Sanctions CNIL : 83 décisions de sanction en 2025, dont 67 en procédure simplifiée. Des amendes plus modestes mais plus rapides, qui visent désormais des structures de toutes tailles. Les PME ne passent plus sous les radars.
En 2025, la CNIL a prononcé 83 sanctions pour près de 487 millions d’euros d’amendes, un total tiré par deux décisions contre des géants du numérique. Pour les PME, le vrai signal est ailleurs : 67 sanctions relèvent de la procédure simplifiée, avec une amende plafonnée à 20 000 € pour la plupart des entreprises. Vidéosurveillance des salariés, cookies, sécurité, droits des personnes : les sanctions CNIL visent des manquements courants, et la sécurité des données représentera la moitié des contrôles en 2026.
Votre entreprise est-elle prête pour un contrôle CNIL ?
La formation Devenir DPO – Délégué à la protection des données & RGPD d’Axio Formation vous donne les clés de la conformité en 2 jours. Finançable par votre OPCO.
Découvrir la formation →Des sanctions plus nombreuses et rapides
Depuis 2022, la procédure simplifiée permet à la CNIL de traiter les dossiers simples par une décision écrite d’un seul membre de la formation restreinte. En 2025, elle représente 67 des 83 sanctions prononcées.
Des amendes à la mesure des PME
En procédure simplifiée, l’amende est plafonnée à 20 000 € pour une entreprise réalisant moins de 50 millions d’euros de chiffre d’affaires. Un montant lourd pour une TPE, auquel peut s’ajouter une astreinte.
Des manquements très ordinaires
Caméra qui filme un salarié en permanence, bandeau cookies mal conçu, demande d’accès restée sans réponse, courrier de la CNIL ignoré : les dossiers sanctionnés ressemblent au quotidien de nombreuses entreprises.
Devenez le référent RGPD
Formation Devenir DPO – Délégué à la protection des données & RGPD, 2 jours, en présentiel ou à distance. Finançable par votre OPCO.
Découvrir la formation →Sanctions CNIL : le bilan 2025 en chiffres
La CNIL a publié le 9 février 2026 le bilan de son action répressive. En 2025, elle a adopté 259 mesures correctrices, dont 83 sanctions et 143 mises en demeure, pour un total de 486 839 500 euros d’amendes. Ce montant record s’explique surtout par deux sanctions de 325 et 150 millions d’euros liées aux cookies.
Le détail est plus parlant pour une PME. Seules 16 sanctions ont été prononcées par la formation restreinte en procédure ordinaire. Les 67 autres relèvent de la procédure de sanction simplifiée, réservée aux dossiers sans difficulté particulière et décidée par un seul membre de la formation restreinte.
La tendance se confirme en 2026 : entre janvier et début juillet, la CNIL a prononcé 23 nouvelles sanctions simplifiées, pour 133 750 euros d’amendes au total. 19 d’entre elles faisaient suite à une plainte.
À retenir : la plupart des sanctions ne visent pas des géants du numérique, mais des commerces, des restaurants ou des cabinets d’avocats et de médecins qui n’ont pas respecté des règles simples.
Les chiffres clés de la CNIL (2025)
| Sanctions prononcées | 83, dont 67 en procédure simplifiée |
| Mises en demeure | 143 |
| Montant total des amendes | 486 839 500 euros |
| Plaintes reçues | 20 150 |
| Violations de données notifiées | 6 167 |
| Contrôles réalisés | 323 |
Les thèmes visés par les sanctions CNIL
Les sanctions de 2025 dessinent une liste claire des points de vigilance. Les cookies arrivent en tête avec 21 sanctions. La vidéosurveillance des salariés a valu une sanction à 16 organismes : filmer en continu un poste de travail, comme une caisse ou un bureau, est jugé excessif, sauf circonstances exceptionnelles.
En procédure simplifiée, trois manquements reviennent le plus souvent, avec 14 organismes sanctionnés pour chacun : la sécurité insuffisante des données, l’absence de réponse à la CNIL et le non-respect des droits des personnes (accès, effacement, opposition).
Les manquements les plus sanctionnés
Se protéger des sanctions CNIL en 6 étapes
- Désignez un pilote : un DPO ou, à défaut, un référent RGPD qui centralise les questions et les demandes.
- Tenez votre registre : listez les traitements de données : clients, salariés, prospects, vidéosurveillance.
- Vérifiez vos cookies : refuser doit être aussi simple qu’accepter, et aucun traceur non essentiel ne doit être déposé avant le choix.
- Encadrez la vidéosurveillance : pas de caméra filmant un salarié en continu, information des personnes, durée de conservation limitée.
- Organisez les demandes : une procédure pour répondre aux demandes d’accès ou d’effacement dans le délai d’un mois.
- Répondez à la CNIL : traitez chaque courrier de la CNIL sans attendre : l’absence de réponse est elle-même sanctionnée.
4 sanctions récentes à méditer
Free et Free Mobile, 42 millions d’euros. Le 13 janvier 2026, la CNIL a sanctionné les deux opérateurs après une violation de données. Elle juge leurs mesures de sécurité inadaptées : connexion à distance pas assez robuste, détection des anomalies inefficace. Une leçon valable pour toute entreprise.
France Travail, 5 millions d’euros. Sanctionné en janvier 2026 pour une sécurité insuffisante des données des demandeurs d’emploi, l’organisme a aussi reçu une injonction de mise en conformité. La CNIL l’a close en septembre 2026, après les corrections apportées.
Extia, 300 000 euros. Cette société a été sanctionnée le 21 juillet 2026 : des demandes d’effacement non traitées et des personnes jamais informées des suites. Ne pas répondre à une demande dans le délai d’un mois reste l’un des griefs les plus fréquents.
Des commerces et des cabinets aussi. Restauration rapide, boutiques en gare, billetterie en ligne, avocats, médecins : en 2026, la CNIL a sanctionné en procédure simplifiée des caméras mal utilisées, des cookies non conformes et des demandes restées sans réponse.
Ce que peut vous apporter une formation
La conformité au RGPD ne s’improvise pas, et les sanctions CNIL montrent que les erreurs viennent souvent d’un manque d’organisation. La formation Devenir DPO – Délégué à la protection des données & RGPD, en 2 jours, vous apprend à analyser les traitements, gérer les risques et devenir l’interlocuteur de la CNIL dans votre entreprise. Comme la sécurité représentera la moitié des contrôles en 2026, la formation Sensibilisation Cybersécurité, en 1 jour, complète utilement le dispositif pour toutes vos équipes. Les deux sont proposées en présentiel ou à distance et finançables par votre OPCO.
Anticipez plutôt que subir une amende RGPD
Les sanctions CNIL ne concernent plus seulement les grands groupes. Avec la procédure simplifiée, un manquement simple peut coûter jusqu’à 20 000 € à une PME, et la CNIL consacrera en 2026 la moitié de ses contrôles à la sécurité des données.
Pour structurer votre conformité, suivez la formation Devenir DPO – Délégué à la protection des données & RGPD et sensibilisez vos équipes avec la formation Sensibilisation Cybersécurité. À lire aussi : IA et recrutement : ce que dit la loi en 2026, le recrutement étant l’un des thèmes de contrôle prioritaires de la CNIL cette année.
Devenez le référent RGPD
Formation Devenir DPO – Délégué à la protection des données & RGPD, 2 jours, en présentiel ou à distance. Finançable par votre OPCO.
Découvrir la formationFAQ : sanctions CNIL
Quel est le montant maximal d’une amende RGPD ?
Le RGPD prévoit jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves. En procédure simplifiée, l’amende est plafonnée à 20 000 € pour une entreprise réalisant moins de 50 millions d’euros de chiffre d’affaires.
Qu’est-ce que la procédure de sanction simplifiée ?
Mise en place en 2022, elle traite les dossiers sans difficulté particulière. Un seul membre de la formation restreinte statue, sur une procédure écrite. Les sanctions possibles sont le rappel à l’ordre, l’amende et l’injonction sous astreinte, sans publicité.
Une PME peut-elle être contrôlée par la CNIL ?
Oui. La CNIL peut contrôler tout organisme, quelle que soit sa taille, et une plainte suffit souvent à déclencher la procédure. En 2026, 19 des 23 premières sanctions simplifiées faisaient suite à une plainte.
Quels sont les thèmes de contrôle de la CNIL en 2026 ?
La CNIL a retenu le recrutement, le répertoire électoral unique et les fédérations sportives, ainsi que la transparence de l’information au niveau européen. Elle consacrera aussi la moitié de ses contrôles et actions répressives à la sécurité des données.
Une PME doit-elle désigner un DPO ?
Ce n’est obligatoire que dans certains cas : organisme public, suivi régulier et systématique de personnes à grande échelle, ou traitement à grande échelle de données sensibles. Même sans obligation, un référent RGPD est fortement recommandé.
Les formations RGPD d’Axio Formation sont-elles finançables ?
Oui, par votre OPCO. Les formations Devenir DPO – Délégué à la protection des données & RGPD et Sensibilisation Cybersécurité sont proposées en présentiel partout en France ou à distance.
