Le défaut d’information sur le traitement des données doit être constaté par la CNIL, qui commence par adresser un avertissement à l’organisme. Cela peut être assorti d’une obligation à se mettre en conformité, sous la forme d’une mise en demeure. Sans rectification, la sanction peut atteindre 20 millions d’euros et 4 % du chiffre d’affaires mondial. Des dommages et intérêts peuvent s’ajouter à cette amende.