Injonction CNIL : comment démontrer sa mise en conformité après une sanction ?
Injonction CNIL : le 24 septembre 2026, la CNIL a annoncé la clôture de l’injonction prononcée en mai 2025 contre SoLocal Marketing Services. Cette décision illustre concrètement ce qu’une entreprise doit être en mesure de démontrer après une sanction pour convaincre la CNIL que les manquements ont été corrigés.
L’enjeu ne consiste pas seulement à modifier des documents internes : l’entreprise doit apporter des preuves opérationnelles de la conformité de ses traitements.
I. Le contexte : une sanction liée au consentement en prospection commerciale
En mai 2025, la CNIL avait prononcé une amende de 900 000 euros contre SoLocal Marketing Services pour des manquements relatifs au recueil et à la preuve du consentement des personnes démarchées par voie électronique.
La société utilisait notamment des données provenant de courtiers en données et d’éditeurs de sites de jeux-concours ou de tests de produits. La CNIL avait considéré que certains formulaires de collecte présentaient une apparence trompeuse et ne permettaient pas de recueillir un consentement libre et univoque conforme au RGPD.
II. Une injonction assortie d’une astreinte importante
En plus de l’amende, la CNIL avait ordonné à la société de cesser les opérations de prospection électronique lorsqu’aucun consentement valable n’était démontré. Le délai de mise en conformité était de neuf mois et le non-respect de l’injonction exposait l’entreprise à une astreinte de 10 000 euros par jour de retard.
Une injonction doit donc être traitée comme un véritable projet de conformité, avec des responsables identifiés, un calendrier et une documentation permettant de démontrer l’exécution des mesures.
III. Quelles mesures ont permis la clôture ?
Selon la CNIL, SoLocal a justifié avoir mis en place des mécanismes permettant de vérifier la validité du consentement recueilli pour son compte par ses partenaires primo-collectants. Ces contrôles reposent sur une analyse automatisée des formulaires de collecte, complétée par une appréciation humaine.
La formation restreinte a estimé ces mesures satisfaisantes si elles sont appliquées de manière rigoureuse. Elle a donc décidé de ne pas liquider l’astreinte et de clôturer l’injonction.
IV. La responsabilité de l’entreprise subsiste
La clôture ne signifie pas que l’entreprise est définitivement protégée contre tout contrôle. La CNIL rappelle que SoLocal reste responsable de la validité des consentements recueillis pour son compte par ses partenaires.
Pour les entreprises utilisant des données collectées par des tiers, il est donc essentiel d’organiser des contrôles documentés et récurrents sur les formulaires, les parcours de consentement et les preuves conservées.
Le cabinet intervient notamment en défense RGPD et contentieux devant la CNIL.
Source : CNIL, clôture de l’injonction SoLocal Marketing Services, 24 septembre 2026.
