Amende SHEIN : pourquoi la CNIL a infligé 150 millions d'euros (2025)
Quick Answer : l’amende SHEIN en une minute
En septembre 2025, la CNIL a infligé une amende de 150 millions d’euros à SHEIN, le géant chinois de la fast fashion. Le motif : des cookies publicitaires déposés sans consentement sur le site français. Les traceurs partaient dès le chargement de la page, avant toute interaction avec le bandeau — qui existait pourtant.
Trois enseignements immédiats :
- Un bandeau ne suffit pas. Le blocage des scripts doit être technique et vérifiable, pas cosmétique.
- Être basé hors de l’UE ne protège pas. Les règles cookies s’appliquent à tout site qui cible des utilisateurs en France.
- Les mêmes règles s’appliquent à votre site. La CNIL sanctionne les GAFAM comme les PME — plus de 60 % de ses sanctions 2025 visaient des PME.
Pour situer cette amende dans le paysage : voir notre bilan complet des sanctions CNIL.
Les faits : qui, combien, pourquoi
SHEIN n’est pas un petit acteur du web français. Sa plateforme e-commerce touche chaque mois plusieurs millions de visiteurs en France, avec le modèle qu’on connaît : catalogue immense, prix cassés, marketing digital massif. Et derrière ce marketing, une machinerie publicitaire qui repose sur les traceurs.
C’est cette machinerie que la CNIL a examinée. Sa conclusion, rendue en septembre 2025 : le site français de SHEIN déposait des cookies publicitaires tiers dès le chargement de la page, avant que l’utilisateur ait pu exprimer le moindre choix. Le bandeau de consentement était affiché — mais il ne bloquait rien. Les traceurs étaient déjà partis.
Sanction : 150 millions d’euros. C’est la deuxième amende la plus lourde prononcée par la CNIL en 2025, derrière les 325 millions d’euros infligés à Google — deux décisions qui portent sur le même sujet, les cookies, et qui représentent l’essentiel des 486,8 millions d’euros d’amendes de l’année.
Le montant peut sembler disproportionné pour « de simples cookies ». Il ne l’est pas, pour deux raisons. D’abord l’échelle : des millions d’utilisateurs français tracés sans leur accord, pendant des mois, à des fins publicitaires — c’est une violation massive, pas une négligence ponctuelle. Ensuite le modèle économique : pour un acteur dont la croissance repose sur le ciblage publicitaire, le traçage illégal est un avantage concurrentiel indu. La sanction vient neutraliser cet avantage.
Le détail des manquements cookies
La décision SHEIN illustre les trois manquements que la CNIL sanctionne le plus systématiquement en matière de traceurs.
1. Dépôt de traceurs avant tout consentement
Le manquement central. Des cookies publicitaires tiers étaient déposés dès l’arrivée sur le site, avant toute interaction avec le bandeau. Or la règle est sans ambiguïté depuis les lignes directrices CNIL de 2020 : aucun traceur non essentiel ne peut être déposé ni lu tant que l’utilisateur n’a pas consenti. Le consentement doit être préalable — pas régularisé après coup.
2. Un consentement qui ne veut rien dire
Si les traceurs partent quel que soit le choix de l’utilisateur, le bandeau devient une fiction. Cliquer sur « Refuser » ne refusait rien. C’est le point qui transforme un défaut technique en manquement caractérisé : le choix affiché n’était pas le choix appliqué.
3. Une information insuffisante
La CNIL exige que l’utilisateur sache, avant de consentir, qui dépose des traceurs et pour quelles finalités. Sur ce point aussi, l’information fournie par SHEIN présentait des défauts. Un bandeau conforme liste les finalités de manière claire et donne accès à la liste des partenaires — pas un texte vague sur « l’amélioration de votre expérience ».
Ces trois manquements ne sont pas propres à SHEIN. Google (325 M€ + 150 M€ en 2021), Microsoft (60 M€), Criteo (40 M€), TikTok (5 M€) : la quasi-totalité des grandes sanctions cookies de ces dernières années reposent sur les mêmes pratiques. Le détail complet est dans notre bilan des sanctions CNIL.
Pourquoi la CNIL peut sanctionner une entreprise chinoise
C’est la question qui revient le plus souvent : comment une autorité française peut-elle infliger 150 millions d’euros à un groupe basé en Asie ?
La réponse tient au fondement juridique. Les règles cookies ne relèvent pas directement du RGPD mais de l’article 82 de la loi Informatique et Libertés, qui transpose la directive européenne ePrivacy. Conséquence décisive : la CNIL est directement compétente dès lors que le site cible des utilisateurs situés en France — sans passer par le mécanisme de « guichet unique » du RGPD, qui aurait confié le dossier à l’autorité du pays d’établissement européen de l’entreprise.
C’est exactement le levier que la CNIL avait déjà utilisé contre Google, Amazon et Microsoft, dont les sièges européens sont en Irlande. Peu importe où l’entreprise est établie : si ses traceurs atterrissent dans le navigateur d’un utilisateur français, la CNIL peut agir, et sanctionner à la hauteur du chiffre d’affaires du groupe.
Le message aux acteurs internationaux du e-commerce est limpide : vendre en France, c’est accepter les règles françaises. Aucune domiciliation, chinoise, américaine ou irlandaise, n’y change rien.
Ce que l’amende SHEIN signifie pour votre site
Il serait confortable de classer cette affaire dans la catégorie « problèmes de géants ». Ce serait une erreur, pour une raison simple : les règles violées par SHEIN sont exactement celles qui s’appliquent à votre site.
Le dépôt de cookies avant consentement est le manquement le plus répandu du web français — pas par malveillance, mais par défaut d’intégration : un pixel Meta ajouté par une agence, un tag Google Ads collé dans le thème, un script de chat qui embarque ses propres traceurs. Le bandeau est là, mais personne n’a vérifié qu’il bloque réellement les scripts.
Et la CNIL ne réserve pas ses contrôles aux multinationales. Sa procédure de sanction simplifiée lui permet de sanctionner en quelques semaines, jusqu’à 20 000 euros, précisément ce type de manquement courant. En 2025, plus de 60 % des sanctions concernaient des PME. À l’échelle d’une PME, 20 000 euros plus la mise en conformité en urgence plus l’atteinte à la réputation, c’est un vrai sinistre.
L’amende SHEIN n’est donc pas un fait divers : c’est un rappel, à la puissance 150 millions, d’une règle qui vous concerne déjà.
Comment vérifier votre propre site (avant la CNIL)
La bonne nouvelle : le manquement sanctionné chez SHEIN se détecte en quelques minutes sur n’importe quel site.
Le test manuel. Ouvrez votre site en navigation privée. Ouvrez les outils développeur du navigateur (onglet Réseau, ou Application > Cookies). Rechargez la page sans toucher au bandeau. Tout cookie non essentiel déposé à ce stade — _ga, _fbp, identifiants publicitaires — est un manquement. Refaites le test après avoir cliqué « Refuser » : le résultat doit être identique.
L’audit systématique. Le test manuel montre l’état d’une page à un instant donné ; il ne couvre ni l’ensemble du site, ni les régressions au fil des mises à jour. Notre guide de l’audit RGPD de site web détaille la méthode complète, et Complio l’automatise : scan des traceurs, détection des dépôts avant consentement, rapport de conformité daté qui documente vos vérifications.
La mise en conformité du bandeau. Si le test révèle des fuites, le problème est presque toujours le même : les scripts tiers ne sont pas conditionnés au consentement. Notre guide de la bannière cookie conforme CNIL couvre les exigences (refus aussi simple que l’acceptation, finalités claires, preuve du consentement), et Cookilio applique le blocage technique : aucun traceur ne part tant que l’utilisateur n’a pas consenti, et son choix est journalisé comme preuve.
La réduction de la surface de risque. Chaque traceur en moins est un risque en moins. Pour la mesure d’audience, il existe une voie sans consentement du tout : Mirage Analytics fonctionne sans cookie, entre dans le cadre de l’exemption CNIL, et vous conserve 100 % de vos statistiques — y compris pour les visiteurs qui refusent tout. Le fonctionnement des règles cookies est détaillé dans notre guide cookies et RGPD.
Ce qu’on refuse de promettre
« Installez un bandeau et vous êtes tranquille. » Non. SHEIN avait un bandeau. La conformité n’est pas l’affichage d’un bandeau, c’est le blocage effectif des traceurs tant que le consentement n’est pas donné — et le respect du refus. Un bandeau qui ne bloque rien est pire que pas de bandeau : il documente que vous connaissiez l’obligation.
« La CNIL ne s’intéresse qu’aux géants. » Faux. Les grandes amendes font les titres, mais la procédure simplifiée vise les manquements courants des sites ordinaires, et les PME représentent la majorité des sanctions. Le bon réflexe n’est pas « on est trop petits », c’est « le test prend cinq minutes ».
« Un outil garantit le zéro risque. » Aucun éditeur honnête ne peut promettre ça. Ce que nos outils garantissent, c’est ce qui est vérifiable : blocage technique des scripts avant consentement, preuve horodatée des choix, audit continu des traceurs. La conformité reste une pratique — nos logiciels la rendent tenable au quotidien.
FAQ
Quel est le montant de l’amende SHEIN infligée par la CNIL ?
150 millions d’euros, prononcés en septembre 2025. C’est l’une des plus lourdes sanctions cookies jamais infligées par la CNIL, derrière la sanction Google de 325 millions d’euros la même année. À elles deux, ces décisions représentent l’essentiel des 486,8 millions d’euros d’amendes prononcées par la CNIL en 2025.
Pourquoi SHEIN a-t-il été sanctionné par la CNIL ?
Pour des manquements aux règles cookies : des traceurs publicitaires étaient déposés sur le site français de SHEIN dès le chargement de la page, avant toute interaction de l’utilisateur avec le bandeau de consentement. Le bandeau existait, mais le blocage des scripts n’était pas effectif. La CNIL a aussi relevé des défauts d’information sur les finalités des traceurs.
Comment la CNIL peut-elle sanctionner une entreprise étrangère comme SHEIN ?
Les règles cookies reposent sur l’article 82 de la loi Informatique et Libertés (transposition de la directive ePrivacy), pour lequel la CNIL est directement compétente dès lors que le site cible des utilisateurs situés en France — sans passer par le mécanisme de guichet unique du RGPD. Être basé hors de l’Union européenne ne protège pas : la CNIL a déjà sanctionné Google, Amazon, Microsoft et TikTok sur ce même fondement.
La présence d’un bandeau cookies suffit-elle pour être conforme ?
Non, et c’est la leçon centrale de l’amende SHEIN : le site affichait un bandeau, mais les traceurs partaient avant le consentement. La conformité exige un blocage technique et vérifiable des scripts tant que l’utilisateur n’a pas consenti, un refus aussi simple que l’acceptation, une information claire sur les finalités, et le respect effectif du choix exprimé. Voir notre guide de la bannière cookie conforme.
Comment vérifier si mon site dépose des cookies avant consentement ?
Ouvrez votre site en navigation privée, ouvrez les outils développeur (onglet Réseau ou Application > Cookies) et rechargez la page sans toucher au bandeau : tout cookie non essentiel déposé à ce stade est un manquement. Un audit automatisé comme Complio effectue cette vérification en continu et documente les preuves de conformité.
Quels sont les risques pour une PME qui commet les mêmes erreurs que SHEIN ?
Les mêmes règles s’appliquent à tous les sites. La CNIL dispose d’une procédure de sanction simplifiée qui permet de sanctionner rapidement, jusqu’à 20 000 euros, les manquements courants — et plus de 60 % des sanctions de 2025 concernaient des PME. Le montant est proportionné à la taille de l’entreprise, mais le risque, lui, est identique.
Peut-on mesurer son audience sans bandeau cookies ?
Oui, pour la mesure d’audience uniquement : la CNIL prévoit une exemption de consentement pour les outils d’analytics strictement anonymes et limités à la production de statistiques agrégées. C’est le cas de Mirage Analytics, qui fonctionne sans cookie et sans donnée personnelle. Les traceurs publicitaires, eux, exigent toujours un consentement préalable.
Sources : CNIL, sanction SHEIN (cnil.fr) ; CNIL, bilan des sanctions 2025 ; CNIL, lignes directrices et recommandation cookies et autres traceurs ; loi Informatique et Libertés, article 82.
Pour aller plus loin : notre bilan complet des sanctions CNIL, notre guide de l’audit RGPD de site web et notre guide cookies et RGPD.