Sanctions CNIL : les 3 manquements qui coûtent le plus cher aux PME (et comment les détecter sur votre site)
Pendant des années, les dirigeants de PME ont vu le RGPD comme une affaire de grands groupes. Les chiffres de 2025 ont mis fin à cette illusion. La CNIL sanctionne désormais les petites structures, vite et sans publicité, via une procédure simplifiée. Bonne nouvelle : les manquements les plus coûteux sont aussi les plus faciles à détecter sur votre propre site.
La CNIL sanctionne désormais les PME — vite et discrètement
Le changement de fond tient en un mécanisme : la procédure simplifiée. Depuis 2022, elle permet à la CNIL de traiter rapidement les manquements courants, avec une amende plafonnée à 20 000 € et une astreinte pouvant atteindre 100 € par jour. En 2025, la majorité des sanctions prononcées par la CNIL l'ont été via cette procédure — c'est devenu son mode opératoire principal.
Concrètement, cela veut dire que même les infractions considérées comme « mineures » font désormais l'objet de poursuites systématiques, et qu'une part importante des structures visées sont des PME et des TPE. Contrairement aux sanctions médiatiques des géants du numérique, ces amendes ne font pas la une : elles tombent discrètement, sur des artisans, des commerçants en ligne, des professions libérales. L'absence de publicité ne les rend pas moins réelles.
Ce que risque concrètement une PME
• Amende jusqu'à 20 000 € en procédure simplifiée (sans publicité)
• Astreinte jusqu'à 100 € par jour tant que le manquement persiste
• Frais de défense (souvent 5 000 à 20 000 € pour un cabinet spécialisé)
• En procédure ordinaire : publication de la décision et impact réputationnel
Les 3 manquements qui reviennent le plus souvent
Les sanctions PME ne portent presque jamais sur des sujets juridiques complexes. Elles portent sur trois manquements simples, tous visibles ou détectables directement sur le site web — c'est justement pour ça que la CNIL les contrôle en premier : elle n'a même pas besoin d'ouvrir une enquête approfondie.
1
La bannière cookies non conforme
C'est le manquement n°1, et le plus facile à constater pour un contrôleur : il suffit d'ouvrir votre site. Une bannière où le bouton « Tout accepter » est bien visible tandis que le refus est caché, grisé, ou nécessite plusieurs clics, est non conforme. La CNIL exige un refus aussi simple et visible que l'acceptation.
Un cas réel de 2025 : un e-commerce sanctionné de 25 000 € pour un « Tout accepter » bien visible et un « Continuer sans accepter » en gris quasi invisible.
2
Les scripts et traceurs actifs avant consentement
Beaucoup de sites affichent une bannière correcte… mais déposent quand même leurs cookies analytics ou publicitaires dès l'arrivée du visiteur, avant qu'il ait cliqué. Techniquement, la bannière n'est qu'un décor : les traceurs partent en amont. C'est un manquement invisible à l'œil nu mais immédiat à détecter avec un outil, et la CNIL le vérifie systématiquement.
Google Analytics, Meta Pixel ou une carte intégrée qui se chargent avant le clic de consentement suffisent à constituer le manquement, même si votre bannière est parfaite.
3
L'absence ou l'insuffisance de politique de confidentialité
La politique de confidentialité doit exister, être accessible, et décrire concrètement quelles données vous collectez, pourquoi, et comment exercer ses droits. Une page absente, un modèle générique jamais adapté, ou un lien mort en pied de page sont des manquements que la CNIL relève dès le contrôle en ligne, sans même avoir à enquêter.
Un modèle copié-collé qui mentionne des traitements que vous ne faites pas (ou oublie ceux que vous faites) est presque aussi risqué qu'une absence de page.
Vérifiez votre exposition en 30 secondes
Ces trois manquements sont exactement ce que Scanality détecte automatiquement : scripts actifs avant consentement, bannière non conforme, cookies non déclarés. Un audit immédiat, gratuit et sans installation, vous dit où vous en êtes avant qu'un contrôle ne le fasse.
Pourquoi la conformité coûte toujours moins cher que la sanction
Le calcul est simple. Corriger les trois manquements ci-dessus prend, pour un site vitrine PME standard, quelques heures à quelques jours de travail. Une sanction, elle, cumule l'amende, l'astreinte quotidienne tant que rien n'est corrigé, et les frais de défense — sans compter le temps passé à gérer l'urgence sur un week-end quand le courrier de la CNIL arrive avec un délai de 30 jours.
La logique de la CNIL est d'ailleurs plus préventive que punitive : elle privilégie souvent la mise en demeure (se mettre en conformité sous délai) avant l'amende. Mais cette clémence suppose que vous réagissiez vite — et pour réagir vite, encore faut-il savoir où vous en êtes avant de recevoir le courrier. C'est tout l'intérêt d'un état des lieux régulier, plutôt que d'une correction dans l'urgence.
Un dernier point souvent négligé : la conformité n'est pas une case à cocher une fois pour toutes. Un site conforme aujourd'hui peut ne plus l'être dans six mois parce que vous avez ajouté un outil d'analyse, un chatbot ou un nouveau CRM qui dépose ses propres cookies. La surveillance régulière est ce qui distingue une conformité réelle d'une conformité de façade.
Questions fréquentes
La CNIL peut-elle vraiment sanctionner une PME ou une TPE ?
Oui, et c'est de plus en plus fréquent. La procédure simplifiée, en place depuis 2022, permet de sanctionner rapidement les manquements courants avec une amende plafonnée à 20 000 €. En 2025, elle a représenté la majorité des sanctions, dont une part importante visait des PME. La taille de la structure n'est plus une protection.
Quels sont les manquements les plus sanctionnés chez les PME ?
Trois manquements dominent, tous détectables sur le site : une bannière cookies non conforme, des scripts qui se déclenchent avant consentement, et l'absence ou l'insuffisance de la politique de confidentialité. Ce sont les premiers points vérifiés lors d'un contrôle en ligne.
Combien coûte une sanction CNIL pour une PME ?
En procédure simplifiée, l'amende est plafonnée à 20 000 €, souvent assortie d'une astreinte. Des cas réels de 2025-2026 montrent des montants de 15 000 à 25 000 € pour des PME sur des manquements cookies ou formulaires — auxquels s'ajoutent les frais de défense et, parfois, la publication de la décision.
Comment savoir si mon site est exposé ?
Un audit automatique comme l'outil Scanality détecte en quelques secondes les scripts actifs avant consentement, les cookies non déclarés et l'état de votre bannière — les signaux exacts qui déclenchent le plus de sanctions, sans installation ni compétences techniques.
Ne découvrez pas vos manquements lors d'un contrôle
Lancez un audit automatique gratuit et obtenez votre rapport de conformité en 30 secondes.