Que fait la CNIL et quels sont ses pouvoirs ?

Une autorité administrative indépendante

La Commission nationale de l'informatique et des libertés a été créée par la loi du 6 janvier 1978. Elle est l'autorité de contrôle française au sens de l'article 51 du RGPD, chargée de surveiller l'application du règlement et de la loi Informatique et Libertés. Son indépendance est garantie par le règlement lui-même : ses membres ne reçoivent d'instruction de personne, et elle dispose de ses propres ressources humaines et financières. Elle ne doit pas être confondue avec un service ministériel ; elle n'est pas non plus un tribunal, même si ses décisions de sanction peuvent être contestées devant le Conseil d'État.

Sa composition

La CNIL est un collège de dix-huit membres : parlementaires, membres du Conseil économique, social et environnemental, magistrats des hautes juridictions et personnalités qualifiées désignées par différentes autorités. Le président est nommé par décret pour cinq ans. Au sein du collège, une formation restreinte, distincte, est chargée de prononcer les sanctions, ce qui garantit la séparation entre les fonctions d'instruction et de jugement. Les services, composés de juristes, d'ingénieurs et d'auditeurs, préparent les avis, mènent les contrôles et traitent les plaintes.

Informer et accompagner

La CNIL consacre une part importante de son activité à l'accompagnement. Elle publie des référentiels sectoriels (gestion des ressources humaines, gestion commerciale, cabinets médicaux), des recommandations (cookies, prospection, intelligence artificielle, mots de passe), des guides pratiques comme le guide de la sécurité des données personnelles, et répond aux questions des professionnels. Elle propose aussi des dispositifs d'accompagnement renforcé pour certains projets innovants ou certaines entreprises en croissance. Ces publications ne sont pas toutes juridiquement contraignantes, mais elles indiquent la lecture que l'autorité fera des textes lors d'un contrôle, ce qui les rend incontournables.

Recevoir les plaintes

Toute personne peut adresser une réclamation à la CNIL si elle estime que ses données ont été traitées en violation du RGPD, gratuitement et en ligne. L'autorité a reçu 20 150 plaintes en 2025, un record. Les motifs les plus fréquents concernent la diffusion de données sur internet, la prospection commerciale, la surveillance au travail, l'exercice des droits restés sans réponse et la vidéosurveillance. La CNIL commence souvent par intervenir auprès de l'organisme mis en cause pour obtenir une régularisation ; une plainte peut aussi déclencher un contrôle. La démarche est expliquée pas à pas dans le guide pour porter plainte auprès de la CNIL.

Contrôler

Les agents habilités de la CNIL peuvent accéder aux locaux professionnels, demander communication de tout document, consulter les traitements, réaliser des constats en ligne depuis un poste de l'autorité ou auditionner des personnes. Les contrôles sont décidés sur la base de plaintes, d'informations reçues, de signalements de violations de données ou d'un programme annuel de thématiques prioritaires. En 2025, la CNIL a mené 323 contrôles. La page consacrée au contrôle CNIL détaille son déroulement et la façon de s'y préparer.

Sanctionner

Lorsqu'un manquement est constaté, la présidence de la CNIL peut adresser un avertissement ou une mise en demeure de se conformer dans un délai fixé. La formation restreinte peut prononcer un rappel à l'ordre, une injonction de mise en conformité assortie le cas échéant d'une astreinte, la limitation temporaire ou définitive d'un traitement et une amende administrative pouvant atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. Depuis 2022, une procédure simplifiée permet de traiter plus rapidement les dossiers simples, avec une amende plafonnée à 20 000 euros ; elle représente désormais la majorité des sanctions prononcées. Les décisions sont publiées lorsque leur publicité est jugée utile.

Le rôle européen de la CNIL

La CNIL siège au Comité européen de la protection des données (CEPD), qui réunit les autorités de contrôle des États membres et le Contrôleur européen de la protection des données. Le CEPD adopte des lignes directrices qui harmonisent l'interprétation du RGPD, rend des avis et tranche les désaccords entre autorités dans les dossiers transfrontaliers. Lorsqu'un organisme a son établissement principal dans un autre pays de l'Union, la CNIL coopère avec l'autorité chef de file ; elle reste toutefois compétente seule pour les cookies, qui relèvent de la directive ePrivacy et de la loi française.

Comment contacter la CNIL ?

Le site cnil.fr regroupe les fiches pratiques, les formulaires de plainte, de désignation du délégué et de notification des violations de données, ainsi qu'un service de questions en ligne. Pour les professionnels, la CNIL organise aussi des permanences téléphoniques juridiques. Elle n'est pas un service de conseil personnalisé : pour un projet complexe, elle oriente vers son délégué à la protection des données ou vers un conseil spécialisé.

Les chiffres clés de l'activité de la CNIL

Le rapport annuel de la CNIL donne la mesure de son activité. Pour l'année 2025, elle a reçu 20 150 plaintes, un niveau record, et réalisé 323 contrôles. Elle a prononcé 83 sanctions, pour un montant cumulé de 486 839 500 euros, et adopté au total 259 mesures correctrices, mises en demeure comprises. Une part croissante des sanctions est prononcée selon la procédure simplifiée, réservée aux dossiers les moins complexes, avec des amendes plafonnées à 20 000 euros. Ces chiffres témoignent à la fois de l'appropriation du RGPD par le public, qui exerce davantage ses droits, et du renforcement de l'action répressive, notamment sur la sécurité des données, les cookies et la prospection commerciale.

La procédure de sanction

La procédure de sanction obéit à des règles strictes, garantes des droits de la défense. Elle débute souvent par un contrôle, sur place, en ligne, sur pièces ou sur audition. Si des manquements sont constatés, la présidente de la CNIL peut adresser un rappel aux obligations, prononcer une mise en demeure de se conformer dans un délai donné, ou saisir la formation restreinte, organe distinct chargé de prononcer les sanctions. Un rapporteur, membre du collège, instruit le dossier et propose une sanction. L'organisme reçoit le rapport, peut présenter des observations écrites et être entendu lors d'une séance. La formation restreinte délibère ensuite et peut prononcer une amende, une injonction sous astreinte, une limitation du traitement ou un rappel à l'ordre. Ses décisions peuvent être rendues publiques et contestées devant le Conseil d'État.

La procédure simplifiée

Créée par la loi du 24 janvier 2022, la procédure simplifiée permet de traiter rapidement les dossiers qui ne présentent pas de difficulté particulière, par exemple en raison de l'existence d'une jurisprudence établie ou de la simplicité des faits. Le président de la formation restreinte, ou un membre désigné, statue seul, sans séance publique, sur la base d'un rapport. L'amende ne peut pas dépasser 20 000 euros, l'astreinte est plafonnée à 100 euros par jour et la décision n'est pas rendue publique. Cette procédure a permis de multiplier les sanctions sur des manquements courants, comme l'absence de réponse aux demandes de droits, la vidéosurveillance excessive des salariés ou les défauts de sécurité élémentaires.

Les priorités de contrôle

Chaque année, la CNIL annonce des thématiques prioritaires de contrôle, qui orientent une partie de ses investigations. Ces dernières années, elle a notamment ciblé la prospection commerciale, les applications mobiles, les cookies, la sécurité des données de santé, les données des mineurs, le télétravail, le droit d'accès, l'usage des caméras augmentées ou les programmes de fidélité. Connaître ces priorités, publiées sur son site, permet aux organismes d'anticiper et de vérifier en premier lieu les sujets qui intéressent le régulateur. Les plaintes restent cependant la principale source de contrôles, ce qui explique que les organismes qui traitent mal les demandes de leurs clients soient plus souvent contrôlés.

Les outils mis à disposition par la CNIL

La CNIL publie de nombreux outils gratuits. Le guide de la sécurité des données personnelles, mis à jour régulièrement, recense les mesures à mettre en œuvre. Le logiciel PIA aide à conduire une analyse d'impact. Le modèle de registre et le guide pratique pour les petites structures facilitent les premières démarches. Des référentiels sectoriels encadrent la gestion du personnel, la gestion commerciale, les cabinets médicaux ou les associations, en fixant notamment les durées de conservation. Des fiches pratiques répondent aux questions courantes, et le service de questions-réponses en ligne permet d'obtenir une orientation. Le laboratoire d'innovation numérique de la CNIL, le LINC, publie aussi des analyses prospectives sur l'intelligence artificielle, les données de santé ou les interfaces numériques.

Le contentieux des décisions de la CNIL

Les décisions de sanction de la CNIL peuvent faire l'objet d'un recours de plein contentieux devant le Conseil d'État, qui peut confirmer, réformer ou annuler la sanction. Le Conseil d'État a par exemple réduit le 23 décembre 2025 l'amende infligée à Amazon France Logistique, la ramenant de 32 à 15 millions d'euros, tout en confirmant l'essentiel des manquements relatifs à la surveillance des salariés. Les refus de donner suite à une plainte peuvent également être contestés, mais le juge reconnaît à la CNIL un large pouvoir d'appréciation dans le choix des suites à donner. Ce contrôle juridictionnel contribue à la cohérence de la doctrine et à la sécurité juridique des organismes.

La CNIL et les nouveaux règlements numériques

Le rôle de la CNIL s'élargit avec les nouveaux textes européens. Elle participe à la mise en œuvre du règlement sur l'intelligence artificielle, aux côtés d'autres autorités, notamment pour les systèmes qui traitent des données personnelles. Elle coopère avec l'Arcom pour l'application du règlement sur les services numériques, en particulier sur la publicité ciblée et la protection des mineurs. Elle intervient aussi sur le règlement sur les données et sur l'espace européen des données de santé. Cette évolution fait de la CNIL un acteur central de la régulation du numérique, au-delà du seul RGPD.

Le collège et les services

La CNIL est composée d'un collège de dix-huit membres, dont des parlementaires, des membres du Conseil économique, social et environnemental, des magistrats issus des hautes juridictions et des personnalités qualifiées désignées pour leur compétence. Le collège élit en son sein un président, nommé par décret pour cinq ans. Marie-Laure Denis préside la CNIL depuis février 2019 et a été reconduite en 2024. Le collège adopte les délibérations, recommandations, référentiels et avis de l'autorité. La formation restreinte, composée de cinq membres et d'un président distincts du président de la CNIL, prononce les sanctions. Les services, qui comptent environ trois cents agents, se répartissent entre la conformité, l'accompagnement, les plaintes, les contrôles, les affaires juridiques, la technologie et l'innovation, et les relations européennes et internationales.

Le droit d'accès indirect

Pour certains fichiers intéressant la sûreté de l'État, la défense ou la sécurité publique, ainsi que pour certains fichiers de police judiciaire, les personnes ne peuvent pas exercer directement leurs droits auprès de l'administration. Elles saisissent alors la CNIL, qui désigne l'un de ses membres magistrats pour mener les investigations et faire procéder aux modifications nécessaires. La personne est informée qu'il a été procédé aux vérifications, sans toujours obtenir communication des informations lorsque leur divulgation compromettrait la finalité du fichier. Ce dispositif, prévu par la loi Informatique et Libertés, concerne notamment les fichiers des services de renseignement et certains fichiers de police.

Le labellisation et la certification

La CNIL peut agréer des organismes certificateurs et approuver des critères de certification, conformément aux articles 42 et 43 du RGPD. Elle a notamment adopté un référentiel de certification des compétences du délégué à la protection des données et un référentiel d'agrément des organismes certificateurs. Elle encourage aussi l'élaboration de codes de conduite sectoriels, que les fédérations professionnelles peuvent lui soumettre pour approbation. Ces outils permettent aux organismes de démontrer leur conformité et aux personnes de faire confiance aux acteurs certifiés, même si aucune certification n'exonère de la responsabilité de respecter le règlement.

Saisir la CNIL d'une plainte

Toute personne peut adresser une plainte à la CNIL, gratuitement, en ligne ou par courrier. Il est recommandé d'avoir d'abord exercé ses droits auprès de l'organisme concerné, de conserver la preuve de cette démarche et de joindre les échanges à la plainte. La CNIL instruit la plainte, peut interroger l'organisme, procéder à un contrôle ou engager une procédure de sanction. Elle informe le plaignant des suites données. Si elle ne répond pas dans un délai de trois mois, le plaignant peut saisir le juge administratif, en vertu de l'article 78 du RGPD. Pour les organismes établis dans un autre État membre, la CNIL transmet la plainte à l'autorité chef de file et reste l'interlocutrice du plaignant.

Le bac à sable et l'accompagnement renforcé

Depuis 2021, la CNIL organise chaque année un « bac à sable » qui accompagne quelques projets innovants sur un thème donné : santé numérique, éducation, intelligence artificielle dans les services publics, économie des seniors. Les lauréats bénéficient pendant plusieurs mois d'un accompagnement juridique et technique pour concevoir des services respectueux de la vie privée. La CNIL propose aussi un accompagnement renforcé à des entreprises en forte croissance, ainsi que des échanges avec les fédérations professionnelles. Ces dispositifs illustrent une approche qui ne se limite pas à la sanction et vise à diffuser des bonnes pratiques à l'ensemble d'un secteur.

La CNIL et l'intelligence artificielle

La CNIL a créé en 2023 un service de l'intelligence artificielle et publié une série de fiches pratiques sur le développement des systèmes d'IA conformes au RGPD : choix de la base légale, information des personnes, minimisation des données d'entraînement, exercice des droits sur les modèles, sécurité et annotation des données. Elle a précisé en 2025 les conditions dans lesquelles l'intérêt légitime peut fonder l'entraînement de modèles, notamment à partir de données collectées en ligne, avec des garanties comme l'exclusion des sites qui s'y opposent et le filtrage des données sensibles. Ces travaux accompagnent la mise en œuvre progressive du règlement européen sur l'intelligence artificielle.

Ce que la CNIL ne fait pas

La CNIL ne rend pas de consultation juridique individuelle sur demande d'une entreprise, ne valide pas a priori les traitements en dehors des formalités résiduelles et ne délivre pas de « certificat de conformité RGPD ». Elle ne peut pas non plus accorder de dommages et intérêts aux personnes : seule une juridiction civile ou administrative peut réparer un préjudice. Elle n'est pas compétente pour les litiges commerciaux sans lien avec les données ni pour les traitements des juridictions dans leur fonction juridictionnelle. Comprendre ces limites évite des démarches inutiles et oriente vers le bon interlocuteur.

Suivre l'actualité de la CNIL

La CNIL publie régulièrement ses délibérations sur Légifrance, ses sanctions publiques sur son site, ainsi qu'une lettre d'information et des actualités thématiques. Elle propose aussi un programme d'événements, des webinaires et un rapport annuel détaillé publié au printemps. Pour un professionnel, suivre ces publications permet d'anticiper les recommandations à venir, de comprendre l'interprétation retenue par le régulateur et d'ajuster ses pratiques avant un éventuel contrôle. Les décisions de la formation restreinte, en particulier, détaillent les manquements relevés et les mesures attendues, ce qui en fait une source pédagogique précieuse.