CNIL : 23 sanctions simplifiées depuis janvier 2026, quels rappels pour les employeurs et les sites web ?

La CNIL a publié le 6 juillet 2026 un point d’étape sur sa procédure de sanction simplifiée. Le message est clair : les obligations liées aux données personnelles ne changent pas de fond, mais leur mise en œuvre concrète continue d’être contrôlée de près. Depuis janvier 2026, l’autorité indique avoir prononcé 23 nouvelles sanctions simplifiées, pour un montant cumulé de 133 750 euros, dont 19 à la suite de plaintes.

Pour les entreprises, l’intérêt de cette actualité ne tient donc pas à un nouveau texte, mais à un signal de conformité très pratique. Les thèmes mis en avant par la CNIL sont parlants : vidéosurveillance des salariés, bandeaux cookies, demandes d’accès ou d’effacement laissées sans réponse, et défaut de coopération avec l’autorité.

Ce qui change

Le principal changement n’est pas normatif : c’est un changement de rythme et de visibilité du contrôle. La CNIL met en avant l’usage de sa procédure simplifiée, créée pour les affaires qui ne présentent pas de difficulté particulière. Cette procédure permet une réponse plus rapide et plus légère que la procédure ordinaire, avec une décision rendue par le président de la formation restreinte ou l’un de ses membres.

La communication du 6 juillet 2026 montre surtout trois priorités de contrôle :

la surveillance excessive des salariés, notamment lorsque des caméras filment en permanence sans justification suffisante ;
les cookies et autres traceurs, lorsque le refus n’est pas aussi simple que l’acceptation ou lorsque des cookies soumis au consentement sont déposés trop tôt ;
le non-respect des droits des personnes, par exemple lorsqu’une entreprise ne répond pas, ou répond trop tard, à une demande d’accès ou d’effacement.

Qui est concerné ?

Le sujet dépasse largement les grandes plateformes numériques. Sont potentiellement concernées des sociétés de restauration, de transport, de commerce, de services en ligne, d’e-commerce ou de prospection commerciale. Les employeurs sont directement visés lorsqu’ils utilisent des dispositifs de vidéosurveillance sur les lieux de travail. Les éditeurs de sites, applications ou parcours marketing sont concernés dès qu’ils déposent des traceurs publicitaires ou mesurent le comportement des utilisateurs.

Les équipes RH, les directions juridiques, les responsables conformité et les DPO ont intérêt à lire cette actualité comme un rappel transversal : une réclamation individuelle d’un salarié, d’un client ou d’un prospect peut suffire à faire remonter un dossier jusqu’à la CNIL.

Quelles conséquences pratiques ?

Première conséquence : les entreprises doivent vérifier si leurs dispositifs sont proportionnés. En matière de vidéosurveillance, la CNIL rappelle qu’une caméra ne doit pas filmer en permanence les salariés sans circonstance exceptionnelle. Le principe de minimisation des données impose de collecter seulement ce qui est nécessaire à l’objectif poursuivi.

Deuxième conséquence : les interfaces cookies doivent être revues avec un œil très concret. Si l’utilisateur peut tout accepter en un clic, il doit aussi pouvoir tout refuser en un clic. Un bouton d’acceptation immédiate accompagné d’un refus plus compliqué via un écran de personnalisation reste exposé.

Troisième conséquence : le traitement des demandes d’accès et d’effacement doit être organisé. Il faut une procédure interne, des délais suivis et des réponses traçables. L’absence de réponse, ou une réponse trop tardive, peut nourrir une sanction simplifiée.

Enfin, la coopération avec la CNIL n’est pas facultative : lorsqu’elle sollicite un organisme, l’entreprise doit répondre sérieusement et dans les délais.

Les points de vigilance

Il faut éviter deux contresens. D’abord, la communication du 6 juillet 2026 ne crée pas de nouvelles obligations : elle illustre la manière dont la CNIL applique des règles déjà en vigueur, en particulier le RGPD et la loi Informatique et Libertés. Ensuite, les sanctions simplifiées ne sont pas réservées à des manquements mineurs au sens pratique du terme : elles sont « simplifiées » sur le plan procédural, pas anodines dans leurs effets réputationnels et organisationnels.

Autre point important : la CNIL indique que les organismes sanctionnés dans cette procédure ne sont pas nommément divulgués, et que l’amende ne peut pas dépasser 20 000 euros. Le risque ne se limite toutefois pas au montant de l’amende : il faut aussi compter le temps de traitement, la mise en conformité et les ajustements internes.

Ce qu’il faut retenir

La publication du 6 juillet 2026 doit être lue comme un rappel très opérationnel : la conformité RGPD se joue aussi sur des sujets quotidiens et visibles, pas seulement sur de grands projets de transformation. Pour les entreprises, trois réflexes ressortent : limiter les dispositifs de surveillance à ce qui est strictement nécessaire, corriger les bandeaux cookies trop orientés vers l’acceptation, et traiter sans délai les demandes d’accès ou d’effacement. La CNIL montre qu’elle peut intervenir vite lorsque les règles sont bien établies et que les faits sont simples à qualifier.

Date d’entrée en vigueur : aucune nouvelle entrée en vigueur normative n’est attachée à la communication CNIL du 6 juillet 2026. Les obligations rappelées étaient déjà applicables, notamment au titre du RGPD, applicable depuis le 25 mai 2018.

Références précises : CNIL, « La CNIL a prononcé 23 nouvelles sanctions depuis janvier au titre de la procédure simplifiée », 6 juillet 2026 ; règlement (UE) 2016/679 du 27 avril 2016, notamment ses articles 5, 12, 15, 17 et 99 ; article 18 et article 82 de la loi Informatique et Libertés, tels que cités par la CNIL dans sa page de référence.

Sources officielles

Date de dernière vérification : 21 juillet 2026.

Cet article présente une information juridique générale et ne remplace pas une consultation adaptée à votre situation.