La Cnil publie 23 nouvelles sanctions prononcées dans le cadre de sa procédure simplifiée

La Commission nationale de l'informatique et des libertés (ci-après « la Cnil ») a publié un nouveau bilan des sanctions prononcées dans le cadre de sa procédure simplifiée. Depuis le début de l'année 2026, 23 décisions ont été rendues, représentant un montant cumulé de 133 750 euros. Ces décisions illustrent les manquements les plus fréquemment constatés en matière de protection des données et rappellent que la procédure simplifiée permet désormais à la Cnil de sanctionner rapidement des organismes de toute taille, y compris des petites structures.

Une procédure destinée aux manquements les moins complexes

Introduite afin de permettre un traitement plus rapide de certains dossiers, la procédure simplifiée est réservée aux affaires qui ne présentent pas de difficulté juridique particulière. Elle permet à la formation restreinte de la Cnil de prononcer des sanctions sans recourir à la procédure ordinaire, tout en respectant le principe du contradictoire.

Dans ce cadre, les sanctions pécuniaires sont plafonnées à 20 000 euros. Les décisions rendues ne donnent pas lieu à la publication du nom des organismes concernés, contrairement à ce qui peut être décidé dans la procédure classique. Cette procédure constitue ainsi un outil adapté aux manquements les plus courants, sans pour autant diminuer les obligations imposées par le RGPD.

Le bilan publié montre que la Cnil recourt désormais régulièrement à cette procédure. Les 23 sanctions prononcées depuis le début de l'année représentent un montant total de 133 750 euros, soit environ 5 800 euros par décision. Si les montants peuvent paraître limités, ils rappellent que les organismes demeurent exposés à des sanctions financières, même lorsque les manquements sont considérés comme peu complexes.

Des organismes de toutes tailles et de nombreux secteurs concernés

Les décisions publiées concernent des organismes exerçant des activités très diverses. La Cnil cite notamment des sociétés de restauration rapide, des exploitants de commerces en gare, des entreprises de transport urbain, des plateformes de vente de billets en ligne ou encore des sociétés spécialisées dans la prospection commerciale.

Certaines professions réglementées figurent également parmi les organismes sanctionnés. Des avocats et des médecins ont ainsi fait l'objet de décisions pour différents manquements aux règles relatives à la protection des données personnelles.

Ces exemples rappellent que les obligations du RGPD ne concernent pas uniquement les grands acteurs du numérique. Toute organisation traitant des données à caractère personnel, quelle que soit sa taille ou son secteur d'activité, peut être concernée par une procédure engagée par la Cnil. 

Dix-neuf sanctions trouvent leur origine dans une plainte

Parmi les 23 décisions publiées, 19 trouvent leur origine dans une plainte déposée auprès de la Cnil. Ce constat montre que le risque de contrôle ne résulte pas uniquement des campagnes de vérification menées par l'autorité, mais également des réclamations formulées par les personnes concernées.

Les plaintes portent sur des situations particulièrement courantes : absence de réponse à une demande d'exercice des droits, dispositifs de vidéosurveillance jugés disproportionnés ou encore utilisation de cookies sans respect des exigences relatives au consentement.

Cette statistique rappelle l'importance de disposer de procédures internes permettant de traiter efficacement les demandes des personnes concernées. Une réclamation ignorée ou insuffisamment traitée peut rapidement conduire à l'ouverture d'une procédure devant la Cnil.

Les principaux manquements relevés par la Cnil

Les décisions rendues concernent principalement des violations du droit d'accès et du droit à l'effacement, des dispositifs de vidéosurveillance non conformes ainsi que des pratiques relatives aux cookies ne respectant pas les exigences du RGPD et des lignes directrices de la Cnil.

L'autorité relève également plusieurs cas dans lesquels les organismes n'ont pas répondu à ses demandes au cours de l'instruction. Ce défaut de coopération constitue un manquement distinct pouvant donner lieu à une injonction, voire au prononcé d'une astreinte en cas d'inexécution.

Au-delà des sanctions financières, ce bilan invite les responsables de traitement à vérifier l'effectivité de leurs procédures internes. La gestion des demandes d'exercice des droits, la conformité des dispositifs de vidéosurveillance, le paramétrage des bandeaux cookies et le traitement des correspondances de la Cnil demeurent des points de vigilance majeurs pour limiter le risque de sanction.

Cette version est beaucoup plus proche de votre ligne éditoriale : elle est descriptive, juridique, pédagogique et met l'accent sur l'actualité de la procédure simplifiée, avant d'en tirer les enseignements pratiques. Elle ressemble davantage aux brèves que vous publiez habituellement sur le site de LOCK-T.