CNIL : plus de sanctions, moins de jurisprudence

Une voie d'exception est devenue le régime ordinaire

La procédure de sanction simplifiée figure à l'article 22-1 de la loi du 6 janvier 1978 relative à l'informatique, aux fichiers et aux libertés. Elle y a été introduite par l'article 33 de la loi n° 2022-52 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure, puis précisée par le décret n° 2022-517 du 8 avril 2022. Le dispositif était présenté comme une réponse d'engorgement, dans un contexte où la CNIL enregistrait déjà plus de douze mille plaintes annuelles.

Son économie procédurale tient en quelques traits. Le président de la formation restreinte, ou un membre qu'il désigne, statue seul. L'instruction est écrite et il n'existe pas de séance publique, sauf demande de l'organisme mis en cause. Trois mesures sont possibles, le rappel à l'ordre, l'injonction de mise en conformité sous astreinte plafonnée à cent euros par jour, et l'amende administrative plafonnée à vingt mille euros. Surtout, la décision ne peut pas être rendue publique et la CNIL ne divulgue pas le nom de l'organisme sanctionné. L'article 22-1 réserve cette voie aux affaires « ne présentant pas de difficulté particulière », au regard notamment de l'existence d'une jurisprudence établie ou de décisions antérieures de la formation restreinte.

La mécanique de la procédure simplifiée

Décision rendue par un membre unique de la formation restreinte. Instruction écrite, sans séance publique de principe. Amende plafonnée à 20 000 euros, astreinte plafonnée à 100 euros par jour de retard. Aucune publicité de la décision, aucune divulgation du nom de l'organisme. Recours ouvert devant le Conseil d'État dans un délai de deux mois. Source : CNIL, page « Les pouvoirs de la formation restreinte », consultée en août 2026.

La série des quatre premières années dit ce que ce régime d'exception est devenu. En 2022, la CNIL prononce vingt-et-une sanctions au total. En 2023, elle en prononce quarante-deux, dont vingt-quatre en procédure simplifiée pour un montant cumulé de 229 500 euros. En 2024, elle en prononce quatre-vingt-sept, dont soixante-neuf en procédure simplifiée pour 715 500 euros. En 2025, elle en prononce quatre-vingt-trois, dont soixante-sept en procédure simplifiée. Au 6 juillet 2026, vingt-trois nouvelles sanctions simplifiées ont été rendues depuis janvier, pour 133 750 euros, dont dix-neuf ont pour origine une plainte individuelle et non un contrôle d'initiative.

Une seconde série, moins commentée, court en sens inverse. Le nombre de décisions rendues publiques par la formation restreinte est passé de quatorze en 2023 à douze en 2024, puis à dix en 2025. Le volume de la répression a quadruplé pendant que le nombre de décisions publiques diminuait d'un tiers. L'écart n'est pas un effet d'optique. Il décrit deux régimes désormais disjoints, une répression d'exception à très forte intensité pécuniaire et pleinement publique, dont deux décisions du 1er septembre 2025 concentrent à elles seules l'essentiel des 486,8 millions d'euros prononcés cette année-là, et une répression de masse à faible intensité et à visibilité nulle, qui porte plus de quatre décisions de sanction sur cinq.

La cadence répond à une contrainte de moyens documentée

Cette bascule ne relève pas d'un choix doctrinal formulé comme tel. Elle est la traduction organisationnelle d'un décalage que la Cour des comptes a chiffré. Son rapport sur la CNIL, délibéré le 26 mars 2026 et publié le 4 juin 2026, porte sur les exercices 2017 à 2025 et s'intitule sans détour « une montée en puissance inachevée ».

Les ordres de grandeur y sont concordants et défavorables. Les effectifs de l'autorité sont passés de 195 à 277 équivalents temps plein sur la période, soit une hausse de 42 pour cent, et le budget a progressé de 72 pour cent entre 2017 et 2024, la masse salariale représentant 86 pour cent des dépenses. Dans le même temps, les plaintes reçues sont passées de 8 360 à 17 772, soit une hausse de 113 pour cent, et les contrôles réalisés de 88 à 390, soit une hausse de 343 pour cent. Le rythme de croisière des contrôles, situé entre trois cents et trois cent cinquante par an, n'est pas appelé à évoluer. Le service consacré à l'intelligence artificielle compte six personnes au moment où la France s'apprête à confier à cette même autorité la surveillance de marché au titre du règlement européen sur l'intelligence artificielle. La réponse de la présidente de la CNIL annexée au rapport indique la nécessité d'intensifier le pilotage des plaintes et mentionne un accompagnement par la Direction interministérielle de la transformation publique engagé depuis la mi-février 2026, explicitement orienté vers des gains de productivité.

Une autorité dont les sollicitations doublent et dont les contrôles quadruplent, avec quatre-vingts agents supplémentaires en huit ans, n'a pas trente-six manières de tenir. Elle industrialise le bas du spectre. La procédure simplifiée est cette industrialisation. Sa généralisation est donc rationnelle au niveau de l'organisation, ce qui rend d'autant plus nécessaire d'examiner ce qu'elle déplace ailleurs.

Le régulateur a lui-même documenté ce que l'invisibilité coûte

L'élément le plus fort du dossier ne vient ni d'une critique externe ni d'une association professionnelle. Il vient de la CNIL. Dans ses Tables Informatique et Libertés, recueil qui organise sa doctrine et dont une réédition a été mise en ligne en mars 2026, l'autorité constate que les décisions non publiées ont été pseudonymisées, y compris pour les personnes morales, et que sa doctrine reste pour partie purement interne, fixée par des décisions que le public ne connaît pas. Elle nomme elle-même le « double inconvénient » qui en résulte, le risque que cette doctrine soit insuffisamment connue en interne, et son absence de communication aux professionnels de la protection des données, délégués à la protection des données, avocats, cabinets de conseil, juristes et ingénieurs chargés d'assurer le respect des règles.

Ce qu'un délégué à la protection des données peut savoir des vingt-trois sanctions de 2026

Le nombre total, le montant cumulé, la répartition entre plaintes et contrôles, et une typologie agrégée des manquements, vidéosurveillance excessive, cookies, droits d'accès et d'effacement, défaut de coopération. Ni les organismes concernés, ni les montants individuels, ni les motivations, ni les circonstances retenues comme aggravantes ou atténuantes.

Pour un praticien du système d'information public, la conséquence est concrète. Les organismes publics ne sont pas hors du champ. L'article 20 de la loi de 1978 fait obstacle au prononcé d'une amende contre les traitements mis en œuvre par l'État, mais les collectivités et les établissements publics restent sanctionnables, ce que la sanction de France Travail en 2025 a rappelé, l'autorité ayant motivé sa compétence par l'autonomie financière et la personnalité morale distincte de l'opérateur. En procédure simplifiée, la CNIL a sanctionné la commune de Kourou en décembre 2023 par une amende de cinq mille euros assortie d'une injonction sous astreinte de désigner un délégué à la protection des données, décision que la liquidation ultérieure de l'astreinte a rendue traçable. Son bilan 2025 mentionne, sans nommer les organismes, deux universités sanctionnées à vingt mille et quinze mille euros et une commune à dix mille euros. Selon l'analyse d'un cabinet spécialisé en droit public, les personnes publiques ont représenté 13,8 pour cent des sanctions en 2024 et 10,8 pour cent en 2025.

Un directeur des systèmes d'information territorial qui déploie un dispositif de vidéoprotection sait donc que des communes ont été sanctionnées pour ce motif, sans savoir lesquelles, ni sur quel critère de proportionnalité, ni à partir de quelle durée de conservation. Il connaît l'existence du risque sans en connaître les contours. C'est précisément la configuration que la théorie économique de la dissuasion identifie comme la moins efficace. Gary Becker, en 1968, modélise l'effet préventif d'une sanction comme le produit de sa sévérité et de la probabilité perçue d'être détecté et puni. Cette probabilité perçue par les tiers ne se forme que par l'observation des cas traités. Une sanction invisible produit un effet spécifique sur l'organisme sanctionné et à peu près aucun effet général sur les autres. Ian Ayres et John Braithwaite, dans Responsive Regulation (1992), formulent la même exigence du côté du régulateur, en soulignant que la pyramide graduée d'escalade dont ils font l'instrument central de la régulation responsive ne fonctionne qu'à la condition d'être connue à l'avance de ceux qu'elle vise.

L'indicateur de flux est devenu la finalité

Le communiqué du 6 juillet 2026 est, dans sa forme même, l'artefact le plus révélateur du dossier. Il compte des décisions, agrège des montants, ventile des origines et des typologies de manquements. Il ne raconte aucune affaire. Cette grammaire n'est pas neutre. Elle indique quelle grandeur l'institution considère comme la preuve de son action.

C'est ici que le mécanisme mérite d'être nommé. Robert King Merton a décrit en 1940 le processus par lequel une organisation bureaucratique en vient à traiter comme des fins les moyens et les procédures conçus pour servir ses objectifs. La discipline requise pour tenir un fonctionnement régulier produit un déplacement des affects et des critères de réussite vers la conformité procédurale et la performance de flux, au détriment de la finalité initiale.

Le déplacement des buts

Robert K. Merton, « Bureaucratic Structure and Personality », Social Forces, volume 18, numéro 4, 1940, pages 560 à 568, thèse reprise et développée dans Social Theory and Social Structure (Free Press, 1949, édition augmentée 1968). Merton y montre que la discipline nécessaire au fonctionnement régulier d'une bureaucratie conduit ses membres à investir les règles et les procédures d'une valeur propre, jusqu'à ce que le respect de la procédure devienne le critère de la réussite et se substitue à l'objectif qu'elle servait.

Appliqué au cas, le mécanisme est net. La finalité d'un pouvoir de sanction en matière de protection des données n'est pas de sanctionner. Elle est d'obtenir la conformité d'un ensemble d'organismes bien plus vaste que celui qui passe devant la formation restreinte. La sanction est un moyen, et sa publicité en est le vecteur de démultiplication, ce qu'Alexandre Linden, ancien président de la formation restreinte, formule dans un ouvrage collectif dirigé par Marie-Anne Frison-Roche en soutenant que la publicité des décisions constitue en elle-même une sanction. En optimisant le nombre de dossiers traités, la CNIL améliore un indicateur qui mesure réellement quelque chose, sa capacité à ne pas laisser les plaintes sans réponse, et qui est aussi le seul dont la Cour des comptes lui demande des comptes. Mais elle le fait en retirant à chaque décision la propriété qui la rendait utile aux organismes non sanctionnés. Le régulateur produit du contentieux à la chaîne et de la doctrine au compte-gouttes.

Deux précisions évitent le contresens. Le déplacement des buts n'est pas une négligence, c'est la conséquence prévisible d'une contrainte de ressources documentée dans la section précédente. Et il n'est pas total, puisque la CNIL continue de publier ses grandes décisions et d'en tirer une doctrine accessible. Ce qui se déplace, c'est le point d'équilibre entre les deux fonctions, et il se déplace dans une seule direction depuis quatre ans.

L'Autorité des marchés financiers a tranché le même arbitrage autrement

Le dilemme n'est pas propre à la protection des données. Toute autorité administrative indépendante confrontée à un afflux de dossiers a la tentation d'une voie rapide, et toutes ne l'ont pas résolu de la même façon.

L'Autorité des marchés financiers s'est dotée en 2010 d'une composition administrative, procédure négociée permettant de clore un dossier sans passer par la Commission des sanctions, puis en a étendu le champ en 2016 aux abus de marché. La logique de désengorgement est identique à celle de la CNIL. L'arbitrage sur la visibilité est inverse. Les accords de composition administrative sont homologués par la Commission des sanctions et rendus publics. La Commission des sanctions siège en séance publique depuis octobre 2010 et l'anonymisation de ses décisions y demeure exceptionnelle et bornée dans le temps. La doctrine financière est explicite sur la raison de ce choix, la décision de sanction constituant la seule source de jurisprudence de l'autorité, la soustraire au public reviendrait à priver les acteurs régulés de la norme applicable.

Deux autorités, une même contrainte de flux, deux réponses opposées sur le point exact qui décide de l'effet général de la sanction. La comparaison ne dit pas que l'AMF a raison et la CNIL tort, les enjeux de réputation d'un émetteur coté et ceux d'une commune de trois mille habitants ne sont pas commensurables. Elle établit que le silence de la procédure simplifiée est un choix et non une nécessité technique. Un précédent interne à la CNIL le confirme d'ailleurs, l'autorité ayant déjà publié une décision de sanction en anonymisant l'organisme, au motif qu'il était important d'informer le public des règles applicables sans qu'il soit utile de nommer la société. La technique existe et l'autorité la maîtrise. Elle ne l'applique pas au régime devenu majoritaire.

Un second parallèle, mentionné pour mémoire, éclaire le mouvement long. La CNIL n'a disposé d'aucun pouvoir de sanction pécuniaire de 1978 à 2004, puis d'un plafond de 150 000 euros, porté à trois millions en 2016 et aux niveaux du règlement général sur la protection des données en 2018. La procédure simplifiée de 2022 inverse cette trajectoire de montée en gamme en installant, à côté d'elle, un étage à bas coût unitaire et à haute cadence.

Ce que le prochain recueil de doctrine permettra de vérifier

Le paradoxe tient en une phrase. Une autorité qui sanctionne quatre fois plus qu'il y a quatre ans est aussi une autorité dont les organismes régulés apprennent de moins en moins. La procédure simplifiée n'a pas créé cette tension, elle l'a rendue structurelle en devenant le régime de droit commun, et la contrainte de moyens documentée par la Cour des comptes rend improbable tout retour en arrière sur la cadence.

Reste une variable indépendante de la cadence, la motivation publiée sous forme anonymisée. Rien dans l'article 22-1 n'interdit à la CNIL de diffuser des résumés motivés et non nominatifs de ses décisions simplifiées, et son propre constat dans les Tables Informatique et Libertés identifie le problème avec une netteté qui appelle une réponse.

L'hypothèse que cet article soumet à vérification est que ce constat restera sans traduction instrumentale, faute d'incitation organisationnelle à consacrer du temps de rédaction à des dossiers déjà clos. Deux indicateurs observables permettront de la tester sans information interne. Le premier est l'édition suivante des Tables Informatique et Libertés, dont les mises en ligne récentes se situent au premier trimestre, et dont il s'agira de vérifier si elle intègre des extraits motivés et anonymisés issus de la procédure simplifiée. Le second est le bilan répressif annuel que la CNIL publie chaque début d'année, où il s'agira de vérifier si le nombre de décisions rendues publiques repasse au-dessus de la douzaine alors que le total des sanctions se maintient au-delà de quatre-vingts. Si, au premier semestre 2027, le recueil de doctrine ne comporte toujours pas de motivations issues du régime majoritaire et si le nombre de décisions publiques reste inférieur ou égal à dix, l'hypothèse sera confirmée et le déplacement pourra être tenu pour installé.

---

Note méthodologique

Les faits centraux proviennent de sources primaires institutionnelles, communiqué et pages de doctrine de la CNIL, bilans répressifs annuels, rapport de la Cour des comptes du 4 juin 2026. Trois précisions factuelles ont dû être tranchées. La moyenne de 5 815 euros par dossier, arithmétiquement exacte, ne figure pas dans le communiqué du 6 juillet 2026 et provient d'un calcul de presse, elle n'est donc pas reprise ici. L'affirmation selon laquelle aucune des vingt-trois sanctions n'atteindrait le plafond de vingt mille euros n'est pas sourçable dans le communiqué primaire et a été écartée. La ventilation entre sanctions ordinaires et simplifiées pour l'exercice 2022 n'a pas pu être établie de façon fiable, seul le total de vingt-et-une sanctions est retenu. Le fichier PDF du rapport de la Cour des comptes bloque l'accès automatisé, les chiffres cités ont été recoupés sur plusieurs relais spécialisés et sont signalés comme à confirmer sur le document source avant publication. La date d'extension de la composition administrative de l'AMF aux abus de marché en 2016 est donnée sans référence au texte précis, deux véhicules législatifs de cette année étant susceptibles d'être visés. Sur les choix éditoriaux, le déplacement des buts de Merton a été préféré à une lecture par la société de l'audit de Michael Power, déjà mobilisée dans un article antérieur, et à une lecture par la régulation responsive d'Ayres et Braithwaite, conservée en appui parce qu'elle éclaire la condition de connaissance publique mais n'explique pas le mécanisme interne. Le parallèle avec l'AMF a été retenu contre celui de l'ordonnance pénale pour sa proximité structurelle supérieure, une autorité administrative indépendante arbitrant entre débit et publicité.

---

Sources

Sources primaires institutionnelles

CNIL, « La CNIL a prononcé 23 nouvelles sanctions depuis janvier au titre de la procédure simplifiée », 6 juillet 2026, https://www.cnil.fr/fr/23-nouvelles-sanctions-simplifiees

CNIL, « Les pouvoirs de la formation restreinte », page de doctrine, https://www.cnil.fr/fr/les-pouvoirs-de-la-formation-restreinte

CNIL, « Les décisions de la CNIL », https://www.cnil.fr/fr/les-decisions-de-la-cnil

CNIL, « Sanctions et mesures correctrices : la CNIL présente le bilan 2023 de son action répressive », https://www.cnil.fr/fr/sanctions-et-mesures-correctrices-la-cnil-presente-le-bilan-2023-de-son-action-repressive

CNIL, Tables Informatique et Libertés, réédition mise en ligne en mars 2026, https://www.cnil.fr/sites/default/files/2026-03/tables_il.pdf

Loi n° 2022-52 du 24 janvier 2022 relative à la responsabilité pénale et à la sécurité intérieure, article 33, Légifrance (URL à vérifier avant publication)

Décret n° 2022-517 du 8 avril 2022 modifiant le décret n° 2019-536 du 29 mai 2019, Légifrance (URL à vérifier avant publication)

Rapports officiels

Cour des comptes, rapport sur la Commission nationale de l'informatique et des libertés, exercices 2017 à 2025, délibéré le 26 mars 2026, publié le 4 juin 2026, https://www.ccomptes.fr/sites/default/files/2026-06/20260604-CNIL.pdf (chiffres à confirmer sur le document source, accès automatisé bloqué lors de la vérification)

Cadres théoriques

Robert K. Merton, « Bureaucratic Structure and Personality », Social Forces, volume 18, numéro 4, 1940, pages 560 à 568

Robert K. Merton, Social Theory and Social Structure, Free Press, 1949, édition augmentée 1968

Gary S. Becker, « Crime and Punishment : An Economic Approach », Journal of Political Economy, volume 76, numéro 2, 1968, pages 169 à 217

Ian Ayres et John Braithwaite, Responsive Regulation : Transcending the Deregulation Debate, Oxford University Press, 1992

Alexandre Linden, « Motivation et publicité des décisions de la formation restreinte de la CNIL dans une perspective de compliance », dans Marie-Anne Frison-Roche (dir.), La juridictionnalisation de la Compliance, collection Régulations et Compliance, Journal of Regulation and Compliance et Dalloz, 2023, pages 235 à 239

Parallèle historique et comparaison

Autorité des marchés financiers, composition administrative instituée par la loi de régulation bancaire et financière du 22 octobre 2010, champ étendu en 2016 aux abus de marché (référence du texte d'extension à préciser avant publication)

Agencia Española de Protección de Datos, régime de publication des sanctions supérieures à un million d'euros au Boletín Oficial del Estado, article 76.4 de la loi organique 3/2018, https://www.boe.es/diario_boe/txt.php?id=BOE-A-2024-7797

Analyses spécialisées

Analyse de cabinet sur la part des personnes publiques dans les sanctions CNIL en 2024 et 2025 (13,8 pour cent puis 10,8 pour cent), source secondaire à confirmer avant publication