Qu’est-ce que la CNIL, et que peut-elle contre votre entreprise ?
L’autorité de contrôle française, dotée de vrais pouvoirs. La conformité RGPD en France commence par savoir qui la vérifie : la Commission nationale de l’informatique et des libertés, ou CNIL, autorité administrative indépendante que l’article 8 de la loi n° 78-17 du 6 janvier 1978, dite Informatique et libertés, vérifié en octobre 2026, désigne comme autorité de contrôle nationale pour le RGPD, chargée d’informer, de guider et de contrôler.
Contrôles : sur place, en ligne, sous identité d’emprunt
Selon l’article 19, les membres et agents habilités de la CNIL ont accès, de 6 heures à 21 heures, aux locaux servant à un traitement, après information du procureur ; si l’occupant s’y oppose, la visite requiert l’autorisation du juge. Ils peuvent demander tout document et accéder aux programmes et aux données. En ligne, ils agissent au besoin sous une identité d’emprunt.
De l’avertissement à l’amende
L’article 20, vérifié en octobre 2026, gradue les mesures. Le président de la CNIL peut vous avertir, vous rappeler à vos obligations ou vous mettre en demeure, dans un délai ramené à 24 heures en cas d’urgence, et la rendre publique.
La formation restreinte peut ensuite prononcer un rappel à l’ordre, une injonction sous astreinte jusqu’à 100 000 euros par jour, la limitation ou l’interdiction du traitement, la suspension des flux et une amende jusqu’aux plafonds de l’article 83 du RGPD, détaillés dans le guide du représentant dans l’Union.
Où la France ajoute-t-elle au RGPD ?
En cinq endroits qu’une entreprise rencontre chaque mois. Le RGPD s’applique directement ; la loi Informatique et libertés occupe les marges laissées aux États membres et transpose la directive ePrivacy ; la CNIL traduit l’ensemble en lignes directrices, modèles et téléservices.
Ligne par ligne : une information en français, avec les mentions mineurs et décès ; un consentement aux cookies par acte positif clair, refusé aussi simplement que donné, prouvé, conservé six mois ; un modèle CNIL pour le registre, un téléservice pour le DPO ; quatorze traitements listés ; une notification des violations à la CNIL en ligne.
Mineurs : quinze ans, non seize
L’article 8 du RGPD fixe à 16 ans le consentement seul d’un enfant à un service en ligne et laisse les États membres descendre à 13 ans. L’article 45 de la loi n° 78-17, vérifié en octobre 2026, retient 15 ans en France ; avant 15 ans, le mineur et les titulaires de l’autorité parentale consentent conjointement. L’information d’un mineur est rédigée en termes clairs et simples.
Les données après le décès
L’article 85, vérifié en octobre 2026, permet à chacun de définir des directives sur le sort de ses données après son décès, auprès d’un tiers de confiance certifié par la CNIL ou auprès de vous, par un consentement spécifique, jamais par vos conditions générales. Tout service en ligne informe l’utilisateur du sort de ses données à son décès (article 85, III).
Aucune formalité préalable pour une entreprise
Une entreprise privée ne dépose aucune déclaration à la CNIL avant de traiter. Les formalités que la loi conserve, aux articles 31 et 32, concernent les traitements pour le compte de l’État, de la sûreté aux données biométriques, par arrêté ou décret après une position publiée de la CNIL.
Qu’exige le consentement aux cookies en France ?
Un consentement avant tout traceur non strictement nécessaire, par un acte aussi simple à refuser qu’à donner. L’article 82 de la loi n° 78-17, vérifié en octobre 2026, transpose l’article 5.3 de la directive ePrivacy 2002/58/CE : l’utilisateur est informé de manière claire et complète de la finalité de tout accès à son terminal ou de toute inscription, et des moyens de s’y opposer ; l’accès ou l’inscription ne suit que le consentement.
Deux exemptions, lues strictement
L’article 82 exempte ce qui permet seulement la communication électronique et ce qui est strictement nécessaire à un service expressément demandé. Les lignes directrices de la CNIL du 17 septembre 2020, délibération n° 2020-091, vérifiées en octobre 2026, énumèrent les traceurs exemptés : le choix de l’utilisateur, l’authentification, le panier d’achat, la langue et certains traceurs de mesure d’audience sous conditions.
Un acte positif clair, un refus aussi simple
Le consentement doit être libre, spécifique, éclairé et univoque, par un acte positif clair. Naviguer, faire défiler ou une case précochée ne vaut pas consentement ; sans acte positif, l’utilisateur a refusé. Il doit connaître les responsables, les finalités, la manière d’accepter ou de refuser et le droit de retrait. Le refus ne doit exiger aucune démarche, ou une action aussi simple que l’acceptation.
La recommandation n° 2020-092 du même jour, guide pratique et non règle, recommande fortement deux boutons de même format, « tout accepter » et « tout refuser » : un clic pour accepter contre plusieurs pour refuser biaise le choix.
Preuve et durées
Vous devez pouvoir prouver à tout moment le consentement (article 7.1 du RGPD), par exemple par des captures d’écran horodatées. Conserver le choix de l’utilisateur, consentement ou refus, pendant 6 mois est une bonne pratique ; les traceurs de mesure d’audience exemptés devraient vivre 13 mois, avec 25 mois de conservation des données. Ces durées sont des recommandations, non l’article 82.
Votre politique de confidentialité doit-elle être en français ?
Pour un public français, rédigez-la en français, et ajoutez deux mentions françaises. Le contenu vient du RGPD ; la langue et les ajouts, du droit français.
Ce qu’exigent les articles 13 et 14
Les articles 13 et 14 du RGPD, vérifiés en octobre 2026, énumèrent ce que vous indiquez aux personnes lors de la collecte, ou dans le mois si les données viennent d’ailleurs : identité et coordonnées, celles du représentant dans l’Union et du DPO le cas échéant, finalités et base juridique, destinataires, transferts hors de l’Union, durée de conservation, droits et décisions automatisées. L’article 12 exige des termes clairs et simples.
La langue, et deux mentions françaises
Le RGPD ne nomme aucune langue. L’article 2 de la loi n° 94-665 du 4 août 1994, dite loi Toubon, vérifié en octobre 2026, impose le français dans la désignation, l’offre, la présentation, le mode d’emploi et les conditions de garantie d’un produit ou d’un service, dans les factures et dans la publicité. Une information qui encadre le service offert en France relève de cette présentation : rédigez-la en français, avec une version anglaise pour vos collaborateurs.
Deux mentions viennent du seul droit français : pour les mineurs, une information en termes clairs et simples (article 45) ; pour un service en ligne, le sort des données au décès (article 85, III). La langue de vos contrats est traitée dans le guide pour faire des affaires en France.
Vous faut-il un registre et un DPO en France ?
Un registre des traitements presque toujours ; un DPO seulement dans les cas de l’article 37.
Le registre, et le modèle de la CNIL
L’article 30 du RGPD, vérifié en octobre 2026, impose à chaque responsable du traitement, et à chaque sous-traitant pour ce qu’il fait pour ses clients, un registre écrit : coordonnées, finalités, catégories de personnes et de données, destinataires, transferts, durées et mesures de sécurité. La dispense sous 250 salariés tombe dès que le traitement n’est pas occasionnel, comporte un risque ou porte sur des données sensibles ou pénales.
La CNIL n’y voit guère plus qu’une campagne ponctuelle. Elle publie un modèle de registre au format tableur et recommande deux registres si vous êtes à la fois responsable et sous-traitant (page vérifiée en octobre 2026).
Quand le DPO est obligatoire, et comment le désigner
L’article 37 du RGPD, vérifié en octobre 2026, impose un délégué à la protection des données aux organismes publics, aux activités de base exigeant un suivi régulier et systématique à grande échelle des personnes, et à celles traitant à grande échelle des données sensibles ou pénales. Le droit français n’ajoute aucun cas pour les entreprises privées. Le DPO, salarié ou prestataire, doit avoir compétences, moyens et indépendance : les trois conditions que la CNIL vous demande de vérifier.
La désignation, le remplacement et la fin de mission passent exclusivement par le téléservice DPO de la CNIL, page du 3 avril 2026 vérifiée en octobre 2026, dont les formulaires demandent votre numéro SIREN. Le DPO n’est ni le représentant dans l’Union du guide de l’article 27 ni une prestation de Concord.
Qu’exigent l’analyse d’impact et la violation de données en France ?
Une analyse avant tout traitement à risque élevé, avec une liste française de quatorze types ; une notification à la CNIL sous 72 heures si possible.
La liste de la CNIL : quatorze types de traitements
L’article 35 du RGPD, vérifié en octobre 2026, impose une analyse d’impact avant tout traitement susceptible d’engendrer un risque élevé, et laisse chaque autorité lister ceux qui l’exigent toujours. La liste de la CNIL, délibération n° 2018-327 du 11 octobre 2018, vérifiée en octobre 2026, compte quatorze types, dont le profilage RH, la surveillance constante des salariés, les alertes professionnelles, le profilage pouvant exclure d’un contrat et la localisation à grande échelle.
Hors liste, deux des neuf critères du CEPD remplis appellent une analyse. L’analyse décrit le traitement, en évalue la nécessité, les risques et les mesures (article 35.7) ; elle n’est transmise à la CNIL que si le risque résiduel reste élevé (article 36).
72 heures pour notifier la CNIL
L’article 33 du RGPD, vérifié en octobre 2026 : une violation est notifiée à l’autorité compétente, si possible 72 heures au plus tard après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque. En France, elle passe par le téléservice de notification de la CNIL, vérifié en octobre 2026, qui accepte une notification initiale, puis un complément quand les faits sont connus.
Chaque violation est documentée en interne, notifiée ou non. Si le risque est élevé, les personnes sont aussi informées (article 34) ; la CNIL peut l’ordonner, à vos frais (articles 20 et 22 de la loi). Un sous-traitant vous notifie, non la CNIL, dans les heures convenues dans le contrat de sous-traitance.
Comment la CNIL sanctionne-t-elle, et que publie-t-elle ?
Par deux procédures, dont une seule est publique nommément.
Deux procédures
Selon l’article 22 de la loi n° 78-17, vérifié en octobre 2026, la formation restreinte statue sur le rapport d’un membre de la CNIL qui n’y siège pas ; vous recevez le rapport et pouvez vous faire assister ou représenter. La formation peut rendre ses décisions publiques, à vos frais, et vous ordonner d’informer individuellement chaque personne concernée.
L’article 22-1, vérifié en octobre 2026, ajoute une procédure simplifiée devant le président de la formation restreinte, ou un membre statuant seul, pour les affaires sans difficulté particulière : une amende de 20 000 euros au plus et une astreinte de 100 euros par jour, portées à 100 000 euros et 500 euros par jour au-delà de 50 millions d’euros de chiffre d’affaires mondial. Ces décisions ne peuvent pas être rendues publiques.
| Qui décide | Mesures | Plafond | Article de la loi n° 78-17 |
|---|---|---|---|
| Le président de la CNIL | Avertissement, rappel aux obligations, mise en demeure, éventuellement publique | Délai qu’il fixe, 24 heures en cas d’urgence | Article 20, I et III |
| La formation restreinte | Rappel à l’ordre, injonction sous astreinte, limitation ou interdiction, suspension des flux, amende, publication | Astreinte jusqu’à 100 000 euros par jour ; amende jusqu’aux plafonds de l’article 83 du RGPD | Articles 20, IV et 22 |
| Son président seul, procédure simplifiée | Rappel à l’ordre, injonction, amende, jamais publiées | 20 000 euros et 100 euros par jour ; 100 000 euros et 500 euros par jour au-delà de 50 millions d’euros de chiffre d’affaires | Article 22-1 |
Ce que montre la liste publiée
La page des sanctions de la CNIL, mise à jour le 14 avril 2026 et vérifiée en octobre 2026, liste chaque décision depuis le RGPD par date, type d’organisme et manquements. Début 2026, quelques amendes en millions contre de grands opérateurs côtoient une majorité d’amendes simplifiées de quelques milliers d’euros contre de petites sociétés et des associations, pour l’information des personnes, le droit d’accès, la vidéosurveillance ou les cookies.
L’audit de conformité RGPD de Concord confronte vos traitements au RGPD et à cette couche française, établit le registre et dit si une analyse d’impact ou un DPO est requis. La politique de confidentialité et de cookies, en français et en anglais, porte les mentions et la bannière qu’attendent les utilisateurs français et la CNIL. Montrez-nous votre site et vos formulaires. Les autres questions de données d’un client français sont dans le guide pour faire des affaires en France.