Sanctions CNIL pour les PME : les vrais chiffres
Sanctions CNIL et PME : chiffres 2025, procédure simplifiée, plus grosses amendes en France, lien avec le phishing et plan en 8 étapes pour préparer un contrôle.
En 2025, la CNIL a prononcé 83 sanctions, dont 67 en procédure simplifiée, pour un total record de 486 839 500 € (bilan des sanctions 2025, publié le 9 février 2026). Les montants records visent les géants du numérique. Pour une PME, le risque réaliste est une amende plafonnée à 20 000 € en procédure simplifiée, ou de quelques dizaines à quelques centaines de milliers d’euros en procédure ordinaire, souvent après un contrôle en ligne ou une violation de données.
Cet article donne les chiffres vérifiés, les cas qui parlent aux PME, la liste des plus grosses amendes prononcées en France, la procédure, le lien avec le phishing et un plan en huit étapes pour préparer un contrôle.
Les chiffres de la CNIL en 2025
Le bilan publié par la CNIL le 9 février 2026 compte 259 décisions en 2025 : 83 sanctions (67 en procédure simplifiée, 16 en procédure ordinaire), 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements. Le montant cumulé des amendes atteint 486 839 500 €, porté surtout par deux décisions sur les cookies contre Google et Shein.
Les thèmes les plus sanctionnés :
- les cookies et traceurs (21 sanctions) ;
- la vidéosurveillance des salariés (16) ;
- l’insuffisance des mesures de sécurité (14 sanctions en procédure simplifiée) ;
- le défaut de coopération avec la CNIL (14) ;
- le non-respect des droits des personnes (14) ;
- la prospection commerciale (10).
Côté incidents, la CNIL a reçu 6 167 notifications de violations de données en 2025, en hausse de 9,5 % sur un an, et un incident sur deux relève d’un piratage (rapport annuel 2025, 18 mai 2026). Elle annonce qu’en 2026 elle consacrera la moitié de ses contrôles et de ses actions répressives à la sécurité des données.
La procédure simplifiée, conçue pour les petits dossiers
Depuis la loi du 24 janvier 2022, la CNIL dispose d’une procédure simplifiée pour les dossiers simples :
- l’amende est plafonnée à 20 000 € ;
- la décision est prise par le président de la formation restreinte, ou un membre qu’il désigne, sans audience publique ;
- la décision n’est pas rendue publique ;
- le délai de traitement est beaucoup plus court que celui de la procédure ordinaire.
En 2025, 67 des 83 sanctions sont passées par cette voie. Pour un dirigeant de PME, le risque devient concret : une amende de quelques milliers d’euros peut suivre un contrôle en ligne de son site, en quelques mois.
Les sanctions qui parlent aux PME : cas nommés
Les sanctions publiées avec le nom de l’organisme montrent les manquements qui coûtent cher à des entreprises de taille moyenne.
Dedalus Biologie, 1,5 million d’euros (avril 2022). Cet éditeur de logiciels pour laboratoires a laissé fuiter, lors d’une migration, les données médicales de près de 500 000 patients. Sous-traitant, il a été sanctionné pour des manquements aux articles 28, 29 et 32 du RGPD. Leçon : les exports de migration et les bases de test non purgées sont des données personnelles comme les autres, et un sous-traitant a ses propres obligations de sécurité.
Doctissimo, 380 000 € (mai 2023). Le site partageait des données issues de questionnaires de santé et des cookies publicitaires sans consentement valide. Leçon : si votre site collecte des informations qui révèlent l’état de santé (pharmacie en ligne, mutuelle, bien-être), le consentement doit être explicite avant tout partage.
Infogreffe, 250 000 € (septembre 2022). Mots de passe stockés avec un algorithme obsolète, transmis en clair par email, et des centaines de milliers de comptes inactifs conservés trop longtemps. Leçon : la sécurité des mots de passe et la purge des comptes dormants font partie des premiers points contrôlés.
Optical Center (250 000 €, 2018) et Darty (100 000 €, janvier 2018). Dans les deux cas, modifier un identifiant dans une adresse web donnait accès aux documents d’autres clients. Chez Darty, le formulaire avait été développé par un prestataire : la CNIL a rappelé que la responsabilité du responsable de traitement ne se délègue pas. Leçon : testez les accès de vos formulaires et espaces clients avant la mise en ligne.
Les sanctions récentes contre des entreprises de taille moyenne sont souvent publiées sans le nom. Le tableau de la CNIL en recense plusieurs, par exemple une agence immobilière (40 000 €, décembre 2024, minimisation des données et information des personnes), une société de centres d’appels (250 000 €, octobre 2025, conservation et sécurité) et un éditeur de logiciel de recrutement (270 000 €, décembre 2025, sécurité, données sensibles et cookies).
Les plus grosses amendes CNIL en France
Classement des amendes les plus élevées prononcées par la CNIL, vérifié sur ses communiqués et sa liste des sanctions au 13 octobre 2026.
| Organisme | Montant | Date | Manquement principal |
|---|---|---|---|
| Google (Google LLC et Google Ireland) | 325 M€ | Septembre 2025 | Publicités insérées entre les emails de Gmail et cookies déposés sans consentement valide |
| Google (Google LLC et Google Ireland) | 150 M€ | Décembre 2021 | Refus des cookies plus difficile que l’acceptation |
| Shein (Infinite Styles Services) | 150 M€ | Septembre 2025 | Cookies déposés sans consentement |
| Google (Google LLC et Google Ireland) | 100 M€ | Décembre 2020 | Cookies déposés sans consentement |
| Facebook Ireland (Meta) | 60 M€ | Décembre 2021 | Refus des cookies plus difficile que l’acceptation |
| Microsoft Ireland | 60 M€ | Décembre 2022 | Cookies du moteur Bing sans refus aussi simple que l’acceptation |
| Google LLC | 50 M€ | Janvier 2019 | Manque de transparence et consentement non valable pour la publicité ciblée |
| Orange | 50 M€ | Novembre 2024 | Publicités insérées entre les emails et cookies |
| Free Mobile et Free | 42 M€ (27 M€ et 15 M€) | Janvier 2026 | Sécurité, conservation et notification après la fuite d’octobre 2024 (24 millions de contrats, IBAN) |
| Criteo | 40 M€ | Juin 2023 | Preuve du consentement au suivi publicitaire |
| Amazon Europe Core | 35 M€ | Décembre 2020 | Cookies déposés sans consentement |
| Clearview AI | 20 M€ | Octobre 2022 | Collecte de données biométriques sans base légale |
| Amazon France Logistique | 15 M€ (32 M€ prononcés par la CNIL, réduits par le Conseil d’État) | Décembre 2023, réduite en décembre 2025 | Surveillance excessive des salariés |
| Yahoo EMEA | 10 M€ | Décembre 2023 | Non-respect du refus des cookies |
Quatre leçons pour une PME :
- Les cookies dominent le classement. Les règles de consentement s’appliquent à chaque site, et la CNIL les contrôle en ligne à grande échelle : refuser doit être aussi simple qu’accepter, et aucun traceur publicitaire ne doit partir avant le choix de l’internaute.
- Une fuite de données coûte désormais des dizaines de millions. Free et Free Mobile ont été sanctionnés de 42 M€ pour des failles de sécurité, une conservation excessive et une information insuffisante des abonnés après la fuite. Le montant varie avec la taille de l’entreprise ; les manquements contrôlés sont les mêmes pour une PME.
- La surveillance des salariés est un motif à part entière : 32 M€ pour Amazon France Logistique en 2023, ramenés à 15 M€ par le Conseil d’État en décembre 2025, et 16 sanctions sur la vidéosurveillance des salariés en 2025.
- L’amende est proportionnée à la taille : les plafonds du RGPD (20 M€ ou 4 % du chiffre d’affaires mondial) laissent la CNIL ajuster le montant au poids économique de l’organisme.
Comment la CNIL fixe le montant d’une amende
L’article 83 du RGPD liste les critères. Le plafond est de 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu, pour les manquements les plus graves (10 millions ou 2 % pour d’autres obligations). En pratique, les sanctions visant des PME restent très en dessous.
| Facteur aggravant | Exemple |
|---|---|
| Nombre de personnes touchées | Près de 500 000 patients chez Dedalus, 24 millions de contrats chez Free |
| Sensibilité des données | Données de santé, biométrie, coordonnées bancaires |
| Caractère délibéré ou négligence | Collecte sans base légale en connaissance de cause |
| Durée du manquement | Manquement qui persiste après une mise en demeure |
| Défaut de coopération | Absence de réponse aux demandes de la CNIL |
| Facteur atténuant | Effet |
|---|---|
| Correction rapide du manquement | Réduit le montant |
| Notification spontanée de l’incident | Montre la bonne foi |
| Coopération pleine avec la CNIL | Prévue par l’article 83 |
| Mesures de sécurité déjà en place, même imparfaites | Montre des efforts réels |
| Sensibilisation documentée du personnel | Montre la diligence organisationnelle |
La procédure de sanction, étape par étape
Le contrôle peut prendre quatre formes :
- Le contrôle en ligne : un agent analyse votre site (cookies, formulaires, requêtes réseau) sans vous prévenir.
- Le contrôle sur pièces : la CNIL demande des documents par courrier (registre des traitements, politique de confidentialité, contrats, preuves de consentement).
- Le contrôle sur place : des agents viennent dans vos locaux et peuvent accéder aux postes, aux serveurs et aux fichiers.
- L’audition : le responsable de traitement est convoqué.
Si le contrôle révèle des manquements, la CNIL peut adresser une mise en demeure, qui fixe un délai pour se mettre en conformité. Elle n’entraîne aucune amende ; si les corrections n’arrivent pas dans le délai, la procédure de sanction s’ouvre. Dès réception, corrigez, documentez chaque correction et répondez avant l’échéance, avec l’appui d’un conseil spécialisé si nécessaire ; une politique de sécurité formalisée renforce la réponse.
Dans la procédure ordinaire, un rapporteur instruit le dossier et propose une sanction. L’entreprise présente ses observations et peut être entendue par la formation restreinte, qui prononce la sanction et peut décider de la rendre publique, avec ou sans le nom de l’organisme. La procédure simplifiée, décrite plus haut, concerne les dossiers plus simples. Toute sanction peut être contestée devant le Conseil d’État dans un délai de deux mois.
Du phishing à la sanction : l’enchaînement
Ce que la CNIL sanctionne, c’est l’insuffisance des mesures de sécurité qui a permis la fuite de données, quelle que soit la porte d’entrée. L’enchaînement type après un phishing :
- Un salarié clique sur un email de phishing et saisit ses identifiants ou ouvre une pièce jointe piégée. En France, 55 % des attaques significatives passent par le phishing (baromètre CESIN 2026).
- L’attaquant accède aux données : base clients, dossiers RH, données financières ou médicales.
- L’entreprise doit notifier la violation à la CNIL dans les 72 heures (article 33 du RGPD), et informer les personnes si le risque est élevé (article 34).
- La CNIL peut contrôler. Elle vérifie si les mesures étaient adaptées au risque (article 32) : MFA sur les comptes sensibles, accès limités, chiffrement, procédure de réponse à incident, sensibilisation du personnel.
- Si les mesures étaient insuffisantes, la sanction s’ajoute au coût de l’incident lui-même : investigation, notification des personnes, perte de clients.
Une entreprise qui peut montrer des formations régulières et des campagnes de simulation de phishing documentées apporte une preuve de diligence sur le volet humain. Notre page RGPD et phishing détaille l’article 32 appliqué à la sensibilisation, et la page preuves de sensibilisation pour vos audits montre les pièces que produit nophi.sh.
Préparer son entreprise à un contrôle CNIL : 8 étapes
1. Vérifier ses cookies (cette semaine)
Ouvrez votre site en navigation privée, ouvrez les outils de développement (onglet Réseau) et ne touchez pas au bandeau. Si des requêtes partent vers des outils de mesure d’audience ou des régies publicitaires avant votre choix, vous êtes en infraction. Configurez votre outil de gestion du consentement pour bloquer ces scripts jusqu’au consentement, avec un bouton « Tout refuser » aussi visible que « Tout accepter ».
2. Tenir un registre des traitements (ce mois)
Pour chaque traitement : finalité, catégories de données, destinataires, durées de conservation, mesures de sécurité. La CNIL fournit un modèle gratuit. Un registre imparfait mais à jour vaut mieux que pas de registre lors d’un contrôle.
3. Purger les données périmées (ce trimestre)
Quelques repères issus des référentiels de la CNIL : trois ans après le dernier contact pour un prospect non converti, un mois pour les images de vidéosurveillance, treize mois au plus pour la durée de vie des cookies. Automatisez la purge : un processus manuel est oublié au bout de quelques mois.
4. Sécuriser les mots de passe et les accès
Stockez les mots de passe avec une fonction de hachage lente et salée (bcrypt, scrypt, Argon2 ou PBKDF2), jamais en MD5 ou SHA-1. N’envoyez jamais de mot de passe en clair par email. Activez la MFA sur les comptes d’administration et les accès aux données sensibles, et limitez chaque accès au strict nécessaire.
5. Auditer vos contrats de sous-traitance
Chaque prestataire qui traite vos données personnelles doit avoir un contrat conforme à l’article 28.3 du RGPD : objet et durée, catégories de données, mesures de sécurité, aide en cas de violation (avec un délai de notification, souvent fixé à 48 heures dans les contrats), sort des données en fin de contrat. Commencez par l’hébergeur, le prestataire informatique, le logiciel de comptabilité, le CRM et l’outil d’emailing.
6. Former vos salariés au phishing
La formation réduit le risque de fuite et prouve votre diligence au titre de l’article 32. Gardez des traces datées : modules suivis, rapports de campagnes de simulation, évolution des résultats. Une simulation au moins trimestrielle avec suivi des formations est une mesure concrète à présenter, et les assureurs cyber demandent les mêmes preuves.
7. Écrire une procédure de réponse à incident
Les 72 heures de la notification passent très vite. La procédure désigne le contact CNIL, la manière d’évaluer la gravité, les données concernées et la façon d’informer les personnes. Préparez aussi une fiche réflexe cyberattaque accessible à tous.
8. Rassembler la documentation RGPD
Lors d’un contrôle, la CNIL regarde l’ensemble : cookies, registre, sécurité, sous-traitance, droits des personnes, conservation. Réunissez dans un même dossier le registre, les contrats, la politique de confidentialité, les procédures de gestion des droits, les preuves de formation et votre politique de sécurité.
Les amendes CNIL ne sont pas assurables
En droit français, une amende administrative sanctionne un comportement de l’entreprise : elle est en principe inassurable, et votre assurance cyber ne la paiera pas. L’assurance cyber peut en revanche couvrir les frais liés à l’incident (investigation, notification des personnes, conseil, gestion de crise, pertes d’exploitation), selon votre contrat. La prévention reste le seul moyen de réduire le risque d’amende.
Questions fréquentes
Quel montant risque une PME sanctionnée par la CNIL ?
Dans la procédure simplifiée, utilisée pour 67 des 83 sanctions de 2025, l’amende est plafonnée à 20 000 €. Dans la procédure ordinaire, les montants dépendent de la gravité, du nombre de personnes touchées, de la sensibilité des données et de la taille de l’entreprise : des PME et ETI ont été sanctionnées de quelques dizaines de milliers d’euros à 1,5 million d’euros (Dedalus Biologie, données de santé, 2022).
Comment se déroule un contrôle CNIL ?
Il peut prendre quatre formes : contrôle en ligne (analyse de votre site, sans prévenir), contrôle sur pièces (demande de documents), contrôle sur place (agents dans vos locaux) et audition. S’il révèle des manquements, la CNIL peut adresser une mise en demeure avec un délai de mise en conformité, ou engager une procédure de sanction.
La CNIL contrôle-t-elle vraiment les petites entreprises ?
Oui. La procédure simplifiée, créée en 2022, lui permet de traiter vite des dossiers de taille modeste : 67 sanctions ont été prononcées ainsi en 2025, sur 83 au total, avec 143 mises en demeure. Les contrôles en ligne visent des sites de toutes tailles.
Quel est le lien entre phishing et sanctions CNIL ?
La CNIL sanctionne l’insuffisance des mesures de sécurité qui a permis une fuite de données, quelle qu’en soit la porte d’entrée, phishing compris. Après une violation notifiée, elle vérifie si les mesures étaient adaptées au risque (article 32 du RGPD) : MFA, accès, chiffrement, procédure d’incident, sensibilisation du personnel. Des formations documentées montrent votre diligence.
Peut-on être sanctionné par la CNIL sans fuite de données ?
Oui. Cookies déposés sans consentement, conservation excessive, défaut d’information, vidéosurveillance des salariés disproportionnée, non-respect des droits des personnes : la plupart des sanctions ne font suite à aucune fuite. Un contrôle en ligne de votre site peut suffire à ouvrir une procédure.
Comment préparer son entreprise à un contrôle CNIL ?
Commencez par quatre actions : un registre des traitements à jour (article 30 du RGPD), des cookies conformes (aucun dépôt avant consentement, refus aussi simple que l’acceptation), des mesures de sécurité documentées (mots de passe, accès, chiffrement, sensibilisation) et des contrats de sous-traitance conformes à l’article 28. En cas de contrôle, désignez un interlocuteur et coopérez : la coopération est un facteur atténuant.
Sources : CNIL, bilan des sanctions et mesures correctrices 2025 (9 février 2026) ; CNIL, rapport annuel 2025 (18 mai 2026) ; CNIL, les sanctions prononcées ; communiqués de la CNIL : Google, 325 M€, Shein, 150 M€, Orange, 50 M€, Free Mobile et Free, 42 M€, Yahoo, 10 M€ ; baromètre CESIN 2026.