La CNIL, c’est la Commission nationale de l’informatique et des libertés : l’autorité française chargée de faire respecter la protection des données personnelles, créée par la loi Informatique et Libertés du 6 janvier 1978. Elle peut obliger un site à te donner accès à tes données, à les rectifier, à les effacer, et le sanctionner s’il refuse. Elle ne vérifie pas, en revanche, que ce site bloque correctement les mineurs : ça, c’est l’Arcom. Le reste de cette page sert précisément à ça — ne pas te tromper de guichet.
CNIL : ce que veut dire le sigle, en clair
Commission nationale de l’informatique et des libertés. Le sigle vient de la loi n° 78-17 du 6 janvier 1978, dite loi Informatique et Libertés, qui l’a créée et qui reste son texte fondateur — bien avant le RGPD, contrairement à ce que laissent croire beaucoup de pages de prestataires.
La CNIL se décrit elle-même comme « une autorité administrative indépendante (AAI), c’est-à-dire un organisme public qui agit au nom de l’État, sans être placé sous l’autorité du gouvernement ou d’un ministre » (CNIL, page consultée le 11/09/2026). La traduction pratique compte plus que la formule. Ce n’est pas un ministère qu’un courrier au cabinet pourrait débloquer. Ce n’est pas un tribunal : elle ne te versera jamais de dommages et intérêts. Ce n’est pas une association de consommateurs : elle ne plaide pas ton dossier. C’est un régulateur, qui applique un texte, contrôle des organismes et les sanctionne. La réparation individuelle, elle, se joue ailleurs.
Le collège est composé de 18 membres élus ou nommés (CNIL, 11/09/2026).
Le point juridique à connaître tient en une ligne : l’article 8 de la loi 78-17 fait de la CNIL l’autorité de contrôle nationale au sens du règlement (UE) 2016/679. Le même article lui confie l’information des personnes et des responsables de traitement, l’accompagnement de la conformité, l’adoption de lignes directrices et de référentiels, le traitement des réclamations, le contrôle et le conseil aux pouvoirs publics (Légifrance, version en vigueur consultée le 11/09/2026). Quand tu écris à un site pour réclamer tes données et qu’il t’ignore, c’est ce texte qui rend ce silence attaquable.
À garder en tête pour toute la suite : CNIL ≠ Arcom ≠ DGCCRF. Données personnelles, refus d’effacement, fuite → CNIL. Vérification de l’âge et accès des mineurs → Arcom. Abonnement, résiliation, prélèvement → DGCCRF. Le tableau de la dernière section donne le guichet exact, problème par problème.
Ce que la CNIL fait vraiment — contrôles, sanctions, chiffres 2025
Deux casquettes cohabitent : un rôle d’alerte, de conseil et d’information vers tous les publics, et un pouvoir de contrôle et de sanction (CNIL, 11/09/2026). La première explique pourquoi elle publie des guides et des modèles de courrier. La seconde explique pourquoi un éditeur répond quand tu mentionnes son nom.
| Indicateur 2025 | Valeur |
|---|---|
| Plaintes reçues | 20 150, soit 10 % de plus qu’en 2024 (record) |
| Violations de données notifiées | 6 167, dont un incident sur deux relevant d’un piratage |
| Contrôles menés | 323 |
| Décisions rendues | 259 |
| Sanctions prononcées | 83, pour 486 839 500 € cumulés |
| Mesures correctrices annexes | 143 mises en demeure, 31 rappels aux obligations légales, 2 avertissements |
Les thèmes réellement sanctionnés donnent une idée assez précise de ce qui remonte : cookies et traceurs (21 organismes), vidéosurveillance des salariés (16), sécurité insuffisante des données (14), non-coopération avec la CNIL (14), atteinte aux droits d’accès, d’effacement ou d’opposition (14), prospection commerciale (10) (CNIL, 09/02/2026). La ligne « atteinte aux droits » est celle qui te concerne directement si un site refuse de supprimer ton compte.
Un mot d’honnêteté sur les montants, parce que beaucoup de pages entretiennent le flou. Les deux amendes les plus lourdes de 2025, 325 millions d’euros et 150 millions d’euros, visent des acteurs majeurs sur le sujet des cookies (CNIL, 09/02/2026). Une plainte individuelle ne débouche pas sur ce type de décision. Elle alimente une statistique, oriente les contrôles, et déclenche parfois une mise en demeure. C’est utile, ce n’est pas un jackpot.
À côté des sanctions administratives existe un volet pénal, souvent confondu avec le précédent. L’article 226-16 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait, y compris par négligence, de traiter des données personnelles sans respecter les formalités préalables prévues par la loi (Légifrance, version en vigueur depuis le 17/02/2024). Ce n’est pas la CNIL qui prononce ces peines, c’est un juge.
Pourquoi la CNIL compte davantage sur un site pour adultes qu’ailleurs
Sur une plateforme de cam, un site de rencontre libertine ou un abonnement à du contenu, la liste de ce que l’éditeur détient est longue : adresse e-mail, pseudo, parfois identité civile et pièce justificative, moyen de paiement, historique de consultation, messages privés, photos envoyées. Et un élément que les autres secteurs n’ont pas : le simple fait d’y avoir un compte est déjà une information sur toi.
Cette asymétrie change la lecture du risque. Une adresse e-mail qui fuite d’un site de bricolage, tu changes de mot de passe et le dossier est clos. Une base clients qui fuite d’un service adulte, le dommage ne se répare pas : l’information est sortie, et elle ne rentre pas. Le préjudice n’est pas financier, il est social, et aucune procédure ne le rembourse.
C’est la logique derrière l’obligation de notification des violations de données : l’éditeur doit signaler l’incident au régulateur. En 2025, 6 167 violations ont été notifiées à la CNIL, un incident sur deux relevant d’un piratage (CNIL, rapport annuel publié le 18/05/2026). Ce chiffre couvre tous les secteurs, pas seulement l’adulte — il donne l’ordre de grandeur de ce que le régulateur voit passer, rien de plus.
La CNIL reconnaît par ailleurs une tension propre à ce secteur : la vérification de l’âge « conduit à collecter des données personnelles et présente des risques pour la vie privée » (CNIL, publié le 21/02/2023). Le dispositif censé protéger les mineurs crée donc lui-même une collecte supplémentaire sur les majeurs. Comment le cadre français essaie de désamorcer ça fait l’objet de la section suivante.
Deux pages complètent celle-ci côté technique : le chiffrement réellement appliqué par ces services et sécuriser un compte de rencontre.
Vérification de l’âge : la CNIL conseille, l’Arcom contrôle
C’est le point où presque tout le monde se trompe, et la CNIL l’écrit noir sur blanc : elle n’a aucune compétence directe pour contrôler l’effectivité de l’interdiction d’accès des mineurs aux sites pornographiques. Il revient à ces sites de choisir et de mettre en œuvre une solution conforme, sous le contrôle de l’Arcom et du juge (CNIL, 21/02/2023).
Le partage des rôles est donc net. La CNIL donne son avis sur la façon dont un dispositif de vérification traite les données. L’Arcom fixe les exigences techniques et vérifie qu’elles sont appliquées, avec un pouvoir qui n’est pas l’amende mais le blocage et le déréférencement.
Le texte applicable est la délibération n° 2024-20 du 9 octobre 2024, publiée au Journal officiel n° 0251 du 22 octobre 2024. Elle fixe les exigences techniques minimales des systèmes de vérification de l’âge pour l’accès aux contenus pornographiques en ligne. Trois obligations à en retenir : proposer au moins un dispositif en double anonymat, se conformer dans un délai de trois mois après publication, avec une période transitoire de trois mois autorisant les solutions par authentification forte sur carte bancaire (délibération du 09/10/2024).
Le référentiel lui-même est consultable sur le site de l’Arcom depuis le 11 octobre 2024, sous forme de PDF téléchargeable de 228,5 Ko, et il a reçu un avis favorable de la CNIL le 26 septembre 2024 (Arcom, publié le 11/10/2024).
Le double anonymat mérite une phrase simple : le site pornographique reçoit la preuve que tu es majeur sans connaître ton identité, et le fournisseur de vérification connaît ton identité sans savoir quels sites tu visites (CNIL, délibération n° 2024-067 du 26/09/2024). Personne ne détient les deux moitiés en même temps. C’est tout l’intérêt du mécanisme, et c’est exactement ce qu’un site qui te réclame une photo de carte d’identité en clair ne respecte pas.
La CNIL assortit son avis d’une réserve qu’il serait malhonnête de passer sous silence : elle met en garde contre une généralisation de la vérification d’âge à l’ensemble d’internet, qui créerait un « monde numérique fermé » menaçant la liberté d’expression (CNIL, 11/10/2024). Le régulateur des données n’est pas un partisan aveugle du contrôle d’âge.
Sur le terrain, le dispositif a produit des effets mesurables. Un arrêté ministériel du 26 février 2025 a désigné six sites concernés. Cinq ont été mis en demeure le 1er août 2025 pour absence de vérification de l’âge, puis ont déployé une ou plusieurs solutions ; un sixième a réactivé son dispositif après une lettre d’observations. Le collège de l’Arcom a décidé, le 28 août 2025, de ne pas engager de procédure de blocage et de déréférencement (Arcom, communiqué du 28/08/2025).
Concrètement, si un site adulte te demande une pièce d’identité en clair ou conserve la photo de ta carte, tu as deux griefs distincts et deux destinataires : l’Arcom pour le dispositif de vérification lui-même, la CNIL pour le traitement des données collectées à cette occasion. Les deux démarches ne s’excluent pas. Pour le cadre d’ensemble, voir le cadre légal français des contenus adultes.
Tes droits sur tes données, et où lire qui les traite
La CNIL liste neuf droits opposables à un responsable de traitement : information, opposition, accès, rectification, déréférencement, effacement, portabilité, intervention humaine face à une décision automatisée, limitation. Elle fournit aussi des modèles de courrier prêts à l’emploi (CNIL, page consultée le 11/09/2026). Le détail de leur mise en œuvre sur un service adulte est traité à part : exercer ses droits RGPD sur un service adulte.
Le réflexe qui manque partout ailleurs sur cette requête est en amont. Avant d’écrire à qui que ce soit, il faut savoir à qui tu écris. Le responsable de traitement, c’est l’entité juridique qui décide de ce qui est collecté — rarement le nom commercial affiché sur la page d’accueil. On le trouve dans la politique de confidentialité, généralement en bas de page, souvent dans la dernière section.
Un exemple vérifiable, pris sur une plateforme d’abonnement française du secteur. La politique de confidentialité de MYM désigne AIR MEDIAS SAS, capital de 502 000 €, immatriculée au RCS de Lyon sous le n° 809 565 906, siège social au 10 rue de Penthièvre, 75008 Paris, avec un délégué à la protection des données joignable à dpo@mym.fans ; le document indique expressément la possibilité de déposer plainte auprès de la CNIL (MYM / AIR MEDIAS SAS, version du 11/12/2024). Voilà les quatre informations à extraire : la raison sociale, l’adresse, le contact DPO, la mention du droit de plainte.
Cette même politique annonce des durées de conservation instructives : cookies supprimés après 13 mois, logs conservés 13 mois, demandes RGPD conservées 6 ans après résolution (MYM, 11/12/2024). Autrement dit, « je supprime mon compte » et « toutes mes traces disparaissent » ne sont pas la même phrase — et c’est normal, certaines conservations sont imposées par ailleurs.
Ces durées valent pour cette plateforme et pour elle seule ; les recopier sur un autre service serait une erreur. Pour Chaturbate et les acteurs non européens, la politique n’a pas pu être consultée au moment de la rédaction (accès bloqué le 11/09/2026) : rien ne sera affirmé à leur sujet ici.
Saisir la CNIL : la procédure réelle, dans l’ordre
Le préalable que les pages concurrentes oublient systématiquement : « Avant de demander l’intervention de la CNIL, vous devez d’abord exercer vos droits Informatique et Libertés » (CNIL, page consultée le 11/09/2026). Une plainte déposée sans cette étape est prématurée.
- Identifie le responsable de traitement. Politique de confidentialité du service, raison sociale complète, adresse postale, contact DPO si la page en fournit un.
- Envoie ta demande à l’organisme, par écrit et datée. Précise le droit exercé — accès, effacement, opposition — et conserve une copie ainsi que la preuve d’envoi.
- Attends la réponse dans le délai légal. L’organisme doit répondre dans les meilleurs délais et sous un mois maximum (CNIL, 11/09/2026). Passé ce délai sans réponse, ta plainte devient recevable.
- Dépose la plainte en ligne via le service dédié de la CNIL, en choisissant la catégorie adaptée parmi celles proposées : Internet, Commerce, Banque et crédit, Téléphonie, Travail, Autres cas.
- Joins le dossier complet : copie de la demande initiale, date d’envoi, absence de réponse ou contenu de la réponse reçue, URL concernées et captures d’écran. La CNIL écarte les plaintes imprécises ou incomplètes (CNIL, 11/09/2026) — une pièce manquante suffit.
Sur le délai de traitement, autant l’annoncer franchement : la CNIL s’engage à informer de l’état d’avancement du dossier au moins dans un délai de trois mois suivant son dépôt, la durée variant selon le volume de plaintes et la complexité (CNIL, 11/09/2026). Avec 20 150 plaintes reçues en 2025 (CNIL, 18/05/2026), ce délai s’explique. Il ne se contourne pas, et aucun intermédiaire payant ne l’accélère.
Quand ce n’est pas la CNIL : le bon guichet selon le problème
La CNIL énumère elle-même ce qui sort de son champ : droit du travail, droit à l’image, droit de la consommation, droit pénal, ainsi que les situations de harcèlement, de diffamation ou de discrimination (CNIL, 11/09/2026). Adresser un de ces dossiers à la CNIL, c’est perdre plusieurs semaines avant de se faire réorienter.
| Ton problème | Interlocuteur | Où aller |
|---|---|---|
| Accès des mineurs, dispositif de vérification d’âge absent ou intrusif | Arcom | Référentiel technique de vérification de l’âge |
| Abonnement reconduit malgré résiliation, prélèvement non autorisé, clause abusive | DGCCRF | SignalConso — renouvellement d’abonnement non désiré |
| Données personnelles, refus d’effacement ou d’accès, fuite de données | CNIL | Adresser une plainte à la CNIL |
| Diffusion d’images intimes sans consentement, chantage | Police ou gendarmerie | Plainte auprès de la police ou de la gendarmerie |
Sur la ligne SignalConso, un détail utile : le signalement est transmis à l’entreprise concernée et devient instantanément visible des agents de la DGCCRF, qui l’enregistrent pour cibler leurs contrôles (SignalConso, page consultée le 11/09/2026). L’entreprise voit donc ton signalement — ce qui, seul, débloque souvent une résiliation.
Deux cas fréquents renvoient vers des pages dédiées : faire retirer une image détournée si le problème porte sur un visage repris sans accord, et les obligations d’une créatrice de contenu si tu es du côté éditeur et non consommateur.
La prochaine action, ce soir, tient en dix minutes : ouvre la politique de confidentialité du service concerné, descends jusqu’au nom du responsable de traitement, note la raison sociale et l’adresse de contact. Sans ce nom, aucune des quatre démarches du tableau ne peut démarrer.
Sources
- CNIL — Définition officielle : la CNIL a été créée par la loi Informatique et Libertés du 6 janvier 1978 ; c’est « une autorité administrative indépendante (AAI), c’est-à-dire un organisme public qui agit au nom de l’État, sans être placé sous l’autorité du gouvernement ou d’un ministre » ; elle est composée de 18 membres élus ou nommés et dispose d’un rôle d’alerte, de conseil et d’information ainsi que d’un pouvoir de contrôle et de sanction. (Page sans date de révision affichée — consultée et vérifiée le 11/09/2026)
- Légifrance — loi n° 78-17 du 6 janvier 1978 — Texte fondateur. Son article 8 désigne la CNIL comme autorité de contrôle nationale au sens du règlement (UE) 2016/679 et lui confie l’information des personnes et des responsables de traitement, l’accompagnement de la conformité, l’adoption de lignes directrices et référentiels, le traitement des réclamations, le contrôle et le conseil aux pouvoirs publics. (Loi du 06/01/1978 — version en vigueur au 11/09/2026 (date de consultation))
- Légifrance — code pénal, article 226-16 — « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en œuvre prévues par la loi est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » Volet pénal distinct des sanctions administratives de la CNIL. (Version en vigueur depuis le 17/02/2024, modifiée par la loi n° 2024-449 du 21 mai 2024 — consultée le 11/09/2026)
- Légifrance / Arcom — délibération n° 2024-20 du 9 octobre 2024 — Référentiel fixant les exigences techniques minimales des systèmes de vérification de l’âge pour l’accès aux contenus pornographiques en ligne. Les services doivent proposer au moins un dispositif en double anonymat, disposent de trois mois après publication pour se conformer, avec une période transitoire de trois mois autorisant les solutions par authentification forte sur carte bancaire. (Délibération du 09/10/2024, publiée au Journal officiel n° 0251 du 22/10/2024)
- Arcom — Page officielle de publication du « Référentiel technique sur la vérification de l’âge pour la protection des mineurs contre la pornographie en ligne », avec le PDF téléchargeable (228,5 Ko) ; le référentiel a reçu un avis favorable de la CNIL le 26 septembre 2024. (Publié le 11/10/2024 — consultée le 11/09/2026)
- CNIL — délibération n° 2024-067 — Définition du double anonymat : le site pornographique reçoit la preuve de majorité sans connaître l’identité de l’internaute, tandis que le fournisseur de vérification connaît l’identité mais ignore quels sites sont visités. La CNIL relève que l’Arcom a suivi ses préconisations et met en garde contre une généralisation de la vérification d’âge à l’ensemble d’internet, qui créerait un « monde numérique fermé » menaçant la liberté d’expression. (Avis rendu le 26/09/2024 (délibération n° 2024-067), page publiée le 11/10/2024)
- CNIL — Point clé de l’angle : la CNIL déclare n’avoir aucune compétence directe pour contrôler l’effectivité de l’interdiction d’accès des mineurs aux sites pornographiques — il revient à ces sites de choisir et de mettre en œuvre une solution conforme, sous le contrôle de l’Arcom et du juge. La CNIL reconnaît par ailleurs que la vérification de l’âge conduit à collecter des données personnelles et présente des risques pour la vie privée. (Publiée le 21/02/2023 — consultée le 11/09/2026)
- Arcom (communiqué de presse) — Application concrète du référentiel : six sites désignés par l’arrêté ministériel du 26 février 2025 ; cinq ont été mis en demeure le 1er août 2025 pour absence de vérification d’âge puis ont déployé une ou plusieurs solutions, un sixième a réactivé son dispositif après une lettre d’observations ; le collège de l’Arcom a décidé de ne pas engager de procédure de blocage et de déréférencement. (Communiqué du 28/08/2025)
- CNIL — Procédure exacte : « Avant de demander l’intervention de la CNIL, vous devez d’abord exercer vos droits Informatique et Libertés » ; l’organisme doit répondre « sous un mois maximum » ; la CNIL s’engage à informer du suivi « au moins dans un délai de trois mois suivant son dépôt » ; elle ne traite pas le droit du travail, le droit à l’image, le droit de la consommation, le droit pénal, ni le harcèlement, la diffamation ou la discrimination, et écarte les plaintes imprécises ou incomplètes. (Page sans date affichée — consultée et vérifiée le 11/09/2026)
- CNIL — Liste officielle des droits opposables à un responsable de traitement : information, opposition, accès, rectification, déréférencement, effacement, portabilité, intervention humaine face à une décision automatisée, limitation. Des modèles de courrier sont fournis par la CNIL. (Page sans date de révision affichée — consultée le 11/09/2026)
- CNIL — Bilan répressif 2025 : 259 décisions dont 83 sanctions pour un montant cumulé de 486 839 500 €, 143 mises en demeure, 31 rappels aux obligations légales, 2 avertissements. Thèmes dominants : cookies et traceurs (21 organismes), vidéosurveillance des salariés (16), sécurité des données (14), non-coopération avec la CNIL (14), atteinte aux droits (14), prospection commerciale (10). Deux amendes majeures de 325 M€ et 150 M€ sur les cookies. (Publié le 09/02/2026)
- CNIL — Activité 2025 : 20 150 plaintes reçues, soit 10 % de plus qu’en 2024 (record) ; 6 167 violations de données notifiées, dont un incident sur deux relevant d’un piratage ; 323 contrôles menés et 259 décisions rendues. (Rapport annuel 2025 publié le 18/05/2026)
