La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié un bilan de son activité de sanction par procédure simplifiée pour le premier semestre 2026, révélant 23 nouvelles décisions pour un montant total de 133 750 €. Ces sanctions ciblent principalement des manquements récurrents liés à la vidéosurveillance des salariés, à la gestion des témoins de connexion et au respect des droits des personnes.

Faits et contexte

La Commission Nationale de l'Informatique et des Libertés (CNIL) a publié le 6 juillet 2026 un bilan de 23 nouvelles sanctions prononcées depuis janvier 2026 dans le cadre de la procédure simplifiée, pour un montant total d'amendes de 133 750 €, concernant principalement la vidéosurveillance, les témoins de connexion et le respect des droits des personnes.

Ces procédures ont été majoritairement initiées à la suite de plaintes, qui sont à l'origine de 19 des 23 décisions.

Motifs de la décision

L'autorité a identifié plusieurs catégories de manquements :

• Obligation de licéité du traitement (article 5, paragraphe 1, point a, du RGPD) : L'autorité a sanctionné des sociétés pour l'exploitation de systèmes de vidéosurveillance sans l'autorisation préfectorale requise par la législation nationale, ce qui a eu pour effet de rendre le traitement de données illicite dès son origine.
• Obligation de minimisation des données (article 5, paragraphe 1, point c, du RGPD) : Des manquements ont été retenus à l'encontre d'organismes qui filmaient leurs salariés de manière continue et sans justification particulière, ce que l'autorité a jugé excessif et disproportionné au regard des finalités poursuivies, et donc contraire au principe de minimisation.
• Obligation de recueil du consentement et d'information préalable au dépôt de témoins de connexion (article 82 de la loi Informatique et Libertés) : L'autorité a constaté que plusieurs sites déposaient des témoins de connexion non essentiels avant toute action de l'utilisateur, ou présentaient des bandeaux d'information incomplets. De plus, le mécanisme de refus n'était pas aussi simple que celui d'acceptation, obligeant l'utilisateur à effectuer plusieurs clics pour refuser alors qu'un seul suffisait pour accepter, ce qui contrevient à l'exigence d'un refus aussi aisé qu'un consentement.
• Obligation de respecter les droits des personnes (articles 12, 15 et 17 du RGPD) : Plusieurs organismes ont été sanctionnés pour ne pas avoir répondu, ou avoir répondu hors des délais légaux, aux demandes d'accès ou d'effacement de données formulées par des personnes concernées.
• Obligation de coopérer avec l'autorité de contrôle (article 31 du RGPD) : L'autorité a sanctionné des organismes, notamment des avocats et des médecins, pour leur absence de réponse à ses sollicitations durant l'instruction des plaintes, constituant un manquement autonome à leur devoir de coopération.

Décision de l'autorité

En conséquence, l'autorité a imposé des amendes d'un montant total de 133 750 €.

En outre, l'autorité a ordonné à certains organismes des injonctions de se mettre en conformité, assorties d'astreintes financières qui ont été liquidées en cas de non-respect persistant.

Enseignements

Cette série de décisions rappelle que :

• La surveillance vidéo continue des salariés sur leur poste de travail est jugée excessive et contraire au principe de minimisation, sauf circonstances exceptionnelles dûment justifiées.
• Le mécanisme de refus des témoins de connexion doit être aussi simple que celui de leur acceptation ; un parcours utilisateur nécessitant plus de clics pour refuser que pour accepter est non conforme.
• L'absence de réponse ou une réponse tardive à une demande d'exercice de droits constitue un manquement sanctionnable, indépendamment du bien-fondé de la demande initiale.
• Le défaut de coopération avec l'autorité de contrôle lors de l'instruction d'une plainte constitue une violation distincte et peut entraîner une sanction spécifique, en plus des manquements objets de la plainte.
• La procédure de sanction simplifiée est un outil efficace et rapide utilisé par l'autorité pour traiter les manquements courants et avérés aux obligations fondamentales de la protection des données.