Sanctions CNIL : montants, exemples récents et déroulement d’un contrôle
Les sanctions de la CNIL font régulièrement l’actualité avec des montants de plusieurs centaines de millions d’euros contre de grandes plateformes. Pour une TPE ou une PME, la réalité est différente mais le risque est réel : contrôles en ligne, mises en demeure, amendes en procédure simplifiée. Voici les repères utiles pour évaluer son exposition.
Ce que prévoient les textes
| Type de manquement | Plafond (montant le plus élevé) |
|---|---|
| Obligations du responsable et du sous-traitant (sécurité, registre, contrats, notification des violations…) | 10 M€ ou 2 % du CA annuel mondial |
| Principes, bases légales, consentement, droits des personnes, transferts | 20 M€ ou 4 % du CA annuel mondial |
Les cookies relèvent de l’article 82 de la loi Informatique et Libertés, et la prospection électronique du Code des postes et des communications électroniques : la CNIL est compétente et peut sanctionner sur ces fondements. Au-delà de l’amende, elle peut prononcer un rappel à l’ordre, une injonction de mise en conformité assortie d’une astreinte, ou rendre la sanction publique. Notre page sanctions présente l’ensemble des mesures.
La procédure simplifiée
Pour les dossiers simples, la CNIL dispose d’une procédure de sanction simplifiée. Selon les informations publiées par la CNIL, l’amende y est plafonnée à 20 000 € et l’astreinte à 100 € par jour de retard ; ces plafonds sont relevés à 100 000 € et 500 € par jour pour les organismes dont le chiffre d’affaires dépasse 50 millions d’euros. Les décisions ne sont pas publiées. Ces montants peuvent évoluer : vérifiez la page de la CNIL à la date de lecture.
Pour une petite structure, 20 000 € n’est pas anodin, d’autant que la sanction s’accompagne le plus souvent d’une obligation de corriger rapidement.
Exemples récents liés aux sites internet
- Septembre 2025 — Google, 325 millions d’euros (200 M€ pour Google LLC, 125 M€ pour Google Ireland) : affichage de publicités entre les e-mails de Gmail sans consentement et dépôt de cookies lors de la création d’un compte Google, assortis d’une injonction sous astreinte.
- Septembre 2025 — Shein, 150 millions d’euros : cookies déposés dès l’arrivée sur le site, refus non respecté, bandeaux d’information incomplets et absence d’identification des tiers.
- Décembre 2021 — Google et Facebook (150 M€ et 60 M€) : refuser les cookies était plus compliqué qu’accepter.
Le point commun de ces décisions est qu’elles portent sur des défauts visibles, que n’importe quel visiteur peut constater. C’est exactement ce que vérifie le guide bandeau cookies conforme CNIL. D’autres décisions sont résumées dans nos décisions marquantes et dans la veille juridique.
Comment se déroule un contrôle
La CNIL peut déclencher un contrôle à la suite d’une plainte, d’un signalement, d’une violation de données ou dans le cadre de ses thématiques prioritaires annuelles. Il peut prendre plusieurs formes :
- contrôle en ligne : consultation du site, constat des traceurs et des informations affichées ;
- contrôle sur pièces : questionnaire et demande de documents (registre, contrats, politique de conservation…) ;
- contrôle sur place ou audition.
Les constats peuvent déboucher sur une clôture, une mise en demeure de se conformer dans un délai donné, ou une procédure de sanction. Voir aussi contrôles CNIL.
Réduire son exposition
- Corriger d’abord ce qui est visible depuis l’extérieur : cookies, formulaires, pages juridiques.
- Répondre dans les délais à toute demande d’exercice de droits : une plainte part souvent d’une demande restée sans réponse.
- Tenir à jour le registre et les contrats de sous-traitance, qui seront demandés en cas de contrôle sur pièces.
- Documenter les corrections : un rapport d’audit et la trace des actions menées montrent la bonne foi et la démarche de mise en conformité.
En cas de mise en demeure ou de plainte déjà reçue, l’offre urgence RGPD permet de prioriser les réponses. Pour une démarche préventive, commencez par l’audit RGPD du site.
Questions fréquentes
Quel est le montant maximal d’une amende RGPD ?
L’article 83 du RGPD prévoit deux plafonds : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires pour les manquements les plus graves (principes, bases légales, droits des personnes, transferts), le montant le plus élevé étant retenu.
La CNIL sanctionne-t-elle les petites entreprises ?
Oui. La procédure de sanction simplifiée a été créée pour traiter plus rapidement les dossiers de moindre complexité, qui concernent souvent des TPE et PME. Les amendes y sont plafonnées et les décisions ne sont pas rendues publiques, ce qui explique qu’on en entende moins parler.
La CNIL peut-elle contrôler un site sans prévenir ?
Oui. Depuis 2014, la CNIL peut réaliser des contrôles en ligne : elle consulte le site comme un visiteur, constate les traceurs déposés, les formulaires et les informations affichées, et dresse un procès-verbal. Aucun préavis n’est nécessaire.
Faire vérifier votre site
Un audit du site public relève les écarts visibles (cookies, formulaires, pages juridiques, outils tiers, sécurité apparente) et les classe par priorité, avec les corrections à appliquer.