La CNIL a communiqué son bilan de la procédure simplifiée : 23 sanctions prononcées depuis janvier 2026, chacune plafonnée à 20 000 euros. Un chiffre modeste en apparence. Mais un détail change la lecture du bilan : 19 sanctions sur 23 trouvent leur origine dans une plainte, pas dans un contrôle programmé par l’autorité. Trois familles de manquements Trois familles de manquements se dégagent des décisions publiées. La vidéosurveillance d’abord : des sociétés de restauration rapide, de transport urbain et de commerces en gare ont été sanctionnées pour des dispositifs sans autorisation préfectorale, ou pour avoir filmé en continu leurs propres salariés, en violation de l’article 5.1 du RGPD. Les cookies ensuite, avec des bandeaux jugés incomplets chez des acteurs de la billetterie en ligne et de la télémercatique, et des dépôts de cookies tiers sans consentement recueilli. Enfin, huit sanctions visent le non-respect des droits d’accès ou d’effacement. Des avocats et des médecins figurent parmi les organismes sanctionnés pour n’avoir tout simplement pas répondu dans les délais. Un rythme d’environ une sanction par semaine Le rythme donne la mesure du sujet : une sanction par semaine environ, sur six mois. Et la majorité écrasante ne vient pas d’un audit CNIL planifié à l’avance. Elle vient d’un client, d’un salarié ou d’un patient qui a exercé son droit et n’a pas obtenu de réponse dans le délai légal d’un mois. La CNIL ne communique aucun montant précis pour ces 23 décisions, contrairement à la sanction de 100 000 euros infligée à la Samaritaine en septembre 2025 pour des caméras et micros dissimulés aux salariés, celle-ci relevant de la procédure ordinaire. Ce que les organisations doivent en retenir Pour une organisation, le signal à retenir dépasse le montant des amendes. Le point d’entrée du risque, ce n’est pas un contrôle sur site annoncé à l’avance. C’est une demande individuelle mal orientée en interne, qui se perd entre le service client et le DPO, ou qui atterrit chez un collaborateur qui ne sait pas quoi en faire. Vérifier que chaque demande de droit d’accès ou d’effacement reçue est tracée, assignée et traitée dans le délai d’un mois coûte nettement moins cher qu’une sanction, même simplifiée.
