Astreinte

Ce que ça change pour une organisation

Lorsque la formation restreinte de la CNIL constate un manquement, elle peut ordonner au responsable de traitement de mettre son traitement en conformité et assortir cette injonction d’une astreinte. L’article 20 de la loi Informatique et Libertés en plafonne le montant à 100 000 euros par jour de retard, à compter de la date que la formation restreinte a fixée : le délai de mise en conformité devient donc une échéance ferme, dont chaque jour de dépassement a un coût connu à l’avance.

Dès la notification de la décision, il est prudent d’établir un plan de remédiation daté, de désigner un responsable pour chaque injonction et de conserver les preuves de chaque correction, afin de pouvoir démontrer la mise en conformité avant l’échéance.

Exemple

Le 26 mai 2026, la formation restreinte de la CNIL a sanctionné la société IQVIA OPERATIONS FRANCE d’une amende de 5 millions d’euros (délibération SAN-2026-008) pour des manquements dans la gestion de deux entrepôts de données de santé. Elle a également prononcé des injonctions portant sur les mentions de la notice d’information de l’entrepôt EMR et sur l’absence de procédure effective pour exercer le droit d’opposition, à exécuter dans un délai de six mois au maximum, sous peine de 10 000 euros par jour de retard.

À ne pas confondre avec

• L’amende administrative : sanction financière d’un manquement déjà constaté (5 millions d’euros dans l’affaire IQVIA), alors que l’astreinte porte sur le retard à se conformer.
• La mise en demeure : demande adressée par la présidente ou le président de la CNIL à un responsable de traitement de se conformer dans un délai donné, sans sanction à ce stade.
• L’astreinte du droit du travail : période pendant laquelle un salarié reste disponible pour intervenir si besoin, sans rapport avec une sanction.