Mise en demeure reçue ? Le délai court déjà. Un DPO expérimenté vous rappelle dans l’heure : 01 82 83 64 01.
L’essentiel en 30 secondes. La mise en demeure, prononcée par le président de la CNIL sur le fondement de l’article 20, II, de la loi Informatique et Libertés, n’est pas une sanction : c’est une injonction de faire cesser des manquements constatés, dans un délai fixé — au minimum 10 jours, ramené à 24 heures en cas d’urgence. Y répondre complètement et dans le délai clôt le dossier dans l’immense majorité des cas ; ne pas y répondre, ou y répondre mal, ouvre directement la procédure de sanction. Elle peut en outre être rendue publique, avec votre nom, sur le site de la CNIL et Légifrance. Voici comment la traiter, point par point.
Pas une sanction — mais votre dernière fenêtre
La mise en demeure arrive après une plainte ou un contrôle (en ligne ou sur place). Juridiquement, elle ne vous condamne à rien : aucune amende, aucune inscription à un casier quelconque. C’est précisément ce qui la rend précieuse — et dangereuse si elle est mal comprise. Précieuse, parce que la CNIL vous donne la liste exacte de ce qu’elle vous reproche et une porte de sortie sans sanction : la mise en conformité justifiée dans le délai. Dangereuse, parce que c’est la dernière étape avant la formation restreinte : l’absence de réponse, une réponse insuffisante ou une non-conformité persistante peuvent déclencher directement la procédure de sanction, avec les amendes de l’article 83 du RGPD à la clé.
Notre lecture de praticien : une mise en demeure se traite comme un projet à échéance ferme, pas comme un courrier contentieux. La tentation d’ergoter sur chaque constat fait perdre un temps que vous n’avez pas ; la stratégie gagnante est presque toujours de corriger vite et de prouver.
Ce qu’elle contient, et les délais
La mise en demeure énumère les manquements constatés — les plus fréquents selon la CNIL : collecte non pertinente ou excessive, défaut d’information et de transparence, collecte de données sensibles sans consentement, non-respect des durées de conservation, insuffisance de sécurité — et fixe pour chacun le délai de mise en conformité. Ce délai ne peut être inférieur à 10 jours et tombe à 24 heures en cas d’urgence ; en pratique, la CNIL accorde souvent un à trois mois selon la complexité. Aucune procédure de prolongation n’est prévue par les textes : le délai fixé est le délai tenu — raison de plus pour ne pas perdre les premiers jours.
La publicité : pourquoi votre nom peut apparaître
Le bureau de la CNIL (président et vice-présidents) peut décider, par délibération motivée, de rendre la mise en demeure publique : communiqué sur le site de la CNIL et publication sur Légifrance, avec le nom de l’organisme. L’anonymisation n’intervient qu’au bout de 2 ans, et le texte reste accessible. La contrepartie : si vous vous mettez en conformité, la clôture est elle aussi rendue publique — votre dossier se referme au vu de tous. L’enjeu réputationnel est donc réel mais symétrique : une clôture publique rapide peut même se valoriser.
Répondre, pas à pas
1. Lisez juridiquement, pas émotionnellement. Pour chaque manquement : quel article du RGPD, quel fait constaté, quel délai. Construisez un tableau de suivi manquement par manquement — c’est la colonne vertébrale de votre réponse.
2. Mobilisez immédiatement. DPO, direction, DSI, juridique : le délai de 10 jours à 3 mois se consomme vite, et certaines corrections (purge de données, refonte des mentions, chantiers de sécurité) ont des délais techniques incompressibles.
3. Corrigez réellement. La CNIL ne se contente pas de promesses : elle attend des mesures effectives à l’issue du délai. Priorisez ce qui est visible et vérifiable — elle peut contrôler à nouveau, y compris après clôture.
4. Constituez les preuves. Captures d’écran datées, procédures mises à jour, registre modifié, attestations de purge, factures de prestataires : chaque manquement appelle son justificatif. C’est le niveau d’exigence d’un dossier de conformité, pas d’un courrier d’intention.
5. Répondez point par point, dans le délai. Reprenez la numérotation de la mise en demeure, répondez à chaque constat avec la mesure prise et sa preuve, et n’éludez rien : un point laissé sans réponse est un point non conforme. Si un chantier dépasse le délai, documentez l’avancement et l’échéancier — sans garantie, mais un dossier sérieux pèse dans l’appréciation.
Les trois issues
La clôture : réponse satisfaisante, courrier de clôture, procédure terminée — rendue publique si la mise en demeure l’était. La demande de compléments : réponse partiellement satisfaisante, la CNIL vous renvoie une demande ; répondez dans le délai avec les justificatifs manquants et la clôture suit. La procédure de sanction : absence de réponse, réponse insuffisante ou non-conformité persistante — le dossier passe en formation restreinte, et vous cumulez alors le manquement d’origine avec le non-respect de la mise en demeure, circonstance aggravante classique dans les délibérations.
Nos modèles et checklists — gratuits
Inscrivez-vous à la newsletter DPO 101 et recevez par e-mail nos outils pratiques (checklist « Contrôle CNIL : les 48 premières heures », registre des violations au format Excel), avec chaque mois nos analyses RGPD et IA.
Notre newsletter est fondée sur votre consentement à la recevoir. Désinscrivez-vous à tout moment en un clic. En savoir plus
Ce qui se joue vraiment
Une mise en demeure bien traitée est un dossier qui se referme sans trace durable ; mal traitée, c’est l’antichambre de la sanction. La différence tient à la même variable que pour un contrôle CNIL ou une notification de violation : la capacité à produire vite des preuves de conformité. C’est le cœur de ce que nous faisons chez DPO 101 — réponse aux mises en demeure, plan de correction et justificatifs, pilotés avec votre DPO externalisé et documentés dans Comply101.
FAQ — Mise en demeure CNIL
Une mise en demeure CNIL est-elle une sanction ?
Non. C’est une injonction du président de la CNIL de faire cesser des manquements dans un délai fixé (article 20, II, de la loi Informatique et Libertés). Elle ne comporte ni amende ni condamnation ; mais son non-respect ouvre la voie à la procédure de sanction devant la formation restreinte.
Quel délai pour répondre à une mise en demeure CNIL ?
Le délai est fixé dans la mise en demeure elle-même : au minimum 10 jours, ramené à 24 heures en cas d’urgence, et souvent de un à trois mois en pratique. Aucune prolongation n’est prévue par les textes : la mise en conformité doit être justifiée à l’échéance.
Une mise en demeure CNIL est-elle publique ?
Elle peut l’être, sur délibération motivée du bureau de la CNIL : communiqué sur cnil.fr et publication nominative sur Légifrance, anonymisée au bout de 2 ans. En cas de mise en conformité, la clôture est alors elle aussi rendue publique.
Que se passe-t-il si on ne répond pas à une mise en demeure ?
L’absence de réponse, une réponse insuffisante ou une non-conformité persistante à l’issue du délai peuvent déclencher directement une procédure de sanction devant la formation restreinte de la CNIL, avec les amendes de l’article 83 du RGPD — le non-respect de la mise en demeure s’ajoutant au manquement d’origine.
Article rédigé par Assaf Bensoussan, DPO externe et fondateur de DPO 101, cabinet de conseil en protection des données (500+ structures accompagnées). Mis à jour le 3 novembre 2026.
Sources : CNIL, « La procédure de mise en demeure » ; loi Informatique et Libertés, article 20 ; RGPD, article 83.
