Amendes CNIL : Sanctions et Contrôles RGPD en 2026
Évitez les amendes CNIL et les sanctions RGPD : audit et conformité
En 2025, la CNIL a mené 323 contrôles et prononcé 83 sanctions pour 486 839 500 euros d'amendes cumulées. Les amendes RGPD peuvent atteindre 20 millions d'euros ou 4% du chiffre d'affaires. Anticipez les risques avec un audit de conformité et évitez les sanctions. Nous vous accompagnons dans la prévention et la mise en conformité.
486 839 500 € d'amendes cumulées pour 83 sanctions, contre 55 212 400 € en 2024. Deux décisions sur les cookies (Google, 325 M€, et Shein, 150 M€) expliquent l'essentiel de ce montant. La CNIL a aussi prononcé de nombreuses amendes visant des entreprises de toutes tailles : sécurité des données, vidéosurveillance des salariés, droits des personnes.
02
88% de sites de TPE/PME non conformes
Selon le baromètre 2024 de Mission RGPD, relayé par France Num, plus de 88 % des sites web de TPE et PME analysés ne sont pas conformes au RGPD. La CNIL peut contrôler tout organisme, public ou privé, y compris en ligne (125 contrôles en ligne en 2025). Ses amendes visent aussi les petites structures.
03
Prévention avant sanction
Un audit de conformité et les bonnes pratiques permettent d'éviter les amendes. Nous vous accompagnons : audit initial, mise en conformité prioritaire (cookies, consentement, droits), documentation complète, suivi régulier. Anticiper coûte moins cher que d'être sanctionné.
01
Les sanctions RGPD : ce que prévoit la loi
Le Règlement Général sur la Protection des Données (RGPD) prévoit deux niveaux de sanctions financières. Le premier niveau s'élève à 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial (le montant le plus élevé est appliqué). Le second niveau atteint 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. En France, c'est la CNIL (Commission Nationale de l'Informatique et des Libertés) qui est chargée de prononcer ces sanctions.
Au-delà des amendes financières, la CNIL dispose d'autres pouvoirs : mise en demeure exigeant une conformité sous délai, injonctions imposant des mesures correctives, publication publique de la sanction affectant la réputation, et dans les cas graves, suspension partielle ou totale du traitement des données. La publicité n'est décidée que pour une minorité de sanctions (10 sur 83 en 2025).
02
Bilan des sanctions CNIL en 2024-2025
En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de 486 839 500 euros, contre 87 sanctions et 55 212 400 euros en 2024. Elle a mené 323 contrôles et adressé 143 mises en demeure. Les montants les plus importants ont ciblé les géants du web : Google (325 M€ le 1er septembre 2025, 150 M€ le 31 décembre 2021 dont 90 M€ pour Google LLC, 100 M€ le 7 décembre 2020), Shein (150 M€ le 1er septembre 2025), Criteo (40 M€ le 15 juin 2023), Amazon (35 M€ le 7 décembre 2020). Mais 67 des 83 sanctions de 2025 relèvent de la procédure simplifiée, qui vise des entreprises de toutes tailles.
En 2025, les principaux sujets de sanction sont les cookies et traceurs (21 acteurs sanctionnés), la vidéosurveillance des salariés (16 organismes) et la sécurité des données. En procédure simplifiée, les trois premiers motifs sont la sécurité insuffisante des données, l'absence de coopération avec la CNIL et le non-respect des droits des personnes (demandes d'effacement, d'opposition ou d'accès). La prospection commerciale ou politique a fait l'objet de 10 décisions.
Chaque année, la CNIL définit des thématiques prioritaires de contrôle, qui représentent environ 20 % de ses contrôles. En 2025 : les applications mobiles, la cybersécurité des collectivités territoriales, les traitements de l'administration pénitentiaire et, avec ses homologues européens, le droit à l'effacement. En 2026 : le recrutement, le répertoire électoral unique, les fédérations sportives et, au niveau européen, l'information et la transparence. La CNIL a aussi annoncé qu'elle consacrerait en 2026 la moitié de ses contrôles et de ses actions répressives à la sécurité des données.
Les autres contrôles font suite à des plaintes, à des signalements, à de précédentes mesures correctrices ou à l'actualité. Ils prennent quatre formes : sur place, sur pièces, sur audition ou en ligne (323 contrôles en 2025, dont 125 en ligne). Une association peut aussi saisir la CNIL au nom des personnes concernées (article 80 du RGPD) : la sanction de 50 millions d'euros du 21 janvier 2019 faisait suite à deux plaintes collectives de NOYB et de La Quadrature du Net.
04
TPE/PME : êtes-vous vraiment à risque ?
Oui. Selon le baromètre 2024 de Mission RGPD, relayé par France Num, plus de 88 % des sites web de TPE et PME analysés ne sont pas conformes au RGPD, et 74 % de ceux qui utilisent des cookies ne respectent pas les règles de consentement. La CNIL peut contrôler tout organisme, public ou privé, y compris en ligne, et ses contrôles font notamment suite à des plaintes : elle en a reçu 20 150 en 2025. Sécurité insuffisante des données, absence de réponse aux demandes de la CNIL, demandes d'accès ou d'effacement ignorées : ce sont les trois premiers motifs de sanction en procédure simplifiée en 2025.
Dans cette procédure, qui concerne 67 des 83 sanctions de 2025, l'amende est plafonnée à 20 000 € (100 000 € au-delà de 50 millions d'euros de chiffre d'affaires) et la sanction ne peut pas être rendue publique. La conformité n'est plus optionnelle : c'est un impératif légal et commercial pour toute TPE/PME avec une présence web.
La prévention repose sur cinq actions prioritaires. D'abord, installez un bandeau cookie conforme (consentement explicite avant dépôt de traceurs, possibilité de refuser, conservation du consentement). Notre CMP ConsentLab couvre ces trois exigences et enregistre une preuve de consentement horodatée, utile en cas de contrôle. Deuxièmement, créez et maintenez à jour votre registre des traitements listant tous les traitements de données personnelles, leurs finalités et leurs sécurités. Troisièmement, publiez une politique de confidentialité claire, accessible et à jour détaillant vos traitements.
Quatrièmement, respectez les droits des personnes : droit d'accès aux données, droit de rectification, droit à l'oubli, droit à la portabilité. Mettez en place des processus pour honorer ces droits dans le délai légal (un mois). Cinquièmement, sécurisez vos données : chiffrement en transit et au repos, contrôle d'accès, logs d'audit, plan de réponse aux incidents. Un audit externe permettra d'identifier vos risques et prioriser les corrections.
06
Notre accompagnement conformité CNIL
Bob le développeur accompagne les startups, PME et agences web dans la prévention des amendes CNIL et la mise en conformité RGPD. Nous offrons un audit initial de votre présence web et de vos traitements de données, identifiant les risques immédiats et les violations courantes. Nous corrigeons ensuite les non-conformités prioritaires : bandeaux cookies, consentements, droits des personnes.
Nous vous aidons à documenter votre conformité : registre des traitements, politique de confidentialité, contrats de sous-traitance, procédures. Nos fondateurs travaillent dans la e-santé depuis 2017 et comprennent les enjeux réglementaires français. Nous développons avec les technologies modernes tout en respectant les exigences strictes de la conformité. Découvrez nos services RGPD complets : cookie-consent, registre de traitements, droits des personnes. Prenez rendez-vous pour un audit gratuit et un plan de conformité personnalisé.
Chez Bob le développeur, nous ne construisons pas seulement des
produits SaaS, nous réalisons des rêves. Bob, à la barre de notre
équipe d'experts, est bien plus qu'un développeur : il est le
co-pilote agile et dévoué de votre projet entrepreneurial.
Eux-mêmes anciens entrepreneurs, les membres de Bob
comprennent les défis auxquels vous faites face et savent comment
les transformer en opportunités.
01
En contact permanent
Nous savons que chaque entreprise est unique. C'est pourquoi Bob et son équipe mettent un point d'honneur à tisser des relations solides et authentiques avec chacun de nos clients.
02
Rapidité et efficacité : notre signature
Dans le monde des startups, le temps c'est de l'argent. Notre processus de développement agile garantit que votre produit sera sur le marché en un temps record, prêt à conquérir son audience.
Témoignages
Ce que disent nos clients
“
Nous avons fait appel à Bob dans le cadre du développement de notre site Spliit et de notre web app. Leur accompagnement était complet avec une forte expertise technique et une approche produit. Ils ont su s'adapter rapidement à notre contexte et nos besoins. Fortement recommandé!
François Bulteau · CEO - Spliit
“
Antoine nous a accompagnés quelques mois sur le développement NextJS / NestJS / Typescript de plusieurs MVP dans le cadre de nos cycles exploratoires chez Carbonfact.
La collaboration est excellente : les échanges sont clairs, efficaces. Antoine s'est très bien adapté à notre contexte et a travaillé avec beaucoup d'autonomie, ce qui était parfait à notre stade de développement.
Nous avons beaucoup apprécié sa capacité à comprendre rapidement les enjeux business et à s'assurer de l'alignement de ses choix techniques avec nos pratiques et notre stratégie.
Nous serons ravis de travailler à nouveau avec Antoine et l'équipe de Bob le Développeur.
Romain Champourlier · CTO - Carbonfact
“
Je suis satisfait de la production finale d’Hypnolib.
Points positifs : Qualité de la prestation, Réactivité, Disponibilité, Force de propositions.
Stanislas Bétoux · CEO - Hypnolib
“
Engagé pour réaliser et développer notre site internet multiplateforme et multilingue. L’équipe a été très compétente en proposant des technologies Getbiz.
L'équipe de Bob le développeur a su bien comprendre notre projet, pour nous proposer la meilleure solution de développement pour la création de notre application.
Leur accompagnement fut très professionnel et les délais respectés. Bravo et merci à toute l'équipe.
Stanislas Denis · CEO - GetBiz
“
Bob le développeur a su répondre rapidement et efficacement à chacune de nos attentes.
Leur accompagnement et leur agilité tout au long de la réalisation du projet nous ont été très précieux, et nous ont permis de répondre très rapidement aux différentes difficultés rencontrées.
Leur expertise technique et leur orientation business nous ont permis de trouver ensemble les meilleures solutions pour une réalisation plus robuste sur le long terme.
Merci à toute l’équipe !
Romain Le Drogo · Founder - Sutom
“
L'équipe a su s'adapter aux différentes exigences et être force de proposition sur les concepts originaux que nous avons soumis pour notre plateforme interne. Hâte de retravailler ensemble!
RILESUNDAYZ · Record label and publishing company
FAQ
Questions fréquentes
01Quel est le montant maximum d'une amende RGPD ?
Le montant maximum d'une amende RGPD est de 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. Le RGPD prévoit deux niveaux de sanctions financières. Le premier niveau s'élève à 10 millions d'euros ou 2% du chiffre d'affaires annuel mondial (le montant le plus élevé). Le second niveau atteint 20 millions d'euros ou 4% du chiffre d'affaires annuel mondial. Ces montants sont des plafonds : la CNIL fixe chaque amende au cas par cas, en tenant compte notamment de la gravité du manquement, de la taille et de la situation financière de l'organisme. En procédure simplifiée, l'amende est plafonnée à 20 000 € (100 000 € si le chiffre d'affaires dépasse 50 millions d'euros). En 2025, la CNIL a prononcé 83 sanctions pour 486 839 500 euros d'amendes cumulées, contre 55 212 400 euros en 2024.
02La CNIL sanctionne-t-elle les petites entreprises ?
Oui, la CNIL sanctionne aussi les petites entreprises. Dans son bilan 2023, elle indique que les sanctions ont été prononcées aussi bien contre de petites entreprises que contre des multinationales. Son rapport annuel 2025 fait état de nombreuses amendes visant des entreprises de toutes tailles, notamment grâce à la procédure simplifiée créée en 2022 (67 des 83 sanctions de 2025). La taille est toutefois prise en compte : le montant de l'amende tient compte de la taille et de la situation financière de l'organisme, et il est plafonné à 20 000 € en procédure simplifiée (100 000 € au-delà de 50 millions d'euros de chiffre d'affaires). Côté conformité, le baromètre 2024 de Mission RGPD, relayé par France Num, relève que plus de 88 % des sites web de TPE et PME analysés ne sont pas conformes au RGPD.
03Comment se déroule un contrôle CNIL ?
Un contrôle de la CNIL peut prendre quatre formes : sur place, sur pièces, sur audition ou en ligne. En 2025, la CNIL a mené 323 contrôles, dont 165 sur place et 125 en ligne. Lors d'un contrôle en ligne, ses agents vérifient depuis les locaux de la CNIL ce qui est librement accessible sur un site web ou une application mobile. Lors d'un contrôle sur place, la délégation peut demander communication de tout document utile et en prendre copie : contrats de sous-traitance, formulaires, bases de données. À l'issue du contrôle, quatre suites sont possibles : une clôture, une clôture avec observations, une mise en demeure de se conformer dans un délai fixé par la CNIL, ou une procédure de sanction, qui peut être engagée sans mise en demeure préalable.
04Peut-on contester une amende CNIL ?
Oui. Une sanction de la CNIL peut faire l'objet d'un recours devant le Conseil d'État, dans un délai de deux mois à compter de la notification de la décision. Avant cela, l'organisme dispose d'un mois, à réception du rapport de sanction, pour présenter ses observations écrites, et peut se faire assister ou représenter par le conseil de son choix. Il est recommandé de se faire accompagner par un avocat spécialisé en droit du numérique et protection des données dès ce stade.
05La publication de la sanction est-elle systématique ?
Non. La publicité est décidée au cas par cas par la formation restreinte : en 2025, 10 des 83 sanctions prononcées ont été rendues publiques (12 sur 87 en 2024). Les sanctions prononcées en procédure simplifiée, les plus nombreuses (67 en 2025), ne peuvent pas être rendues publiques. La CNIL publie par ailleurs un tableau de ses sanctions où l'organisme est désigné par son type d'activité. Lorsqu'une sanction est rendue publique, l'organisme n'est plus identifié à l'issue du délai fixé par la décision (deux ans dans les délibérations visant Amazon en 2020 et Google en 2021).
06Quels sont les critères qui aggravent une sanction ?
Les facteurs aggravants principaux sont la récidive, la non-coopération et le préjudice causé aux personnes. La CNIL applique des facteurs aggravants : caractère répété ou intentionnel de la violation, absence de correction suite à une mise en demeure antérieure, non-coopération avec la CNIL pendant le contrôle, violation ayant causé un préjudice matériel ou moral aux personnes concernées, récidive. Inversement, les facteurs atténuants (correction rapide et volontaire, coopération pleine, absence de préjudice, petite taille) peuvent réduire significativement l'amende prononcée.
07Comment prouver sa bonne foi lors d'un contrôle CNIL ?
La bonne foi se prouve par une documentation complète de vos efforts de conformité avant le contrôle. La bonne foi est difficile à prouver après un contrôle. Il est crucial de documenter vos efforts de conformité avant le contrôle : registre des traitements tenu à jour et détaillé, politique de confidentialité claire et accessible, contrats de sous-traitance complets et conformes, traces de formations des collaborateurs, mesures de sécurité documentées (chiffrement, sauvegardes). Un audit préventif réalisé avant tout contrôle et des corrections rapides suite à une mise en demeure démontrent votre engagement envers la conformité.
08Un bandeau cookie non conforme suffit-il à déclencher une amende ?
Oui. Les cookies et traceurs sont l'un des principaux sujets de sanction de la CNIL en 2025 : 21 acteurs ont été sanctionnés pour des manquements aux règles sur les traceurs, dont Google (325 millions d'euros) et Shein (150 millions d'euros). Les manquements relevés : dépôt de traceurs sans le consentement de l'utilisateur, information insuffisante pour recueillir un consentement éclairé, refus ou retrait du consentement non pris en compte. La CNIL a aussi mis en demeure des sites qui ne permettaient pas de refuser les traceurs de façon simple.
Sources
Sources et références officielles
Les informations de cette page sont issues de sources officielles et de références juridiques fiables. Nous vous encourageons à consulter ces documents pour approfondir vos connaissances sur les amendes CNIL et les sanctions RGPD.
Au-delà de la prévention des amendes CNIL, découvrez nos services RGPD : cookies, registre des traitements, droits des personnes, hébergement HDS pour la e-santé.