CNIL 2025 : la sanction express à 20 000 euros qui vise les PME

En 2025, la CNIL a prononcé 83 sanctions. 67 d'entre elles, soit huit sur dix, sont passées par une voie rapide et écrite, plafonnée à 20 000 euros d'amende (bilan officiel CNIL, 9 février 2026). Cette voie ne vise pas les géants du web. Elle traite les dossiers simples: un mot de passe trop faible, un email commercial envoyé sans accord, une demande de client laissée sans réponse. Autrement dit, le quotidien d'une petite structure. Si vous pensiez que le RGPD ne concernait que les grandes entreprises, ce bilan dit le contraire.

La sanction express, ce qui a changé depuis 2022

Jusqu'en 2022, sanctionner une entreprise au titre du RGPD prenait des mois. Une formation collégiale, une audience, une décision longue. Résultat: la CNIL ciblait surtout les gros dossiers, ceux qui en valaient la peine.

Depuis, une seconde voie existe: la procédure de sanction simplifiée. Elle change tout pour les petites structures.

Le principe est simple. Quand un dossier ne présente pas de difficulté particulière, le président de la CNIL tranche seul, par écrit, sans audience. L'entreprise visée dispose d'un mois pour répondre. La décision peut aller jusqu'à une amende de 20 000 euros, plus une injonction de se mettre en règle sous astreinte de 100 euros par jour de retard (procédure de sanction simplifiée, CNIL).

En 2025, cette voie rapide a produit 67 des 83 sanctions de l'année (bilan CNIL 2025). Les deux amendes record de l'année (325 millions et 150 millions d'euros) ont fait les gros titres, mais elles cachent la réalité de fond: l'essentiel du volume vise désormais des dossiers ordinaires, avec des amendes de quelques milliers d'euros.

Avant l'amende, la mise en demeure

L'amende n'est pas toujours la première étape. En 2025, la CNIL a aussi adressé 143 mises en demeure, c'est-à-dire des injonctions de corriger un manquement dans un délai donné (bilan CNIL 2025). La mise en demeure n'est pas une sanction. C'est un avertissement formel. Si vous corrigez à temps, le dossier se referme sans amende ni publicité.

Cela veut dire deux choses. D'abord, la CNIL laisse souvent une chance de se mettre en règle. Ensuite, ceux qui finissent sanctionnés sont souvent ceux qui n'ont pas réagi au premier signal. Le délai indiqué dans une mise en demeure n'est pas indicatif. C'est le compte à rebours entre un dossier qui se clôt et un dossier qui devient public.

Les trois manquements qui reviennent

Le bilan 2025 est précis sur ce qui déclenche une sanction par la voie rapide. Trois motifs reviennent à parts égales (bilan CNIL 2025).

Premier motif, la sécurité des données. 14 organismes ont été sanctionnés pour ne pas avoir pris les mesures de base. Les exemples cités par la CNIL sont parlants: mots de passe trop faibles, comptes partagés entre plusieurs personnes. Rien de sophistiqué. Des réflexes du quotidien.

Deuxième motif, l'absence de réponse à la CNIL. 14 organismes, sociétés et professionnels indépendants, ont été sanctionnés simplement pour ne pas avoir répondu aux courriers de la CNIL. Ignorer une demande de l'autorité ne fait pas disparaître le problème, cela transforme un dossier mineur en sanction.

Troisième motif, les droits des personnes. 14 décisions ont visé des entreprises qui n'avaient pas traité les demandes d'effacement, d'opposition ou d'accès de leurs clients ou de leurs prospects. Quand quelqu'un demande à être retiré d'un fichier, il faut le faire, et savoir le prouver.

À côté de ces trois piliers, d'autres thèmes pèsent lourd. Les cookies et traceurs ont valu des sanctions à 21 organismes, le sujet le plus fréquent de l'année. La vidéosurveillance des salariés a touché 16 structures, souvent pour des caméras qui filment en continu des employés derrière une caisse ou dans un bureau. La prospection commerciale ou politique a donné lieu à 10 décisions, la CNIL rappelant que l'envoi d'emails commerciaux exige le consentement préalable des destinataires (bilan CNIL 2025).

Le cas des cookies mérite qu'on s'y arrête, car il touche presque tous les sites. La CNIL a sanctionné trois pratiques précises: déposer des traceurs avant tout consentement, donner une information insuffisante pour que le choix soit éclairé, et ne pas tenir compte d'un refus ou d'un retrait. Le critère est concret: refuser les cookies doit être aussi simple qu'accepter (bilan CNIL 2025). Si votre bandeau propose un gros bouton "Accepter" et cache le refus derrière trois clics, vous êtes dans la zone qui a été sanctionnée. Ce point se règle en quelques minutes sur la plupart des sites, et c'est le plus visible lors d'un contrôle, puisqu'il suffit d'ouvrir votre page d'accueil pour le constater.

Êtes-vous concerné ? Le test par profil

Le RGPD s'applique à toute entreprise qui traite des données personnelles, quels que soient sa taille et son secteur (CNIL, TPE-PME). La vraie question n'est donc pas "suis-je concerné", mais "où est mon point faible". Repérez-vous ci-dessous.

Un point mérite une attention particulière si vous éditez un logiciel utilisé par d'autres entreprises. Vous traitez alors des données pour le compte de vos clients. La CNIL a rappelé en 2025 que ce rôle, celui de sous-traitant, impose ses propres obligations: sécuriser les données, ne les utiliser que sur instruction du client, et les supprimer à la fin du contrat (bilan CNIL 2025). Un contrat écrit qui décrit ces engagements n'est pas une formalité, c'est votre protection le jour d'un contrôle.

Ce qu'il faut faire ce mois-ci

La bonne nouvelle: les trois manquements les plus sanctionnés se corrigent sans budget dédié et sans expert. Le réflexe qui coûte cher, c'est d'attendre le courrier de la CNIL pour s'en occuper.

Avant la liste, un socle utile: le registre des traitements. Il s'agit d'un simple tableau qui recense, pour chaque usage de données (clients, salariés, prospects, fournisseurs), ce que vous collectez, pourquoi, combien de temps vous le gardez et qui y a accès. La CNIL en fournit un modèle gratuit, conçu pour les petites structures (CNIL, registre des traitements). Ce document n'est pas qu'une formalité administrative. C'est l'outil qui vous force à voir vos propres points faibles avant la CNIL: une durée de conservation que personne n'a jamais fixée, un fichier de prospects dont l'origine est floue, un ancien prestataire qui a encore accès à vos données. Le remplir prend une demi-journée. Le relire chaque année prend une heure.

Voici la liste à dérouler, dans l'ordre. Vous pouvez la copier telle quelle.

[ ] Mots de passe: chaque personne a son compte, pas de compte partagé
[ ] Mots de passe: 12 caractères minimum, pas de réutilisation entre outils
[ ] Cookies: le bandeau permet de refuser aussi facilement que d'accepter
[ ] Prospection: pour chaque adresse, une preuve du consentement (formulaire, case cochée)
[ ] Droits: une boite email dédiée aux demandes de suppression et d'accès
[ ] Droits: une demande de suppression traitée en moins d'un mois, avec trace écrite
[ ] Caméras: aucune ne filme un poste de travail en continu sans raison de sécurité
[ ] Sous-traitance: un contrat écrit avec chaque client dont vous gérez les données
[ ] Courrier CNIL: toujours répondre dans le délai indiqué, même pour demander un délai
[ ] Registre: un tableau à jour de vos usages de données, relu une fois par an

Pour les mots de passe, la CNIL publie ses recommandations chiffrées, libres d'accès (CNIL, mots de passe). Pour la sécurité au sens large, son guide de la sécurité des données pose les mesures de base attendues (CNIL, sécurité des données).

La décision à prendre maintenant

La sanction express a déplacé le risque. Il n'est plus réservé aux grands groupes. Il vise les dossiers simples, ceux qu'une petite structure traite sans y penser. Et un plafond de 20 000 euros, pour une équipe réduite, n'est pas symbolique.

La règle Alpha Digital : votre conformité ne se joue pas sur un document parfait, elle se joue sur trois réflexes du quotidien, mots de passe propres, consentement avant l'email, réponse aux demandes. Le reste vient ensuite.

Déroulez la checklist cette semaine. Si vous découvrez un point faible que vous ne savez pas corriger seul, par exemple un logiciel maison qui stocke des données clients sans comptes individuels, c'est exactement le type de sujet sur lequel un regard extérieur fait gagner du temps. Vous pouvez nous décrire votre situation via un diagnostic gratuit, sans engagement.