Le 31 janvier 2019, la formation restreinte de la CNIL a prononcé des injonctions sous astreinte contre un établissement public national à caractère administratif. Le tableau officiel des sanctions retient un défaut de sécurité des données personnelles. La dénomination n'est pas publique : la décision n'a donné lieu à aucun communiqué nominatif. Le 40e rapport d'activité recense pour 2019 cinq injonctions sous astreinte, de 200 à 3 000 euros par jour de retard. Les organismes concernés n'y sont pas nommés. Cette décision illustre l'usage du pouvoir d'injonction assorti d'astreinte créé par le RGPD, y compris pour des traitements publics.