Ces sanctions comportent 15 amendes (dont 5 avec injonctions sous astreinte) et 2 rappels à l’ordre, avec injonctions. Pour la première fois, une décision de liquidation d’astreinte (c’est-à-dire le paiement d’une somme en raison du non-respect d’un ordre donné par la CNIL) a été prononcée. En pratique, la société concernée, initialement sanctionnée d’une amende de 7 300 euros a dû payer 65 000 euros supplémentaires car elle n’avait pas procédé aux modifications de son traitement demandées dans la décision de sanction.

Cette année, les décisions ont concerné des secteurs d’activité et des acteurs très divers. Parmi les manquements les plus fréquents figurent le défaut d’information des personnes et des durées de conservation excessives (voir le tableau).  Sur ces 18 sanctions, la moitié comporte un manquement en lien avec la sécurité des données personnelles, ce qui illustre deux choses :

• les mesures de sécurité prises par les organismes restent souvent insuffisantes ;
• la CNIL vérifie systématiquement la sécurité des systèmes d’information lorsqu’elle effectue un contrôle.

Enfin, quatre sanctions concernent une mauvaise gestion des cookies et autres traceurs.

Quatre décisions de la CNIL ont été adoptées en coopération avec les homologues européens dans le cadre du guichet unique prévu par le RGPD. En parallèle, toujours dans le guichet unique, la CNIL a examiné 17 projets de décision d’homologues européens relatifs à des traitements concernant des français.