limitation ou la suspension du traitement, voire l'effacement de donnees collectees irregulierement.
- L'amende administrative, dont le montant est fixe en fonction de la gravite du manquement, de sa duree, du nombre de personnes concernees et de la cooperation de l'entreprise avec la CNIL.
5. La procedure de sanction simplifiee depuis 2022
Le decret n° 2022-517 du 8 avril 2022 a cree une procedure de sanction simplifiee, pensee pour traiter plus rapidement les manquements repetitifs et juridiquement non ambigus. Dans ce cadre, le president de la formation restreinte de la CNIL peut statuer seul, sans convoquer la formation collegiale. Les sanctions possibles sont limitees au rappel a l'ordre, a une amende plafonnee a 20 000 euros, et a une injonction assortie d'une astreinte pouvant atteindre 100 euros par jour de retard.
Cette procedure cible en priorite les manquements les plus frequemment constates chez les petites structures : bandeaux cookies non conformes, videosurveillance des salaries sans information prealable, non-reponse a une demande de droit d'acces, et defaut de cooperation avec la CNIL elle-meme (en 2024, le principal manquement sanctionne par cette procedure etait justement l'absence de reponse aux demandes de la CNIL, avec 27 organismes concernes). En 2025, la CNIL a prononce 83 sanctions au total, dont 67 via la procedure simplifiee. Le montant cumule officiel depasse 486 millions d'euros, mais ce chiffre est tire vers le haut par deux dossiers exceptionnels (Google, 325 millions d'euros, et Shein, 150 millions d'euros) : en les excluant, le montant cumule des autres sanctions de l'annee retombe a un peu moins de 12 millions d'euros pour 81 dossiers, soit une moyenne qui confirme les montants observes en procedure simplifiee, le plus souvent entre 3 000 et 20 000 euros.
6. Comment se preparer a un controle en TPE/PME
La meilleure defense face a un controle CNIL n'est pas juridique, elle est documentaire : pouvoir presenter, le jour du controle ou dans le delai imparti par un courrier, les preuves concretes de la conformite. Quatre elements sont systematiquement demandes :
- un registre des traitements a jour, meme simplifie, listant les finalites, les categories de donnees et les durees de conservation ;
- une politique de confidentialite publiee et coherente avec les outils reellement utilises sur le site ;
- un journal de preuve du consentement aux cookies, horodate et conserve independamment du navigateur du visiteur ;
- les contrats signes avec chaque sous-traitant (hebergeur, CRM, prestataire d'emailing) comportant les clauses imposees par l'article 28 du RGPD.
Sur ce dernier point, notre article sur les clauses RGPD obligatoires d'un contrat avec un sous-traitant detaille precisement ce que chaque contrat doit contenir. Un dossier de conformite incomplet au moment du controle n'est pas une fatalite : la CNIL valorise les demarches correctives engagees spontanement, meme entamees juste avant ou pendant la procedure contradictoire.
Preparez votre dossier de conformite avant un controle
ConformiteFacile genere votre registre des traitements, votre politique de confidentialite et archive chaque preuve de consentement cookies, prets a presenter en cas de controle.
Decouvrir nos offresQuestions frequentes
La CNIL previent-elle une entreprise avant un controle sur place ?
Pas obligatoirement. Le controle sur place peut etre annonce a l'avance ou se derouler sans prevenance, selon l'appreciation de la CNIL et la nature du dossier (plainte, controle thematique, suite a une violation de donnees). Il a lieu en principe entre 6h et 21h, dans les locaux de l'organisme, et les agents controleurs doivent presenter leur ordre de mission. Le responsable de l'entreprise ou son representant a le droit de s'opposer au controle, mais la CNIL peut alors solliciter l'autorisation du juge des libertes pour le reprendre.
Quel est le montant maximum d'une amende CNIL pour une TPE ou une PME ?
Le plafond legal fixe par l'article 83 du RGPD est de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus eleve etant retenu, mais ce plafond ne concerne en pratique que les tres grandes entreprises. Depuis le decret n° 2022-517 du 8 avril 2022, la CNIL dispose d'une procedure de sanction simplifiee, utilisee pour la majorite des dossiers concernant des petites structures, avec une amende plafonnee a 20 000 euros et une astreinte pouvant atteindre 100 euros par jour de retard en cas d'injonction non suivie.
Que faire en recevant un courrier de controle sur pieces de la CNIL ?
Ne pas l'ignorer et respecter le delai de reponse indique, generalement de l'ordre de quelques semaines. Le courrier est accompagne d'un questionnaire precis sur un ou plusieurs traitements de donnees : il faut y repondre point par point et joindre les documents demandes (registre des traitements, politique de confidentialite, preuves de consentement, contrats avec les sous-traitants). Une absence de reponse ou une reponse incomplete constitue en elle-meme un manquement a l'obligation de cooperation avec la CNIL, frequemment sanctionne dans le cadre de la procedure simplifiee.
Un controle CNIL peut-il se terminer sans aucune sanction financiere ?
Oui, c'est le cas le plus frequent pour une premiere infraction non grave. La CNIL peut se limiter a une mise en demeure (delai pour corriger, sans publicite si l'entreprise se met en conformite a temps) ou a un simple rappel a l'ordre, sans amende. L'amende intervient surtout en cas de manquement grave, de recidive, ou d'absence de reponse a une mise en demeure precedente.
A lire aussi
Droit a la portabilite des donnees : ce que le RGPD permet reellement de recuperer
Lire
Google Analytics et RGPD : faut-il vraiment un consentement pour les cookies de mesure d'audience ?
Lire