Décret n°2025-891 : injonctions provisoires, DSA, CNIL

Décret n°2025-891 : nouvelle procédure d’urgence, encadrement des engagements DSA, fonctionnement de la CNIL

Le décret n°2025-891, publié au Journal officiel du 6 septembre 2025, modifie le décret du 29 mai 2019 pris pour l’application de la loi n°78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés (« LIL »). Il institue une procédure d’injonction provisoire en cas d’urgence, encadre les engagements volontaires des fournisseurs de plateformes en ligne dans le cadre du DSA, et réorganise certains aspects du fonctionnement interne de la CNIL, notamment le quorum de la formation restreinte et les délégations de signature.

Ce décret s’inscrit dans la continuité de la loi n°2024-449 du 21 mai 2024, visant à sécuriser et réguler l’espace numérique, et renforce les outils de régulation dont dispose la CNIL pour faire face aux situations urgentes.

Création d’une procédure d’injonction provisoire en cas d’urgence

Constat d’un manquement grave et rédaction d’un rapport

Lorsqu’un manquement grave et manifeste à la réglementation est susceptible d’engendrer un risque élevé pour les droits et libertés des personnes, le président de la CNIL peut déclencher une procédure d’injonction provisoire.

Un rapporteur, désigné à cet effet, rédige un rapport motivé sur le manquement constaté. Ce rapport peut être nouveau ou compléter un rapport existant dans une procédure déjà en cours.

Notification au mis en cause

Le rapport est notifié au mis en cause, avec preuve de réception. Celui-ci dispose de 8 jours (ou 15 jours dans les Outre-mer) pour faire valoir ses observations. Aucune séance contradictoire n’est organisée, sauf décision contraire du président de la formation restreinte.           

Décision d’injonction par le président de la formation restreinte

Le président de la formation restreinte peut décider :

• D’enjoindre au mis en cause de cesser ou modifier un traitement ou une pratique ; et/ou
• D’assortir l’injonction d’une astreinte journalière, dont le montant est fixé par lui-même.

Cette centralisation vise à assurer la rapidité d’intervention de la CNIL.           

Mise en œuvre et contrôle de l’exécution

Une fois la décision notifiée, le mis en cause doit transmettre les éléments justifiant l’exécution de l’injonction au plus tard à la date fixée par la décision du président de la formation restreinte.

Ce mécanisme oblige l’organisme mis en cause à agir sans attendre la fin d’une procédure contentieuse.

A défaut, la CNIL peut engager une procédure de liquidation de l’astreinte.         

Suivi administratif et information interne

Le secrétaire général de la CNIL joue un rôle central dans le suivi de l’injonction :

• Il informe la formation restreinte et le président de la CNIL des injonctions provisoires prises ;
• Il les tient également informés de l’éventuelle application d’une astreinte et du montant associé ;
• Il assure la traçabilité des mesures provisoires dans le cadre des procédures administratives internes.

Autres évolutions introduites par le décret

Au-delà de la procédure d’injonction d’urgence, le décret introduit plusieurs ajustements techniques et organisationnels.        

Procédure d’engagement volontaire pour les fournisseurs de plateformes en ligne

Une procédure d’engagement volontaire est introduite. Elle permet :

• Aux plateformes de proposer elles-mêmes des solutions correctives pour se conformer au Digital Services Act (« DSA ») ;
• A la CNIL de rendre contraignantes les solutions proposées, tout en restant dans une logique de coopération.

Renforcement et adaptation de la gouvernance interne de la CNIL

Le décret prévoit également plusieurs mesures de simplification et d’adaptation du fonctionnement de la CNIL :

• Abaissement du quorum requis pour la formation restreinte : de 4 à 3 membres, ce qui facilite la tenue des délibérations ;
• Extension des délégations de signature au sein des services, notamment pour les ordres de mission ;
• Clarification des délégations hiérarchiques pour une meilleure agilité administrative.

Ces évolutions visent à fluidifier l’action de la Commission, notamment dans un contexte de montée en charge des dossiers liés à la régulation numérique. Elles faciliteront ainsi les missions de contrôles.

FAQ 

Qu’est-ce que le décret n°2025-891 ?

Le décret n°2025-891 du 5 septembre 2025 modifie le décret de 2019 relatif à la loi Informatique et Libertés. Il introduit notamment une procédure d’injonction provisoire en cas d’urgence, encadre les engagements volontaires des plateformes en ligne au titre du Digital Services Act (« DSA »), et réforme le fonctionnement interne de la CNIL.

Quelle est la procédure d’injonction provisoire mise en place par ce décret ?

Cette procédure permet à la CNIL d’agir rapidement lorsqu’un manquement grave aux obligations de protection des données crée un risque élevé pour les personnes. Le mis en cause dispose d’un délai limité pour répondre et le président de la formation restreinte peut imposer des mesures correctrices avec astreinte journalière.

Quel est le rôle de la CNIL dans la régulation des plateformes en ligne ?

La CNIL supervise la conformité des plateformes avec le DSA. Les fournisseurs peuvent proposer des engagements volontaires pour se conformer, que la CNIL peut valider ou rendre contraignants, assurant ainsi un contrôle renforcé des services numériques.

Quelles sont les nouveautés dans le fonctionnement interne de la CNIL ?

Le quorum nécessaire pour la formation restreinte est abaissé de 4 à 3 membres pour faciliter les délibérations. De plus, des délégations de signature sont étendues afin d’améliorer l’agilité administrative.

Vous souhaitez des précisions ou un accompagnement personnalisé, notre cabinet d’avocats est à votre écoute pour vous aider à y voir plus clair. 👉 contact@vigier-avocats.com