Le 8 août 2025, le Conseil constitutionnel a jugé que le droit des justiciables à ne pas s’auto-incriminer s’appliquait également aux procédures de sanction administrative conduites par les autorités administratives indépendantes, telles que la CNIL.
Deux sociétés proposant des services de voyance en ligne avaient été sanctionnées par la Commission Nationale de l’Informatique et des Libertés (CNIL), pour de graves manquements au RGPD[1].
Dans le cadre d’un recours formé devant le Conseil d’État contre ces délibérations, les sociétés sanctionnées ont soulevé une question prioritaire de constitutionnalité (QPC[2]). Elles contestaient la conformité à la Constitution de l’article 22 de la Loi Informatique et Libertés[3], au motif qu’il ne prévoit pas l’obligation, pour la CNIL, d’informer les personnes contrôlées de leur droit de se taire afin de ne pas contribuer à leur propre incrimination.
La décision du Conseil constitutionnel du 8 août 2025 apporte une réponse à cette QPC, qui lui avait été transmise par le Conseil d’État après avoir franchi son filtre de recevabilité.
Les personnes visées par une procédure de sanction administrative disposent du droit de ne pas s’auto-incriminer
L’article 22 de la Loi Informatique et Libertés confère à la CNIL le pouvoir de prononcer des sanctions, telles que des amendes administratives, à l’encontre des responsables de traitement ou de leurs sous-traitants en cas de manquement aux règles applicables en matière de protection des données, notamment celles prévues par le RGPD.
Dans le cadre de cette procédure, la personne mise en cause peut présenter des observations écrites ou être entendue. Toutefois, la rédaction actuelle de l’article ne prévoit pas l’obligation de lui notifier son droit de garder le silence.
Le droit de garder le silence ou le droit de ne pas s’auto-incriminer constitue un droit fondamental garanti par la Déclaration des droits de l’homme et du citoyen de 1789[4]. Dans sa décision, le Conseil constitutionnel a jugé que ce droit s’applique non seulement aux peines prononcées par les juridictions répressives, mais également à toute sanction ayant le caractère d’une punition.
En conséquence, le Conseil constitutionnel a consacré l’obligation, pour les autorités administratives pouvant prononcer des sanctions administratives telles que la CNIL, de notifier aux personnes mises en cause dans le cadre de procédures de sanctions leur droit de garder le silence.
Ce que change cette décision
Dans un souci de sécurité juridique, le Conseil constitutionnel a reporté au 1er octobre 2026 l’abrogation de l’article 22 de la Loi Informatique et Liberté. Les sanctions prononcées par la CNIL avant la décision ne pourront donc pas être contestées sur ce fondement.
Le Conseil constitutionnel a cependant jugé que la CNIL devait dès à présent, et sans attendre la nouvelle version de l’article litigieux, informer les personnes mises en cause de leur droit de garder le silence.
Cette reconnaissance du droit de ne pas s’auto-incriminer n’exonère toutefois pas les responsables de traitement ou leurs sous-traitants de leur obligation générale de coopérer avec la CNIL lors des contrôles[5], d’autant plus que le degré de coopération est un élément pris en compte dans l’évaluation du montant de l’amende.
Cette décision s’inscrit dans un mouvement jurisprudentiel plus large : par le passé, le Conseil d’État avait imposé que les praticiens poursuivis disciplinairement (médecins[6], vétérinaires[7]…) soient expressément informés de leur droit de garder le silence.
Lire la décision du Conseil constitutionnel n° 2025-1154
[1] Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, dit « RGPD », abrogeant la directive 95/46/CE
[2] La question prioritaire de Constitutionnalité (QPC) est un droit reconnu à toute partie à un procès de soutenir qu’une disposition législative est contraire aux droits et libertés que la Constitution garantit.
[3] Loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés.
[4] L’article 9 de la Déclaration des droits de l’homme et du citoyen de 1789 dispose que « Tout homme étant présumé innocent jusqu’à ce qu’il ait été déclaré coupable, s’il est jugé indispensable de l’arrêter, toute rigueur qui ne serait pas nécessaire pour s’assurer de sa personne doit être sévèrement réprimée par la loi ».
[5] Article 31 du RGPD et 18 de la Loi Informatique et Libertés
[6] Conseil d’État, 25 février 2025, n° 491214
[7] Conseil d’État, 19 décembre 2024, n° 490952
