En 2025, la CNIL a atteint le montant record de 487 millions d’euros pour ses amendes émises dans le cadre du RGPD. Si l’essentiel de ce montant est lié aux condamnations émises contre Google et Shein, le gendarme des données personnelles sanctionne de plus en plus souvent les petites et moyennes entreprises, les commerces ou professions libérales. Elle s’appuie notamment sur la procédure de sanction simplifiée qui existe depuis 2022.
Êtes-vous prêt ?
2025, une année record pour la CNIL
Dans son rapport annuel (cf : https://www.cnil.fr/fr/rapport-annuel-2025) , la CNIL (Commission nationale de l’informatique et des libertés) relève notamment :
- Une hausse des plaintes qui s’accélère : En 2024 le nombre de plainte avait déjà augmenté de 8% par rapport en 2023 pour un nombre total de 17 772 plaintes.
En 2025, la CNIL a reçu 20150 plaintes, soit à nouveau, une augmentation de plus de10% par rapport à 2024. Ce qui s’expliquerait notamment par les violations de données de grande ampleur.
- Un nombre de sanctions stables : 83 pour 2025 (87 en 2024). 78 amendes ont été prononcés et 67 de ces sanctions étaient en lien avec la procédure simplifiée.
- Un montant d’amendes inédit de 486 millions d’euros, en lien avec 2 sanctions exceptionnelles :
- Google : 325 millions d’euros, pour des manquements liés au consentement aux cookies ;
- Shein : 150 millions d’euros, pour avoir déposé des traceurs publicitaires sans le consentement des internautes.
- Enfin, 30% des sanctions sont liées à des problèmes de cybersécurité.
La procédure simplifiée : pour les affaires ne présentant pas de difficultés particulières.
Depuis 2022, la CNIL peut utiliser une procédure de sanction simplifiée pour les dossiers qui ne posent pas de difficulté juridique particulière. Ses principales caractéristiques :
- Les décisions sont rendues beaucoup plus vite qu’avec la procédure classique.
- L’amende ne peut pas dépasser 20 000 euros ;
- Les organismes sanctionnés ne sont pas nommés publiquement ;
Cet outil convient parfaitement aux petites structures : une plainte d’un client ou d’un salarié peut désormais aboutir à une sanction en quelques mois.
La CNIL a annoncé avoir prononcé 23 nouvelles sanctions dans le cadre de la procédure simplifiées entre janvier et juillet 2026, pour un total de 133 750 euros d’amendes. Ces décisions portent principalement sur la vidéosurveillance, les cookies et le non-respect des droits d’accès et d’effacement, associé à un défaut de coopération avec la CNIL.
Vidéosurveillance, cookies, droit des personnes, absence de coopération : les principales erreurs
1. Une vidéosurveillance excessive des salariés
Plusieurs entreprises ont été sanctionnées pour avoir exploité un dispositif vidéo sans autorisation préfectorale ou avoir filmé en permanence leurs salariés.
2. Des manquements aux règles relatives aux cookies
La CNIL a contrôlé plusieurs sites web et constaté que :
- Les bandeaux d’information relatifs aux témoins de connexion (cookies) ne comprenaient pas une information complète.
- Des organismes déposaient des cookies soumis au consentement (par ex, des cookies publicitaires) avant toute action de la part de l’utilisateur
- Des organismes ne proposaient pas de moyen permettant à l’utilisateur de refuser les cookies aussi simplement que de les accepter. (par exemple, il était simple d’accepter tous les coolies immédiatement, mais il fallait cliquer sur personnaliser puis accéder à une interface pour activer ou désactiver les cookies).
3. Non-respect des droits des personnes et non coopération avec la CNIL.
Parmi les 23 sanctions prononcées dans le cadre de la procédure simplifiée de 2026, 8 concernent le non-respect du droit des personnes : droit d’accès à ses données, effacement, etc.
A cela, s’ajoute pour quatre d’entre elles un défaut de coopération avec la CNIL.
La sécurité des données : un enjeu essentiel.
Cette activité intervient alors que les cyberattaques se multiplient. La CNIL a ainsi reçu 6167 notifications de violation de données en 2025, soit une augmentation de 9,5% par rapport à 2024.
Or les TPE-PME utilisent de plus en plus d’outils numériques, collectent de plus en plus de données (formulaires, cookies, fichiers clients, outils d’IA), mais leur niveau de protection et de conformité progresse moins vite.
Se mettre en conformité
La CNIL accompagne de manière pro-active les entreprises à se protéger et à se mettre en conformité : Il existe une documentation détaillée et de nombreux guides sur le site de la CNIL. Celle-ci répond également aux appels et participe à différents évènements. N’hésitez pas à vous appuyer sur la CNIL en cas de doute.
Cartographiez vos outils et les usages de vos données : Listez les outils que vous utilisez, listez les traitements (usages) que vous effectuez en lien avec les données que vous utilisez.
Rédigez et mettez à jour votre registre des traitements. Ne visez pas forcément un registre des traitements exhaustifs dès le départ. Pensez à l’utiliser comme un outil de mise en conformité dynamique. Vous intégrerez les évolutions au fur et à mesure.
En fonction de la taille et de la dimension de votre entreprise, vous pouvez aussi scinder votre registre des traitements par service ou par public.
Vérifiez les droits des personnes : mentions d’information, droit d’accès, droit (et limites) à l’effacement, à l’opposition, etc. Définissez un référent pour pouvoir répondre dans le délai imparti.
Renforcez vos protections en cybersécurité et anticipez les nouveaux usages : lunettes connectés, IA, etc.
Sensibilisez vos salariés : formation, charte informatique, charte IA, rappels réguliers et tests cyber.
Vous avez des process spécifiques ? Données qui partent sur un outil numérique étranger, traitement automatisé avec effet juridique contraignant, vidéosurveillance, etc. Soyez encore plus vigilant et mettez en place les actions complémentaires (AIPD – Analyse d’Impact à la Protection des Données, DPD – Délégué à la Protection des données, etc.)
Vous détenez des informations sensibles ? Santé, personnes fragiles, etc. Soyez vigilant également et renforcez la protection autour de ces données. Mettez en place les actions complémentaires (AIPD – Analyse d’Impact à la Protection des Données, DPD – Délégué à la Protection des données, etc. ),
