CNIL et droit au silence : la décision du Conseil constitutionnel

Par Gérard Haas

Décision du Conseil constitutionnel du 8 août 2025 : renforcement du droit au silence devant la CNIL

Le Conseil constitutionnel censure, pour inconstitutionnalité, les dispositions de l’article 22 qui permettaient :

• Au responsable de traitement de « déposer des observations » sans être informé de son droit de se taire,
• À la formation restreinte[2] de la CNIL « d’entendre toute personne dont l’audition lui paraît utile » sans que la personne concernée soit informée de ce droit.

Le Conseil fonde sa décision sur l’article 9 de la Déclaration des droits de l’homme et du citoyen (principe selon lequel nul n’est tenu de s’accuser, d’où découle le droit de se taire), applicable à toute sanction ayant le caractère d’une punition, administrative ou judiciaire.

Comme le remarque Me Gérard HAAS, avocat spécialiste en droit de la protection des données :
« L'affirmation du droit de se taire est un retour aux sources, un rappel que même dans l'arène administrative, les garanties procédurales du procès pénal doivent être respectées. La sécurité juridique, souvent fragilisée par les avancées technologiques, trouve ici un rempart solide. Les responsables de traitement, autrefois vulnérables à l’auto-incrimination, voient leurs droits renforcés. »

Les 3 points qu’il faut retenir :

1. Renforcement des droits de la défense : la décision affirme avec force la nécessité pour tout mis en cause devant une autorité administrative indépendante (CNIL) de se voir notifier son droit de se taire, rejoignant ainsi les garanties procédurales du procès pénal.

2. Sécurité juridique : le Conseil reporte l’abrogation des dispositions censurées au 1er octobre 2026, évitant ainsi une insécurité juridique immédiate. Il impose cependant, dès la publication de la décision, que la personne mise en cause soit informée de son droit de se taire.

3. Limite temporaire : les mesures prononcées avant la publication ne peuvent pas être remises en cause sur ce fondement, ce qui limite la portée rétroactive de la décision.

   
   

Tableau de synthèse des changements

Une décision qui questionne la portée rétroactive

« Le report de l'abrogation des dispositions censurées au 1er octobre 2026, tout en évitant une insécurité immédiate, laisse planer une incertitude sur l'avenir. L'obligation de notifier le droit de se taire dès la publication de la décision est une avancée, mais la limite temporaire des mesures avant la publication pose toutefois la question de la portée rétroactive. Finalement, l'équilibre entre innovation législative et respect des droits fondamentaux demeure un défi. » considère l’avocat Me Gérard HAAS, qui ajoute : « Concrètement, les responsables de traitement doivent désormais être informés de leur droit de se taire, sous peine d'irrégularité procédurale. Cette exigence, telle une épée de Damoclès, impose une vigilance constante dans les procédures devant la CNIL. L'adaptation immédiate des pratiques est désormais nécessaire pour déjouer le risque d’inconstitutionnalité. »

CNIL et droit au silence : quelles conséquences pour les responsables de traitement ?

• Notification du droit au silence : à partir de la date de publication de la décision (8 août 2025), la CNIL est tenue d'informer les personnes concernées de leur droit de ne pas s'auto-incriminer lors des observations, qu'elles soient écrites ou orales. Cette exigence entraîne une modification directe des pratiques de la formation restreinte. En l'absence de cette information, la procédure serait considérée comme irrégulière. En d'autres termes, tous les courriers, convocations et notifications devront inclure cette mention, faute de quoi ils seraient déclarés nuls.

• Abrogation partielle de l'article 22 : les phrases visées (« déposer des observations » et « entendre toute personne ») seront supprimées de la loi à partir du 1er octobre 2026. Le législateur devra probablement réécrire ces dispositions pour intégrer explicitement le droit au silence.

• Sécurité juridique renforcée : la décision vise explicitement « le responsable de traitement ou son sous-traitant », mettant fin à l'instrumentalisation de ces acteurs dans les procédures CNIL. Les entreprises et sous-traitants soumis à des contrôles de la CNIL bénéficient désormais d'une protection accrue contre les risques de procédures inéquitables, alignant la France sur les standards des pays où le droit au silence est clairement garanti (comme aux États-Unis avec le Miranda warning).

Impact immédiat et échéances à venir 

Les dossiers en cours à la CNIL doivent intégrer la notification du droit au silence, tandis que les décisions antérieures restent incontestables sur ce fondement.

Le calendrier :

- Effet immédiat : dès le 9 août 2025, obligation de notification

- Abrogation différée : au 1er octobre 2026 pour permettre une refonte législative

- Non-rétroactivité : les sanctions antérieures ne peuvent être contestées sur ce fondement

Vers une uniformisation des garanties procédurales des Autorités Administratives Indépendantes (AAI)

Le Conseil constitutionnel pose un principe général : toute autorité administrative prononçant des sanctions à caractère punitif doit garantir le droit au silence.

Comparaison avec d’autres AAI[3]:

• L’Autorité de la concurrence a déjà intégré ce droit dans ses procédures (inspiration possible pour la CNIL).

• L’AMF et l’ARCEP devront probablement revoir leurs pratiques sous peine de censure.

Effet domino : cette décision pourrait conduire à une uniformisation des garanties procédurales devant toutes les AAI.

Droit au silence devant la CNIL : enseignements et stratégie contentieuse

Si cette décision consolide avec justesse les droits de la défense devant la CNIL, on ne peut que déplorer l’intangibilité persistante des délibérations antérieures, privées ainsi d’un nécessaire recours. Par ailleurs, le report des modifications législatives à 2026 offre une fenêtre propice pour repenser les pratiques et harmoniser, enfin, procédure et équité.

Cette décision marque effectivement un « recentrage sur les droits de la défense » et transforme structurellement l'équilibre des forces dans le contentieux CNIL.

Les professionnels du droit disposent désormais d'un argument-clé pour contester les sanctions, mais également d'une obligation de vigilance accrue sur les aspects procéduraux. Cette évolution renforce indéniablement le besoin d'accompagnement juridique rigoureux, dans un environnement où la technique procédurale devient déterminante pour la défense des intérêts des entreprises.

Extrait de décision :

« Dès lors, en ne prévoyant pas que la personne physique ou, le cas échéant, le représentant légal de la personne morale mise en cause devant la formation restreinte doit être informé de son droit de se taire, les dispositions contestées méconnaissent les exigences de l’article 9 de la Déclaration de 1789. Par conséquent, elles doivent être déclarées contraires à la Constitution... il y a lieu de juger que, jusqu’à l’entrée en vigueur d’une nouvelle loi ou jusqu’à la date de l’abrogation de ces dispositions, la personne mise en cause devant la formation restreinte doit se voir notifier son droit de se taire. » (Article 22 RGPD.pdf)

La stratégie contentieuse immédiate :

• Vérification systématique de la notification dans tous les dossiers post-8 août 2025.

• Saisine immédiate du juge administratif en cas d'omission.

• Constitution de preuves sur la régularité de la notification.

***

Le cabinet HAAS Avocats est spécialisé depuis plus de vingt-cinq ans en droit des nouvelles technologies et de la propriété intellectuelle. Il accompagne les acteurs du numérique dans le cadre de leurs problématiques judiciaires et extrajudiciaires relatives au droit de la protection des données. Dans un monde incertain, choisissez de vous faire accompagner par un cabinet d’avocats fiables. Pour nous contacter, cliquez ici.

[1] Décision n° 2025-834 QPC du 8 août 2025

[2] La formation restreinte de la CNIL est chargée de sanctionner les violations des lois sur la protection des données. Composée de membres élus, elle impose des amendes et mesures correctives après une procédure contradictoire, assurant ainsi le respect des droits des individus et du RGPD en France.

[3] Les AAI sont des institutions publiques spécialisées, dotées d’un pouvoir de régulation, de contrôle ou de sanction dans un domaine précis (économie, droit, numérique, etc.). Elles agissent en dehors de l’influence directe du gouvernement, ce qui leur garantit une certaine neutralité. Nous pensons notamment à la CNIL (Commission Nationale de l'Informatique et des Libertés) : protège les données personnelles ; l’ARCEP (Autorité de Régulation des Communications Électroniques) : régule les télécoms, l’AMF (Autorité des Marchés Financiers) :surveille les marchés financiers ou encore l’Autorité de la Concurrence : lutte contre les abus de position dominante.