La liste publique des sanctions de la CNIL n'est pas un flux en direct

Le décalage, en dates

La CNIL a rendu publique le 3 septembre 2026 une sanction prononcée contre l'Hôpital privé de la Loire (ouvre un nouvel onglet), pour une violation de données de santé, sur le fondement des articles 32 et 34 du RGPD. La délibération, SAN-2026-009, est datée du 21 juillet 2026 — quarante-quatre jours plus tôt.

Ce que la liste publique montre, et ne montre pas

Au 7 septembre 2026, cette décision ne figure pas sur la liste publique des sanctions prononcées par la CNIL (ouvre un nouvel onglet). La dernière entrée de cette liste date du 30 décembre 2025, et ses entrées pour 2026 s'arrêtent au 2 avril 2026.

La conséquence de méthode

La liste publique retarde de plusieurs mois, et elle ne reprend pas individuellement les sanctions prononcées selon la procédure simplifiée. L'absence d'une entreprise de cette liste ne dit donc rien de l'activité de la CNIL, ni de ce qui a pu être prononcé la concernant. Une revue de risque qui s'appuie sur cette seule page mesure un délai de publication, et croit mesurer un niveau de contrôle. Les actualités et les bilans annuels sont la lecture qui manque.

Je rapporte ici des dates de publication constatées le 7 septembre 2026. Je ne dis pas quelle entreprise est concernée par quoi, ni ce qu'elle encourt. La qualification juridique relève de votre conseil.