Sanctions CNIL 2025 France : Amende CNIL et conformité RGPD

En 2025, la CNIL a franchi un nouveau palier dans son pouvoir de sanction. La décision de 21 millions d’euros contre Criteo, publiée en février 2025 (CNIL, délibération publiée en 2025), illustre une montée en puissance inédite de l’autorité française. En 2024, elle a déjà prononcé 68 sanctions et transactions, pour un total de plus de 60 millions d’euros (CNIL, rapport d’activité 2024). Selon les estimations du secteur, le nombre d’amendes notifiées en 2025 pourrait encore progresser de 15 à 20 % par rapport à 2024.

Pour les dirigeants de PME et TPE, ces sanctions représentent un risque financier réel, mais aussi une menace de réputation : la CNIL rend ses décisions publiques sur son site internet. Les motifs les plus fréquents en 2025 restent le consentement aux cookies, la vidéosurveillance des salariés et la collecte excessive de données. Cet article apporte un état des lieux complet et actionnable : montants des amendes, infractions contrôlées, transactions, recours et plan de conformité. Vous saurez comment éviter une sanction en moins d’une journée de lecture.

EssentielCombien coûtent les sanctions CNIL en 2025 ?

Le plafond légal d’une amende CNIL reste fixé par le RGPD, article 83 : 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves. En pratique, la CNIL module le montant selon la gravité, la durée, la coopération de l’entreprise et son niveau de chiffre d’affaires. Les grandes entreprises sont les plus exposées, mais les PME ne sont pas épargnées.

Attention : la CNIL tient compte des circonstances aggravantes comme la récidive ou la non-coopération. À l’inverse, une entreprise qui régularise rapidement après un contrôle peut voir son amende réduite, parfois de 30 à 50 %. Le recours à la procédure transactionnelle offre aussi une issue plus rapide, comme expliqué plus bas.

Tendance 2026Quelles infractions sont le plus sanctionnées par la CNIL ?

En 2025, les décisions de la CNIL se concentrent sur quelques grandes familles de manquements. La première concerne les cookies et traceurs : absence de refus aussi simple que l’acceptation, consentement non prouvé ou contrats de sous-traitance incomplets. La deuxième concerne la vidéosurveillance et la géolocalisation des salariés, jugées disproportionnées lorsqu’elles sont permanentes ou non justifiées. Enfin, la CNIL contrôle de près la collecte excessive de données, comme dans l’affaire Personio : on demande aux employés des informations non pertinentes ou on conserve les fichiers bien au-delà de la durée légale.

• ✓Consentement aux cookies et à la publicité ciblée : recueil, preuve, refus aussi simple que l’acceptation, modèles « pay or consent ».
• ✓Vidéosurveillance et systèmes biométriques : caméras cachées, localisation permanente, traitement disproportionné.
• ✓Sécurité des données : mots de passe faibles, absence de chiffrement, sauvegardes inexistantes après une violation.
• ✓Durées de conservation non respectées : fichiers clients ou RH gardés sans limite de temps.
• ✓Transferts internationaux hors UE : outils utilisés sans clauses contractuelles types ou garanties adéquates.

À savoirComment la CNIL contrôle-t-elle les entreprises en 2025 ?

Les contrôles de la CNIL peuvent survenir à tout moment, sans préavis. Les agents disposent de plusieurs moyens : contrôle en ligne (analyse des sites web et des traces), contrôle sur pièces (envoi de questionnaires), contrôle sur place (délégation dans les locaux) et audition libre. En 2024, l’autorité a réalisé plus de 430 contrôles, principalement dans les secteurs à forte exposition de données.

Conseil ProLa transaction CNIL : une alternative rapide depuis fin 2024

La procédure transactionnelle, précisée par le décret du 27 novembre 2024, permet à la CNIL de proposer une amende négociée en échange d’un arrêt du manquement et d’engagements de mise en conformité. C’est une porte de sortie beaucoup plus rapide que la procédure de sanction classique. Concrètement, l’entreprise reçoit une proposition ferme de montant, dispose d’un délai pour l’accepter, puis régularise sa situation. Si elle refuse, la formation restreinte peut ouvrir une sanction formelle : la transaction évite donc l’audience publique et une décision plus lourde.

« La transaction est devenue l’outil quotidien de la CNIL pour traiter les manquements constatés. Elle permet une régularisation rapide tout en conservant une information du public sur le montant de l’amende. »

À savoirSanction CNIL : quels recours pour votre entreprise ?

Une entreprise sanctionnée dispose de plusieurs voies. La principale est le recours en annulation devant le Conseil d’État, à introduire dans un délai de deux mois à compter de la notification de la décision. Le recours doit être très argumenté : excès de pouvoir, erreur de qualification juridique, disproportion de l’amende. Il est fortement recommandé de s’appuyer sur un avocat spécialisé en droit du numérique. Le dépôt d’un recours ne suspend pas l’obligation de payer : seule une demande de référé suspension devant le Conseil d’État peut éventuellement suspendre l’exécution, si l’entreprise démontre un préjudice grave et immédiat.

Tendance 2026Tendance 2025-2026 : une CNIL plus répressive et plus rapide

La trajectoire des sanctions CNIL montre un doublement des montants cumulés entre 2023 et 2024. Cette dynamique s’est prolongée en 2025 avec la sanction Criteo. Plusieurs facteurs expliquent cette montée : la généralisation de la procédure simplifiée, la transaction, l’augmentation des plaintes et la désignation de la CNIL comme autorité de contrôle des acteurs majeurs du numérique (consortia, health data hub, IA).

En 2025, la CNIL a aussi lancé les premières procédures liées à l’IA générative et aux modèles « pay or consent » : plusieurs éditeurs ont été mis en demeure d’offrir un choix équitable entre consentement au tracking et accès payant. Les entreprises doivent anticiper dès maintenant les nouveaux contrôles sur les algorithmes de recommandation et l’analyse automatisée des candidatures, très surveillés en 2026.

Conseil ProComment éviter une amende CNIL en 2025 ? Plan en 6 étapes

Éviter une sanction ne nécessite pas un budget énorme, mais une méthode structurée. Les entreprises sanctionnées en 2025 présentaient souvent les mêmes lacunes : aucun registre, pas de politique de consentement, aucune documentation. Voici un plan de conformité actionnable, applicable en quelques semaines.

Cas pratiqueFrance vs Europe : où se situe la CNIL ?

La CNIL fait partie des autorités européennes les plus actives, mais elle doit partager la vedette avec l’Irlande, le Luxembourg et l’Italie. La sanction de 1,2 milliard d’euros infligée à Meta par l’Irlande en 2024 pour les transferts transatlantiques reste la plus élevée de l’histoire du RGPD. La CNIL concentre son action sur les sociétés établies en France : son levier est donc administratif, mais ses décisions sont souvent citées par les autres autorités européennes.

Cette comparaison montre que la CNIL n’est pas l’autorité la plus « chère » d’Europe, mais elle est l’une des plus réactives : ses délais sont plus courts et elle applique massivement les procédures simplifiées. Pour une PME française, c’est donc l’autorité à connaître en priorité.