Sanctions CNIL 2025-2026 : toutes les amendes, et ce qu’elles disent des petites entreprises

En 2025, la CNIL a prononcé 486 839 500 € d’amendes, et près de 98 % de cette somme tient en deux décisions du 1er septembre : 325 millions d’euros pour Google, 150 millions pour SHEIN. Le reste raconte une autre histoire. Sur les 83 sanctions de l’année, 67 ont été prononcées en procédure simplifiée contre une supérette, un médecin généraliste, une agence de voyage, une boutique en ligne ou un candidat aux législatives. Montant médian de ces amendes, d’après notre décompte de la liste officielle : 7 000 €.

C’est cette seconde histoire qui concerne les entrepreneurs. Ce guide recense toutes les sanctions de 2025 et 2026 que l’on peut vérifier sur cnil.fr et Légifrance, puis en tire ce qui compte pour une petite entreprise : ce qui est réellement sanctionné, combien, et comment la procédure se déroule.

Quel est le montant des amendes CNIL en 2025 ?

En 2025, la CNIL a prononcé 83 sanctions pour un total de 486 839 500 € d’amendes, dont 475 millions d’euros pour les seules décisions Google et SHEIN. Les 67 sanctions simplifiées, réservées aux dossiers sans difficulté particulière, sont plafonnées à 20 000 € chacune.

Les chiffres clés du bilan publié le 9 février 2026 :

Les 83 sanctions se décomposent en 78 amendes (dont 27 assorties d’une injonction sous astreinte), trois liquidations d’astreinte et deux rappels à l’ordre. Toutes les amendes sont recouvrées par le Trésor public.

2026 a commencé fort. Le 8 janvier, Free Mobile et Free ont reçu 42 millions d’euros d’amendes après une fuite touchant 24 millions de contrats d’abonnés, puis France Travail 5 millions le 22 janvier et IQVIA 5 millions le 26 mai. Côté petites structures, la CNIL annonçait le 6 juillet 2026 23 sanctions simplifiées depuis janvier, pour 133 750 € au total.

Quelles sanctions la CNIL a-t-elle prononcées en 2025 et 2026 ?

Le tableau ci-dessous reprend les 99 décisions de la liste officielle de la CNIL, du 9 janvier 2025 au 2 avril 2026 (liste mise à jour le 14 avril 2026), et les trois sanctions publiées depuis. Les organismes sanctionnés en procédure simplifiée ne sont jamais nommés : la loi l’interdit.

Comment le lire : « simplifiée » signale une décision prise par un seul membre de la formation restreinte, plafonnée à 20 000 € (100 000 € depuis le 28 mai 2026 pour un organisme dont le chiffre d’affaires mondial dépasse 50 millions d’euros) ; les autres lignes sont des décisions de la formation restreinte. Le lien renvoie à la délibération sur Légifrance quand elle a été publiée, sinon à la liste de la CNIL. Sur les 23 sanctions simplifiées annoncées pour janvier à juillet 2026, 12 sont détaillées ici ; la CNIL n’a pas encore publié le détail des autres, qui ne figurent donc pas ligne par ligne. Tapez « cookies », « vente à distance » ou « médecin » dans le filtre.

Les clôtures d’injonction (KASPR en mars 2026, Solocal en septembre 2026) ne sont pas des sanctions et n’y figurent pas. L’amende de 824 990 000 € infligée à Uber, relayée par la CNIL le 24 août 2026, non plus : elle a été prononcée par l’autorité néerlandaise de protection des données, en coopération avec la CNIL.

Quels sont les manquements les plus sanctionnés par la CNIL ?

Les cookies, la sécurité des données, le non-respect des droits des personnes, l’absence de réponse à la CNIL et la vidéosurveillance des salariés sont les motifs de sanction les plus fréquents en 2025. L’information des personnes et les durées de conservation apparaissent en complément dans une grande partie des dossiers.

Les six premières lignes viennent du bilan 2025 de la CNIL ; les deux dernières, de notre décompte des « manquements principaux » de sa liste des sanctions. Une même décision retient souvent plusieurs manquements.

Ce qui frappe à la lecture de la liste, c’est que les petites structures ne sont pas sanctionnées pour des montages sophistiqués. Une boutique de vente à distance a payé 3 000 € le 16 octobre 2025 pour un seul grief : des cookies déposés sans consentement. Un magasin d’articles de sport a atteint le plafond de 20 000 € le 10 avril 2025 en cumulant vidéosurveillance des salariés, absence de registre et défaut de sécurité. Un éditeur de logiciels de paie a reçu 15 000 € le 15 décembre 2025 pour la seule sécurité.

Les cookies restent le terrain le plus visible, parce qu’un contrôle en ligne suffit à les constater : la loi autorise les agents de la CNIL à opérer depuis Internet, y compris sous une identité d’emprunt (art. 19 de la loi Informatique et Libertés). En 2026, la CNIL a encore sanctionné des bandeaux où accepter prenait un clic, alors que refuser imposait de passer par « Personnaliser ». Notre guide du bandeau cookies conforme CNIL détaille les règles, et le détecteur de cookies gratuit montre les traceurs que votre site dépose dès le premier chargement.

Quelle amende CNIL risque une petite entreprise ?

Une petite entreprise est le plus souvent poursuivie en procédure simplifiée, où l’amende ne peut pas dépasser 20 000 € et l’astreinte 100 € par jour de retard, tant que son chiffre d’affaires mondial ne dépasse pas 50 millions d’euros. Au-delà, ces plafonds passent à 100 000 € et 500 € par jour depuis le 28 mai 2026.

Les trois mesures possibles sont donc le rappel à l’ordre, l’injonction (éventuellement sous astreinte) et l’amende. La procédure est écrite : l’organisme reçoit un rapport, dispose d’un mois pour répondre et peut demander à être entendu (CNIL, procédure simplifiée). Elle n’est ouverte qu’aux affaires sans difficulté particulière, au regard d’une jurisprudence établie ou de la simplicité des faits.

Ce que montrent les 62 amendes simplifiées de 2025 recensées dans la liste de la CNIL (notre décompte) :

• elles vont de 2 000 € à 20 000 €, avec une médiane de 7 000 € ;
• 24 sont inférieures ou égales à 5 000 €, typiquement pour un seul manquement (cookies, défaut de coopération) ;
• 12 atteignent le plafond de 20 000 €, dix fois sur douze pour un cumul de griefs : vidéosurveillance, registre, sécurité, sous-traitance.

Autrement dit, le montant suit le nombre de manquements bien plus que la taille de l’entreprise. Rien n’interdit pour autant à la CNIL de renvoyer un commerce devant la formation restreinte : le 4 septembre 2025, une société de grande distribution a reçu 75 000 € et une injonction pour sa vidéosurveillance, hors procédure simplifiée.

Quels sont les plafonds des amendes RGPD ?

Le plafond général est de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, porté à 20 millions d’euros ou 4 % pour les principes du RGPD, les droits des personnes, les transferts et le non-respect d’une injonction, le montant le plus élevé étant retenu. Ces plafonds s’appliquent devant la formation restreinte (art. 20 de la loi Informatique et Libertés, art. 83 du RGPD).

La dernière ligne explique pourquoi un ministère a reçu, le 12 mars 2026, un rappel à l’ordre et une injonction plutôt qu’une amende. Les autres organismes publics, en revanche, sont sanctionnés comme les entreprises : France Travail en est l’exemple, tout comme une commune et deux universités en procédure simplifiée en 2025.

Pour fixer le montant, la formation restreinte applique les critères de l’article 83 du RGPD. Ceux qui reviennent dans les communiqués de 2025-2026 : gravité du manquement, nombre de personnes concernées, sensibilité des données, mise en demeure antérieure, capacités financières de l’entreprise, mise en conformité en cours de procédure.

Comment se déroule une procédure de sanction CNIL ?

Une procédure part d’un signalement (plainte, priorité de contrôle, presse, autorité européenne), le plus souvent suivi d’un contrôle, puis débouche sur une clôture, un rappel aux obligations, une mise en demeure ou une procédure de sanction. La mise en demeure n’est pas un passage obligé : le président de la CNIL peut saisir directement la formation restreinte.

flowchart TD
  A["Plainte, contrôle en ligne ou sur place"] --> B{"Manquement constaté ?"}
  B -->|Non| C["Clôture du dossier"]
  B -->|Oui| D["Rappel aux obligations ou mise en demeure"]
  B -->|Grave ou répété| F{"Dossier simple ?"}
  D --> E{"Conforme dans le délai ?"}
  E -->|Oui| C
  E -->|Non| F
  F -->|Oui| G["Procédure simplifiée : 20 000 € max, non publique"]
  F -->|Non| H["Formation restreinte : jusqu’à 20 M€ ou 4 %"]

Les étapes, d’après la chaîne répressive décrite par la CNIL et l’article 20 de la loi :

1. Le signalement : plainte d’un client ou d’un salarié, thème de contrôle prioritaire, article de presse, alerte d’une autorité européenne. La Samaritaine a été contrôlée après un article de presse et une plainte sur des caméras déguisées en détecteurs de fumée.
2. Le contrôle : sur place, en ligne, sur convocation ou sur pièces.
3. Les suites : sans manquement, le dossier est clos. Sinon, le président peut rappeler l’organisme à ses obligations ou le mettre en demeure de se conformer dans un délai qu’il fixe, qui ne peut être inférieur à 10 jours, sauf urgence où il peut descendre à 24 heures (CNIL, mise en demeure). La mise en demeure n’est pas une sanction.
4. La sanction : le président saisit la formation restreinte (procédure ordinaire, contradictoire) ou engage la procédure simplifiée. Un antécédent pèse lourd : l’éditeur de vanityfair.fr, mis en demeure en 2021, a de nouveau été contrôlé en 2023 et 2025, puis sanctionné de 750 000 € le 20 novembre 2025, la CNIL relevant que cette mise en demeure « aurait dû la conduire à se mettre en conformité ».

Une sanction CNIL est-elle rendue publique ?

Une sanction prononcée en procédure simplifiée n’est jamais publiée, et l’organisme n’est pas nommé ; une sanction de la formation restreinte peut être rendue publique, avec ou sans le nom de la société. En 2025, 10 des 83 sanctions ont été publiées.

L’article 22-1 de la loi interdit au décideur de la procédure simplifiée de « rendre publiques les décisions qu’il prend ». Devant la formation restreinte, la publicité est une décision au cas par cas, que l’article 22 autorise. La formation restreinte publie parfois sans nommer : la société du secteur tertiaire sanctionnée de 3,5 millions d’euros le 30 décembre 2025 pour avoir transmis les données de son programme de fidélité à un réseau social n’a pas été nommée, la CNIL ayant jugé que l’intérêt était d’informer sur une pratique répandue.

Pour une TPE, l’enjeu d’image est donc limité en procédure simplifiée. L’enjeu financier et pratique, lui, ne l’est pas : une injonction sous astreinte impose de corriger dans un délai fixé, et la liquidation de l’astreinte suit si rien ne bouge.

Comment éviter une amende CNIL ?

La plupart des amendes de 2025-2026 sanctionnent des obligations de base : consentement aux cookies, sécurité des accès, réponse aux demandes, information des personnes et durées de conservation. Les corriger coûte bien moins cher qu’une procédure, même simplifiée.

Deux points méritent une attention particulière pour les commerçants et les PME qui emploient du personnel. La vidéosurveillance d’abord : la CNIL rappelle que filmer en continu des salariés à leur poste, sans circonstance exceptionnelle, est contraire au principe de minimisation, et la vidéosurveillance arrive en tête des thèmes cités par la CNIL pour les sanctions simplifiées de 2026. La sous-traitance ensuite : un contrat avec chaque prestataire qui traite vos données pour votre compte (hébergeur, logiciel de paie, agence) est exigé par l’article 28 du RGPD, et le grief d’encadrement des sous-traitants figure dans quatre des amendes simplifiées de 20 000 € prononcées en 2025.

Pour faire le point rapidement, l’audit gratuit de votre site vérifie les liens légaux de la page d’accueil, le HTTPS et la présence d’un mécanisme de consentement, et le quiz de conformité passe en revue les autres obligations. Les mentions légales et les CGV ne relèvent pas de la CNIL, mais elles se vérifient sur la même page d’accueil que votre bandeau cookies : autant contrôler l’ensemble d’un coup.

Faut-il craindre une amende CNIL quand on est une TPE ?

Les amendes géantes font les titres, mais 67 des 83 sanctions de 2025 relevaient de la procédure simplifiée, pour des manquements simples et des montants de quelques milliers d’euros. Le risque réel d’une TPE n’est pas une amende à huit chiffres : c’est un contrôle en ligne de ses cookies, une plainte d’un client ou d’un ancien salarié qui demande ses données, ou un courrier de la CNIL resté sans réponse.

Trois réflexes couvrent l’essentiel de ce qui a été sanctionné : un bandeau cookies qui permet vraiment de refuser, des accès protégés, et une réponse à chaque demande dans le mois. Le reste (registre, durées de conservation, contrats avec les prestataires) se documente une fois, puis se relit une fois par an.