Pas de sanction de la Cnil sans information sur le droit au silence

En cas de manquement des responsables de traitement de données ou de leurs sous-traitants à leurs obligations en matière de protection des données à caractère personnel, la Cnil peut décider différentes mesures, dont des amendes administratives. La sanction est prononcée par une formation restreinte de l’autorité administrative indépendante, qui doit suivre une procédure contradictoire (article 22 de la loi Informatique et liberté du 6 janvier 1978). Les manquements reprochés doivent être détaillés dans un rapport établi par l’un de ses membres, ce rapport étant notifié à la personne mise en cause qui est invitée à présenter des observations en réponse. Si la formation restreinte l’estime utile pour son information, elle peut également entendre le mis en cause.

Deux sociétés sanctionnées par la Cnil ont reproché à cette procédure l’absence d’information des personnes mises en cause sur leur droit de se taire et l’atteinte qui en a découlé à leur présomption d’innocence garanti par l’article 9 de la Déclaration des droits de l’Homme et du citoyen de 1789.

Dans sa décision du 8 août 2025, le Conseil constitutionnel donne raison aux sociétés : en formulant ses observations ou en étant entendue, la personne mise en cause peut être amenée à reconnaître les manquements qui lui sont reprochés. Le fait même qu’elle soit invitée à présenter ses observations ou entendue peut aussi être de nature à lui laisser croire qu’elle ne dispose pas du droit de se taire. Les dispositions de l’article 22 prévoyant le dépôt d’observations et l’audition de la personne mise en cause sont donc contraires à la Constitution en ce qu’elles méconnaissent les exigences de l’article 9 de la déclaration de 1789.

Leur abrogation est cependant reportée au 1er octobre 2026 et les sanctions déjà prononcées par la Cnil avant la publication de la décision d’inconstitutionnalité ne pourront pas être contestées sur le fondement de cette inconstitutionnalité. En revanche, depuis le 9 août 2025 (date de publication de la décision du Conseil constitutionnel au Journal officiel) et jusqu’à l’abrogation des dispositions litigieuses, la personne mise en cause devant la formation restreinte de la Cnil doit se voir notifier son droit de se taire.