Sanctions CNIL 2026 : ce que les PME françaises ont fait (et comment l'éviter)

En résumé : la CNIL a prononcé 83 sanctions en 2025 pour 487 millions d'euros d'amendes cumulées. 32% des entreprises contrôlées étaient des PME ou TPE. La procédure simplifiée, plafonnée à 20 000 euros, permet de sanctionner rapidement sans passer par une formation restreinte complète.

Les PME ne sont plus sous les radars. Pendant des années, les dirigeants de PME ont considéré le RGPD comme une contrainte réservée aux grandes entreprises. Les chiffres de 2025 ont mis fin à cette illusion.

La CNIL a multiplié par neuf le montant de ses amendes par rapport à 2024, et plus d'un tiers des structures contrôlées étaient des petites et moyennes entreprises. Voici les cas réels, les erreurs commises, et pour chacune l'outil conforme qui aurait pu l'éviter.

1.Les cookies non conformes (jusqu'à 25 000€)

Le cas : un e-commerce de taille intermédiaire a écopé de 25 000 euros pour un bandeau cookies avec un bouton "Tout accepter" bien visible et un lien "Continuer sans accepter" en gris discret, presque invisible. C'est ce que la CNIL appelle un dark pattern : l'interface est conçue pour orienter l'utilisateur vers le consentement plutôt que lui laisser un vrai choix. La règle depuis 2024 est simple et non négociable : refuser les cookies doit être aussi simple qu'accepter.

• Un bouton "Refuser" doit être aussi visible que le bouton "Accepter", avec la même taille et le même contraste.
• Un agent de la CNIL peut vérifier votre bandeau cookies depuis son bureau, en navigation privée, en moins de deux minutes.

Comment l'éviter : vérifiez votre bandeau cookies avant de lire la suite de cet article. Ouvrez votre site en navigation privée et comptez le nombre de clics nécessaires pour refuser tous les cookies. Si c'est plus difficile qu'accepter, vous êtes en infraction. Lien avec les outils IA : si vous utilisez des outils d'emailing ou de tracking marketing, ils déposent des cookies sur votre site. Brevo, Sarbacane et Mailjet proposent des configurations conformes au RGPD avec consentement explicite intégré dans leurs modules de formulaire.

2.L'absence de DPA avec un outil numérique (15 000€)

Le cas : un sous-traitant est contacté en urgence un vendredi après-midi quand son client principal subit un contrôle de la DGCCRF. L'administration annonce qu'elle va contrôler l'ensemble des sous-traitants. Le sous-traitant n'a aucun contrat de traitement des données avec ses propres prestataires.

Son client écope de 15 000 euros d'amende. Le sous-traitant paye une mise en conformité d'urgence sur le week-end. L'erreur : utiliser des outils numériques qui traitent des données clients sans avoir signé de Data Processing Agreement (DPA), le contrat de sous-traitance prévu par l'article 28 du RGPD. Sans ce contrat, le traitement est illégal, même si l'outil est hébergé en Europe.

Comment l'éviter : pour chaque outil qui traite des données pour vous (CRM, emailing, comptabilité, RH), demandez-vous si un DPA est signé. Sur trouver-ia.fr, nous avons vérifié la disponibilité du DPA sur 129 outils.

Pour les outils sans DPA public, demandez-le explicitement à l'éditeur avant tout usage professionnel. Outils avec DPA disponible publiquement : Pennylane, Brevo, Payfit, Talkspirit, Modjo, Ringover, Leexi, Crisp, La Growth Machine, Ordalie, Jimini AI, VoltageGPU, Moon AI, Mistral Le Chat.

3.Le Shadow AI : vos équipes utilisent ChatGPT sans vous le dire

Le cas : la CNIL a lancé en 2025 le projet PANAME en partenariat avec l'ANSSI pour auditer si les modèles d'IA traitent des données personnelles. En 2026, elle contrôle les entreprises qui déploient des outils d'IA générative sur les traitements associés, les bases légales et l'information des personnes concernées. Le Shadow AI, c'est l'usage non déclaré d'outils IA par les salariés sur leurs comptes personnels.

• Un commercial qui colle une liste clients dans ChatGPT gratuit pour rédiger des emails de prospection.
• Une RH qui soumet des CVs complets à Gemini pour en extraire les informations clés.
• Un comptable qui analyse un bilan confidentiel sur Claude sans DPA.

Dans chacun de ces cas, des données personnelles sont traitées sans base légale documentée, sans DPA, et parfois sur des serveurs américains soumis au Cloud Act. C'est une violation du RGPD en attente d'être détectée. Comment l'éviter : publiez une charte IA interne. Listez les outils IA autorisés, ceux qui sont interdits et pourquoi.

Deux outils permettent de remplacer ChatGPT sans exposer vos données : Mistral Le Chat (données en France, DPA disponible) et Moon AI (hébergement OVHcloud France, Moon Guard qui anonymise automatiquement les données sensibles avant envoi au modèle).

4.La surveillance des salariés disproportionnée (32 millions d'euros)

Le cas Amazon : en décembre 2024, la CNIL a sanctionné Amazon France Logistique à 32 millions d'euros pour un système de suivi en temps réel des préparateurs de commandes, seconde par seconde. Le principe de proportionnalité a été violé : collecter autant de données sur les salariés sans nécessité démontrée est illégal. Pour une PME, le risque est différent mais réel.

Des outils de pointage connecté, de suivi GPS des véhicules de livraison, d'enregistrement des appels salariés ou de monitoring de l'activité informatique peuvent constituer une surveillance disproportionnée si les salariés ne sont pas informés et si la collecte n'est pas proportionnée à l'objectif. Comment l'éviter : informez systématiquement vos salariés des données collectées et de leur finalité. Utilisez des outils de pointage certifiés avec information préalable des salariés. Synchroteam et Skello, tous deux référencés sur trouver-ia.fr, sont conformes sur ce point.

5.Le recrutement par IA sans information des candidats

La CNIL a annoncé le recrutement comme thématique prioritaire de contrôle 2026. Elle vérifiera que les entreprises respectent le RGPD dans leurs pratiques : systèmes de décision automatisée, information des candidats, durées de conservation des CVs.

Si vous utilisez un ATS (outil de gestion des candidatures) avec un module de matching IA, les candidats doivent être informés qu'un système automatisé analyse leur profil.

Et si ce système prend une décision finale (refus automatique), ils ont le droit de demander une révision humaine. Comment l'éviter : mentionnez l'usage d'outils d'IA dans vos offres d'emploi. Flatchr, l'ATS français avec son module Flatchr Fit, permet de configurer les informations transmises aux candidats.

Lucca intègre des modules RH conformes au RGPD avec conservation limitée des données de candidature.

Les cinq erreurs les plus fréquentes sont : bandeau cookies non conforme, absence de DPA avec les prestataires, Shadow AI non encadré, surveillance salariés disproportionnée, recrutement IA sans information des candidats. Chacune de ces erreurs se corrige avec les bons outils et une charte IA interne. Vous voulez vérifier que vos outils IA disposent d'un DPA ?

Consultez notre annuaire complet avec statut DPA, notre article RGPD et IA : ce que tout dirigeant de PME doit savoir en 2026 et notre guide Cybersécurité des PME françaises : les outils pour se protéger.