Comment se déroule un contrôle de la CNIL et comment s'y préparer ?

Pourquoi la CNIL contrôle-t-elle ?

Les contrôles de la CNIL ont plusieurs origines : une ou plusieurs plaintes reçues, la notification d'une violation de données, des informations publiées dans la presse, ou le programme annuel de contrôles fixé sur des thématiques prioritaires. Au cours des dernières années, ces thématiques ont notamment porté sur les cookies, la prospection commerciale, la surveillance des salariés, la sécurité des données de santé, les applications mobiles et l'action des administrations publiques. En 2025, la CNIL a réalisé 323 contrôles. Un contrôle n'est pas une sanction : il vise à vérifier la conformité et peut se clore sans suite.

Le déroulement d'un contrôle sur place

Les agents habilités se présentent, en général sans prévenir, avec un ordre de mission. Ils informent le responsable des lieux de l'objet du contrôle et de son droit de s'y opposer : en cas d'opposition, la visite ne peut avoir lieu qu'avec l'autorisation du juge des libertés et de la détention. Ils peuvent accéder aux locaux professionnels, demander communication de tout document, en prendre copie, accéder aux programmes informatiques et aux données, et recueillir des renseignements auprès de toute personne. Le secret professionnel ne leur est pas opposable, sauf exceptions (relation avocat-client, secret des sources, secret médical dans certaines conditions). Un procès-verbal est dressé à la fin de la mission et signé par les parties.

Le contrôle en ligne

Depuis 2014, la CNIL peut effectuer des constatations en ligne, sans se déplacer, en accédant à un site ou à une application comme le ferait un utilisateur, y compris en créant un compte. Ces contrôles sont fréquents pour les cookies et les formulaires : les agents vérifient par exemple quels traceurs sont déposés avant tout consentement et si le refus est aussi simple que l'acceptation. Un procès-verbal est ensuite adressé à l'organisme.

Les obligations de l'organisme contrôlé

L'article 31 du RGPD impose au responsable et au sous-traitant de coopérer avec l'autorité de contrôle. Faire obstacle à l'action de la CNIL, en s'opposant à l'exercice des missions de ses agents, en refusant de communiquer les documents demandés ou en communiquant des informations inexactes, constitue un délit puni d'un an d'emprisonnement et de 15 000 euros d'amende (article 18 de la loi Informatique et Libertés). L'organisme peut se faire assister d'un conseil et il est recommandé de désigner un interlocuteur unique pendant le contrôle, d'accompagner les agents et de noter les documents remis.

Les documents généralement demandés

Les agents demandent presque toujours le registre des traitements, les mentions d'information et la politique de confidentialité, les contrats avec les sous-traitants, les analyses d'impact, le registre des violations, les procédures de gestion des droits, la documentation de sécurité (politique de mots de passe, gestion des habilitations, journalisation, sauvegardes) et, selon l'objet du contrôle, les preuves de consentement ou la configuration des dispositifs de surveillance. Pouvoir les produire rapidement donne d'emblée une image sérieuse de l'organisme.

Les suites possibles

Après le contrôle, la CNIL peut clore la procédure si aucun manquement n'est constaté ou s'il a été corrigé, adresser un rappel aux obligations légales, prononcer une mise en demeure de se conformer dans un délai fixé, ou engager une procédure de sanction devant la formation restreinte. Dans ce dernier cas, un rapporteur instruit le dossier, l'organisme reçoit un rapport auquel il peut répondre par écrit et, en procédure ordinaire, présenter ses observations lors d'une séance. Les mesures possibles et leurs montants sont présentés dans le guide des sanctions RGPD.

La meilleure préparation : une conformité vivante

Il n'existe pas de préparation de dernière minute efficace. Les organismes qui traversent sereinement un contrôle sont ceux qui connaissent leurs traitements, ont désigné un pilote, tiennent leur documentation à jour et ont corrigé les écarts les plus visibles. La méthode décrite dans le guide de la mise en conformité RGPD constitue la meilleure assurance, et la checklist RGPD permet de faire un point rapide.

Les quatre types de contrôles

La CNIL dispose de quatre modalités de contrôle, prévues par la loi Informatique et Libertés. Le contrôle sur place permet aux agents habilités de se rendre dans les locaux de l'organisme, entre 6 heures et 21 heures, pour accéder aux locaux, aux matériels, aux programmes et aux données, demander la communication de documents et recueillir des explications. Le contrôle en ligne permet de constater à distance, à partir d'un service de communication accessible au public, des manquements sur un site ou une application, éventuellement sous une identité d'emprunt. Le contrôle sur pièces consiste à adresser à l'organisme un questionnaire et une demande de documents. Le contrôle sur audition permet de convoquer des représentants de l'organisme dans les locaux de la CNIL pour recueillir leurs explications. Ces modalités peuvent être combinées au cours d'une même procédure.

L'origine des contrôles

Les contrôles de la CNIL ont plusieurs origines. Une part importante fait suite à des plaintes ou à des signalements, qui révèlent un manquement possible. Une autre part découle du programme annuel de contrôles, qui cible des thématiques prioritaires définies chaque année, comme la prospection commerciale, les données des mineurs, la sécurité des données de santé, l'usage des caméras augmentées ou le droit d'accès. La CNIL contrôle aussi à la suite de violations de données notifiées ou révélées dans la presse, et dans le cadre de la coopération européenne, à la demande d'autres autorités. Enfin, elle vérifie le respect des mises en demeure qu'elle a prononcées. En 2025, la CNIL a réalisé 323 contrôles.

Le déroulement pas à pas d'un contrôle sur place

Lors d'un contrôle sur place, généralement inopiné, les agents de la CNIL se présentent, déclinent leur identité, présentent leur ordre de mission et informent le responsable des lieux de l'objet du contrôle et de son droit de s'y opposer. En cas d'opposition, la visite ne peut avoir lieu qu'avec l'autorisation d'un juge des libertés et de la détention. Les agents rencontrent les personnes compétentes, comme le dirigeant, le délégué à la protection des données ou le responsable informatique, posent des questions, consultent les traitements sur les postes, demandent des copies de documents et de données et réalisent des constats. À la fin de la visite, un procès-verbal est dressé, qui retrace les opérations effectuées, les documents recueillis et les déclarations des personnes entendues. L'organisme reçoit une copie du procès-verbal et peut formuler des observations.

Le contrôle en ligne en pratique

Le contrôle en ligne est devenu un outil majeur de la CNIL, en particulier pour les cookies, les formulaires, les politiques de confidentialité et la sécurité des sites. Les agents naviguent sur le site ou utilisent l'application, analysent les traceurs déposés, les requêtes envoyées vers des tiers, les informations fournies et le fonctionnement du bandeau de consentement, et consignent leurs constats dans un procès-verbal. Ils peuvent créer un compte sous une identité d'emprunt pour tester un parcours, par exemple la création et la suppression d'un compte, ou l'exercice des droits. Ces contrôles sont rapides et peu coûteux, ce qui permet à la CNIL d'examiner de nombreux sites. L'organisme n'en est souvent informé qu'à réception du procès-verbal.

Bien se préparer à un contrôle

Un organisme peut se préparer à un éventuel contrôle sans attendre. Il désigne la personne qui accueillera les agents et prévient l'accueil de la procédure à suivre. Il tient à jour un dossier de conformité rassemblant le registre des traitements, les analyses d'impact, les contrats de sous-traitance, les mentions d'information, les procédures relatives aux droits et aux violations, le registre des violations, la politique de sécurité et les preuves de sensibilisation. Il s'assure que les personnes clés connaissent les traitements et peuvent répondre aux questions. Il vérifie régulièrement son site internet comme le ferait un contrôleur. Cette préparation ne vise pas à dissimuler des manquements, ce qui serait contre-productif, mais à démontrer la démarche de conformité et à faciliter les échanges.

L'entrave à l'action de la CNIL

Le fait d'entraver l'action de la CNIL est un délit, puni d'un an d'emprisonnement et de 15 000 euros d'amende par l'article 18 de la loi Informatique et Libertés. Constituent une entrave le refus de communiquer des documents ou des informations, la communication d'informations inexactes, la dissimulation ou la destruction de documents, ou le fait de s'opposer à l'exercice des missions des agents en dehors du droit d'opposition prévu par la loi. Le défaut de coopération avec l'autorité constitue aussi un manquement au RGPD, sanctionnable par une amende administrative. La CNIL a sanctionné plusieurs organismes qui n'avaient pas répondu à ses demandes ou l'avaient fait de manière incomplète.

Les documents demandés en détail

Lors d'un contrôle, la CNIL demande généralement un ensemble de documents qui permettent d'évaluer la conformité de l'organisme. Le registre des activités de traitement figure en tête de liste. Viennent ensuite les mentions d'information et la politique de confidentialité, les modèles de formulaires de collecte, les contrats conclus avec les sous-traitants, les analyses d'impact, la désignation du délégué et ses rapports, la politique de sécurité et la gestion des habilitations, les procédures de réponse aux demandes de droits et les demandes reçues, le registre des violations et les notifications, les durées de conservation et les preuves de purge, la charte informatique, et, selon le cas, les éléments relatifs à la vidéosurveillance, à la géolocalisation ou aux transferts hors de l'Union. Les agents peuvent aussi demander des extractions de bases de données pour vérifier l'ancienneté des données ou la présence de données excessives.

Après le contrôle : les suites possibles

À l'issue du contrôle, la CNIL analyse les constats et les documents recueillis. Plusieurs suites sont possibles. Si aucun manquement n'est relevé, ou si les manquements sont mineurs et ont été corrigés, la procédure est clôturée, parfois accompagnée de recommandations. Si des manquements sont constatés, la présidente de la CNIL peut adresser un rappel aux obligations, prononcer une mise en demeure de se conformer dans un délai, généralement de quelques mois, ou saisir la formation restreinte en vue d'une sanction. La mise en demeure peut être rendue publique. Si l'organisme ne se conforme pas à la mise en demeure, une sanction peut être engagée. Pour les manquements les moins complexes, la procédure simplifiée peut être utilisée directement. L'organisme est informé de chaque étape et peut présenter des observations.

Les droits de l'organisme contrôlé

L'organisme contrôlé dispose de garanties. Il peut s'opposer à la visite sur place, qui ne peut alors avoir lieu qu'avec l'autorisation d'un juge, sauf urgence. Il peut se faire assister par un conseil de son choix. Il peut invoquer le secret professionnel pour certaines informations, comme les échanges avec son avocat ou le secret médical, dans les conditions prévues par la loi. Il reçoit une copie du procès-verbal et peut y apporter des observations. Dans la procédure de sanction, il a accès au dossier, reçoit le rapport du rapporteur, dispose d'un délai pour présenter des observations écrites et peut être entendu lors de la séance de la formation restreinte. Il peut contester la sanction devant le Conseil d'État. Ces garanties assurent le caractère équitable de la procédure.

Le contrôle comme occasion d'amélioration

Un contrôle de la CNIL est souvent vécu comme une épreuve, mais il peut aussi être l'occasion d'améliorer ses pratiques. Les constats des agents mettent en lumière des faiblesses que l'organisme n'avait pas identifiées, et la mise en demeure fixe un cadre clair pour y remédier. Les organismes qui abordent le contrôle de manière transparente et coopérative, en reconnaissant les manquements et en présentant un plan d'action, obtiennent généralement une issue plus favorable. Après le contrôle, il est utile de mener un retour d'expérience, de mettre à jour la documentation et de renforcer la sensibilisation des équipes, pour que la démarche de conformité sorte durablement renforcée de cet épisode.

Les contrôles conjoints et européens

La CNIL participe à des actions coordonnées avec les autres autorités européennes, dans le cadre du Comité européen de la protection des données. Chaque année, une action coordonnée porte sur un thème commun, comme l'usage du cloud par le secteur public en 2022, le rôle des délégués à la protection des données en 2023, le droit d'accès en 2024 ou le droit à l'effacement en 2025. Les autorités adressent des questionnaires ou mènent des contrôles auprès d'organismes de leur pays, puis publient un rapport commun. Ces actions permettent de comparer les pratiques et d'harmoniser l'application du RGPD. Elles peuvent aussi déboucher sur des procédures nationales lorsque des manquements sont constatés.

Les contrôles dans les collectivités

Les collectivités territoriales sont aussi contrôlées par la CNIL, qui y vérifie notamment la sécurité des systèmes d'information, souvent fragilisés par des moyens limités, la vidéoprotection, la gestion de l'état civil et des listes électorales, les services en ligne et la désignation du délégué. Plusieurs collectivités ont été victimes de cyberattaques ayant paralysé leurs services et exposé les données des habitants. La CNIL a sanctionné certaines communes et intercommunalités pour des défauts de sécurité ou de vidéoprotection, et accompagne le secteur public local par des guides et des partenariats avec les associations d'élus.

Questions fréquentes sur les contrôles

La CNIL prévient-elle avant un contrôle sur place ? En principe non, les contrôles sur place sont généralement inopinés, afin de constater la situation réelle. Peut-on refuser l'entrée aux agents ? Oui, le responsable des lieux peut s'opposer à la visite, mais la CNIL peut alors obtenir l'autorisation d'un juge, et l'opposition sera mentionnée dans le procès-verbal. Combien de temps dure un contrôle ? Une visite sur place dure généralement une journée, parfois davantage pour les grandes structures. Un contrôle aboutit-il toujours à une sanction ? Non, la majorité des contrôles débouchent sur une clôture, un rappel aux obligations ou une mise en demeure. Peut-on être contrôlé sans avoir reçu de plainte ? Oui, dans le cadre du programme annuel ou de la veille de la CNIL. Ces réponses permettent d'aborder le sujet sans appréhension excessive.

Le rôle du délégué pendant le contrôle

Lorsque l'organisme a désigné un délégué à la protection des données, celui-ci est l'interlocuteur naturel des agents : il connaît les traitements, sait où trouver les documents et peut coordonner les réponses des services pendant et après la visite.

Les organismes qui ont formalisé leur démarche abordent le contrôle sereinement, car ils peuvent montrer en quelques minutes ce qu'ils ont mis en place et ce qu'il leur reste à faire.

Après la visite

Dans les jours qui suivent, l'organisme a intérêt à transmettre rapidement les documents complémentaires promis aux agents et à engager sans attendre les corrections évidentes.