Sanctions CNIL 2025-2026 : ce que risque réellement une TPE/PME

Le bilan CNIL 2025 en chiffres

En 2025, la CNIL a prononcé 83 sanctions pour un montant cumulé de près de 487 millions d'euros. Ce montant ne résulte pas d'une hausse généralisée des amendes, mais de la concentration de deux décisions : 325 millions d'euros contre Google et 150 millions contre Shein, toutes deux prononcées le même jour pour des manquements sur les cookies. À elles seules, ces deux décisions représentent l'essentiel du total annuel.

Un chiffre bien moins médiatisé compte davantage pour une TPE/PME : la CNIL a adressé 143 mises en demeure en 2025 — un volume près de deux fois supérieur au nombre de sanctions, et la voie la plus fréquente pour une petite structure (voir plus bas).

Les 3 grands motifs de sanction en 2025, chiffrés précisément

Le rapport annuel 2025 de la CNIL détaille, sur les 83 sanctions prononcées, la répartition exacte par motif — plus parlante qu'un simple classement.

• 25 sanctions pour des manquements à la sécurité : défaut de mesures techniques de base (mots de passe, authentification, cloisonnement des accès), souvent révélé après une violation de données.
• 21 sanctions pour des manquements relatifs aux traceurs : un refus de cookies moins accessible que l'acceptation, ou un retrait de consentement non respecté.
• 17 sanctions pour des manquements liés à la vidéosurveillance des salariés : dispositifs disproportionnés à la finalité annoncée.

Comment la CNIL choisit qui contrôler

En 2025, la CNIL a mené 323 contrôles (165 sur place, 126 en ligne, 27 sur pièce, 5 sur audition) et reçu 20 150 plaintes — en hausse de 10 % sur un an. Un contrôle en ligne, qui consiste à examiner un site à distance, est exactement le type d'examen qu'un audit technique automatisé reproduit de votre côté. Autrement dit, une part croissante des dossiers CNIL démarre par une plainte d'un internaute ou un signalement, pas uniquement par un programme de contrôle thématique planifié à l'avance.

Un exemple concret : France Travail, 5 millions d'euros pour un défaut de sécurité

En janvier 2026, la CNIL a prononcé une sanction de 5 millions d'euros à l'encontre de France Travail, après une cyberattaque ayant exposé les données de plusieurs dizaines de millions de personnes (numéros de sécurité sociale, e-mails, adresses, téléphones). La sanction repose sur l'article 32 du RGPD : un manquement à l'obligation de sécuriser les données, pas sur la nature de l'attaque elle-même.

La leçon vaut pour toutes les tailles de structure : ce n'est pas la sophistication d'une attaque qui est sanctionnée, mais l'absence de mesures de sécurité de base qui l'ont rendue possible.

Ce que risque réellement une TPE/PME

Pour la grande majorité des TPE et PME, la voie d'entrée en cas de manquement n'est pas l'amende mais la mise en demeure : la CNIL notifie l'écart constaté et fixe un délai pour s'y conformer. Si la correction est effectuée, l'affaire s'arrête généralement là, sans sanction financière. Les sanctions les plus lourdes concernent des volumes de données ou des manquements sans réaction après mise en demeure, une situation rare pour un site vitrine ou e-commerce classique qui corrige ses écarts.

Ce n'est pas une raison pour ignorer le sujet : une mise en demeure reste une procédure officielle, parfois rendue publique, qui mobilise du temps et écorne la confiance des clients — mieux vaut la prévenir que la corriger dans l'urgence.

Comment éviter d'être concerné

• Vérifier en priorité les cookies et traceurs (le motif de mise en demeure le plus fréquent) : rien avant consentement, refus aussi simple qu'accepter.
• S'assurer que les mesures de sécurité de base sont en place (HTTPS, mots de passe, mises à jour) — le motif le plus lourd financièrement en cas de violation de données.
• Documenter les traitements dans un registre, même simplifié, pour pouvoir répondre rapidement en cas de contrôle.
• Corriger sans attendre un contrôle : un audit régulier permet de détecter les écarts avant qu'un tiers ne les signale à la CNIL.