Sanctions CNIL : la liste des amendes RGPD (mise à jour juillet 2026)
Quick Answer : les sanctions CNIL en un coup d’œil
En 2025, la CNIL a prononcé 83 sanctions pour 486,8 millions d’euros — neuf fois plus qu’en 2024 (87 sanctions, 55 M€). Le record absolu : Google, 325 millions d’euros (septembre 2025). Le premier motif de sanction en montant cumulé : les cookies déposés sans consentement. Et le mythe des sanctions réservées aux GAFAM est mort : plus de 60 % des sanctions 2025 visaient des PME, via une procédure simplifiée qui aboutit en quelques semaines (amendes jusqu’à 20 000 €, publication nominative possible).
Cette page est une liste maintenue des sanctions CNIL marquantes — montants, motifs, leçons — mise à jour en juillet 2026.
Le tableau des sanctions CNIL (mise à jour juillet 2026)
| Date | Organisme | Montant | Motif principal |
|---|---|---|---|
| Janvier 2026 | FREE / FREE Mobile | 42 M€ | Failles de sécurité — données de 24 millions d’abonnés exposées |
| Novembre 2025 | American Express | 1,5 M€ | Non-respect des règles cookies |
| Novembre 2025 | Condé Nast (Vanity Fair) | 750 000 € | Cookies déposés malgré le refus de l’utilisateur |
| Septembre 2025 | 325 M€ | Publicités insérées dans Gmail + cookies sans consentement valide | |
| Septembre 2025 | SHEIN | 150 M€ | Cookies publicitaires déposés avant toute interaction |
| 2025 | France Travail | 5 M€ | Défauts de sécurité — données de millions de demandeurs d’emploi |
| 2024 | Amazon France Logistique | 32 M€ | Surveillance excessive des salariés en entrepôt |
| 2024 | Vinted | 20 M€ | Durées de conservation excessives, manque de transparence |
| 2023 | Criteo | 40 M€ | Données de navigation collectées sans consentement valide |
| 2023 | TikTok | 5 M€ | Cookies : refus plus difficile que l’acceptation |
| 2022 | Microsoft (Bing) | 60 M€ | Cookies déposés sans consentement |
| 2022 | Clearview AI | 20 M€ | Base biométrique constituée sans base légale (+ astreinte 100 000 €/jour) |
| Décembre 2021 | 150 M€ | Cookies : refus plus difficile que l’acceptation |
À cette liste s’ajoutent les procédures visant Cdiscount (2023-2024, manquements cookies : traceurs avant consentement, refus plus complexe que l’acceptation) et les dizaines de sanctions en procédure simplifiée — non nominatives pour la plupart — qui visent TPE, PME et associations.
Les sanctions marquantes décryptées
Google : 325 M€ (2025) + 150 M€ (2021) — la récidive coûte cher
La plus lourde sanction jamais prononcée par la CNIL. Des traceurs publicitaires activés avant toute interaction avec le bandeau de consentement, et des publicités présentées comme des emails dans Gmail, sans identification claire de leur nature commerciale. La CNIL a explicitement mentionné la sanction de 2021 dans sa décision de 2025 : la répétition de l’infraction est un facteur aggravant. En quatre ans, Google a cumulé près d’un demi-milliard d’euros d’amendes CNIL.
SHEIN : 150 M€ (2025) — être basé hors UE ne protège pas
Le site français de SHEIN déposait des traceurs tiers dès le chargement de la page, avant toute interaction avec le bandeau. Le RGPD s’applique à toute entreprise qui cible des résidents européens (article 3) — chinoise, américaine ou singapourienne. Nous décortiquons ce dossier en détail dans notre article dédié : l’amende SHEIN de la CNIL.
FREE : 42 M€ (2026) — la sécurité n’est pas optionnelle
Failles de sécurité ayant exposé les données de 24 millions d’abonnés : noms, adresses, identifiants, et pour certains des IBAN. Système de détection des intrusions défaillant, notification des personnes jugée tardive. L’article 32 du RGPD impose des mesures « appropriées » — c’est-à-dire proportionnées au volume et à la sensibilité des données. Plus vous traitez de données, plus vos obligations montent.
Criteo : 40 M€ (2023) — déléguer le consentement n’exonère pas
Le spécialiste français du reciblage s’appuyait sur ses sites partenaires pour recueillir le consentement, sans vérifier qu’il avait été obtenu. La CNIL a tranché : en tant que responsable conjoint du traitement, Criteo devait s’en assurer lui-même. La responsabilité conjointe ne dilue pas les obligations.
Amazon (32 M€, 2024) et Vinted (20 M€, 2024) — le RGPD dépasse les cookies
Amazon France Logistique a été sanctionné pour un suivi individuel en temps réel de la productivité de ses préparateurs de commandes, jugé disproportionné : le RGPD protège aussi les salariés. Vinted, pour des durées de conservation excessives : un compte inactif depuis trois ans ne doit pas rester en base comme s’il avait commandé hier. Les durées de conservation ne sont pas un détail administratif — c’est un motif de sanction à 20 millions d’euros.
Clearview AI : 20 M€ (2022) — le scraping ne légalise rien
Des milliards de photos aspirées sur Internet pour constituer une base biométrique, sans base légale ni information des personnes. La CNIL a ajouté une astreinte de 100 000 € par jour de retard. Des données accessibles publiquement restent des données personnelles protégées.
Pourquoi les amendes explosent : procédure simplifiée et robots de contrôle
Ce qui a changé, ce n’est pas le RGPD — il est en vigueur depuis 2018. C’est la CNIL.
La procédure simplifiée, opérationnelle depuis 2022, permet de prononcer des amendes jusqu’à 20 000 € sans audience publique, sur dossier écrit, en quelques semaines. Elle vise les infractions courantes et faciles à constater : cookies sans consentement, politique de confidentialité absente, formulaire de contact non conforme. En 2025, elle a été utilisée pour 67 des 83 sanctions.
Les contrôles en ligne automatisés : la CNIL utilise des robots qui scannent les sites web français et détectent les manquements visibles, sans déplacement ni préavis. Ajoutez les plaintes individuelles — tout internaute peut signaler un site sur cnil.fr — et le résultat tombe : plus de 60 % des sanctions 2025 concernaient des PME.
Les motifs qui reviennent dans chaque amende RGPD
Cinq motifs concentrent l’essentiel des sanctions depuis 2021 :
- Cookies et traceurs sans consentement — le premier motif en montant cumulé (21 sanctions en 2025). Traceurs déposés avant interaction, bouton « Refuser » caché, dark patterns, cookies déposés malgré un refus. Notre guide bannière cookie conforme CNIL détaille les règles exactes.
- Sécurité insuffisante — chiffrement absent, accès non restreints, détection d’intrusion défaillante, notification tardive (FREE, France Travail).
- Défaut d’information et de transparence — politique de confidentialité absente, incomplète ou incompréhensible (articles 13 et 14 RGPD).
- Transferts hors UE non encadrés — Google Analytics, CDN américains, pixels publicitaires : chaque script tiers est un transfert potentiel, et la pérennité du Data Privacy Framework reste incertaine.
- Non-respect des droits des personnes — pas de procédure pour répondre aux demandes d’accès, de rectification ou de suppression dans le délai d’un mois. Les plaintes individuelles qui en résultent déclenchent des contrôles.
Comment ne pas rejoindre cette liste
La logique de chaque sanction ci-dessus pointe vers le même triptyque : savoir où on en est, recueillir un consentement valide, cesser d’envoyer des données là où on ne le maîtrise pas.
- Auditer son site avant que le robot de la CNIL ne le fasse. Notre guide de l’audit RGPD de site web décrit la démarche complète ; Complio l’automatise en quelques minutes, avec un score de conformité et des recommandations priorisées. Notre checklist RGPD site web donne les 15 points à vérifier.
- Déployer une CMP conforme qui bloque réellement les traceurs avant consentement et présente le refus au même niveau que l’acceptation — le motif Google, SHEIN, TikTok, Microsoft. C’est exactement ce que fait Cookilio ; le cadre complet est dans notre guide de la gestion du consentement.
- Sortir du problème analytics plutôt que le gérer : un outil de mesure d’audience exempté de consentement CNIL comme Mirage Analytics (sans cookie, hébergé en France, 19 €/mois) supprime à la fois le risque cookies et le risque transfert hors UE pour la mesure d’audience.
Le calcul est simple : une sanction en procédure simplifiée peut coûter jusqu’à 20 000 € plus la publication nominative. La prévention coûte quelques dizaines d’euros par mois. La conformité n’est pas un coût — c’est une assurance.
FAQ
Quel est le montant maximum d’une sanction CNIL ?
Le RGPD prévoit des amendes pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, le montant le plus élevé étant retenu. Le record CNIL est de 325 millions d’euros (Google, septembre 2025). La procédure simplifiée est plafonnée à 20 000 euros.
La CNIL sanctionne-t-elle les petites entreprises ?
Oui. En 2025, plus de 60 % des sanctions concernaient des PME. La procédure simplifiée permet de sanctionner en quelques semaines les manquements courants, et les robots de contrôle en ligne scannent les sites indépendamment de la taille de l’entreprise.
Quel est le motif de sanction CNIL le plus fréquent ?
Les cookies et traceurs déposés sans consentement valide — premier motif en montant cumulé (Google, SHEIN, Microsoft, Criteo, TikTok) et 21 sanctions en 2025. Suivent les défauts de sécurité et les durées de conservation excessives.
Quelle est la différence entre amende CNIL et amende RGPD ?
Aucune sur le fond : la CNIL est l’autorité française qui applique le RGPD (et l’article 82 de la loi Informatique et Libertés pour les cookies). D’autres autorités européennes prononcent des amendes RGPD dans leur pays, parfois en coopération avec la CNIL, comme pour Vinted.
Comment la CNIL détecte-t-elle les manquements ?
Par les plaintes individuelles déposées sur cnil.fr et par des contrôles en ligne automatisés : des robots scannent les sites et détectent les manquements visibles, sans préavis.
Les sanctions CNIL sont-elles publiques ?
Les plus significatives sont publiées nommément sur le site de la CNIL et reprises par la presse. Pour une PME, ce risque réputationnel dépasse souvent le montant de l’amende.
Peut-on contester une sanction CNIL ?
Oui, devant le Conseil d’État, mais les annulations complètes sont rares. La stratégie efficace reste la prévention : un audit de conformité coûte infiniment moins qu’un contentieux.
À lire aussi — L’amende SHEIN : décryptage complet | Les 10 erreurs RGPD les plus courantes | Mise en conformité RGPD : les 8 obligations
Un point revient dans presque toutes ces décisions : le manquement n’est pas né d’une mauvaise intention, mais d’un choix technique fait sans arbitrage — un traceur ajouté par défaut, un sous-traitant hors UE retenu pour sa facilité, une durée de conservation jamais décidée. C’est précisément ce que nous instruisons en amont des projets data et IA, avec notre cabinet de conseil IA, puis ce que nous mettons en œuvre avec notre agence IA.
Sources : CNIL — Bilan des sanctions 2025, CNIL — Sanctions et mesures correctrices 2024, CNIL — Sanction Google (325 M€), CNIL — Sanction SHEIN (150 M€), CNIL — Sanction FREE, CNIL — Sanction France Travail, CNIL — Sanction Criteo, CNIL — Sanction Amazon, CNIL — Sanction Vinted, CNIL — Procédure de sanction simplifiée. Liste mise à jour le 8 juillet 2026.