A l’issu du contrôle, lorsqu’aucune observation n’a été soulevée, le contrôle est clôturé.

En revanche, si la CNIL constate des manquements à la règlementation, elle peut prononcer une mise en demeure ou sanctionner directement l’organisme, sans mise en demeure préalable.

Suite à la mise en demeure, l’entreprise dispose d’un délai de six à douze mois maximum pour se mettre en conformité. Lorsque l’organisme a pris les mesures nécessaires pour se mettre en conformité, la CNIL clôture la mise en demeure.

Sinon, une procédure de sanction s’ouvre.

La présidente de la CNIL désigne un rapporteur et saisit la formation restreinte. Le dossier est alors instruit par le rapporteur désigné qui propose certaines mesures. Le rapport est ensuite notifié à l’organisme qui dispose d’un délai d’un mois pour faire des observations à la suite duquel le rapporteur a la faculté de répondre dans un délai de quinze jours. De nouvelles observations peuvent être effectuées par l’organisme dans un délai de quinze jours à l’issu duquel se tient la séance de la formation restreinte.

La formation restreinte de la CNIL peut ne pas prononcer de sanction et clôturer la procédure ou décider de prononcer une sanction.

Une fois la sanction CNIL prononcée, un recours devant le Conseil d’État est possible dans un délai de deux mois.