Chiffres issus du rapport d'activite CNIL 2024 (publie au printemps 2025). Les chiffres 2025 consolides ne seront disponibles qu'au rapport d'activite 2025 (publication attendue printemps 2026) et seront mis a jour ici a cette date.
La CNIL a publie son rapport d'activite 2024. Les chiffres sont parlants : 55,2 millions d'euros d'amendes cumulees sur l'annee, 331 mesures correctrices (dont 87 sanctions, dont 69 via la procedure simplifiee), et surtout une procedure simplifiee qui monte en puissance. Cloclo a fait le tri. Voici ce qui compte pour toi si tu diriges une PME ou une TPE.
Ce qu'il faut retenir en 30 secondes
- La procedure simplifiee (amendes jusqu'a 20 000 EUR sans passage en formation restreinte) represente 69 sanctions sur 87 en 2024, soit plus de 79 % des sanctions prononcees.
- Les sujets qui reviennent le plus : cookies non conformes, defaut de securite (mots de passe bidons, base de donnees non protegee), prospection commerciale sans consentement.
- Les TPE/PME sont de plus en plus ciblees. Finie l'epoque ou la CNIL n'allait que chercher Google et Meta.
Pourquoi la procedure simplifiee change la donne
Avant 2022, pour te sanctionner, la CNIL devait te convoquer devant sa formation restreinte, organiser une audience, publier une decision. Long, lourd, reserve aux grosses affaires.
Depuis, elle a une procedure simplifiee : un rapporteur regarde ton dossier, propose une sanction (max 20 000 EUR), tu peux contester par ecrit, et c'est plie en quelques mois. Resultat : la CNIL peut traiter 10 fois plus de dossiers. Les TPE/PME qui avant passaient sous le radar passent maintenant a la caisse.
Exemple concret : une auto-ecole condamnee en 2024 a 7 500 EUR pour absence de registre et cookies non conformes. Avant, la CNIL n'aurait jamais lance une audience pour ca. Aujourd'hui, elle envoie juste un rapporteur.
Les 3 motifs qui reviennent le plus
1. Cookies non conformes
C'est le sujet numero un. Les agents de la CNIL naviguent sur ton site avec un faux profil, verifient que :
- Les cookies de mesure d'audience non exemptes se declenchent apres acceptation.
- Le bouton "Refuser tout" est aussi visible que "Accepter tout" (pas cache dans un lien en 9 pixels).
- Les cookies tiers (Facebook Pixel, Google Ads, Hotjar) ne se declenchent pas avant consentement.
Si tu utilises Google Analytics 4 sans configuration (type Google Consent Mode v2 ou anonymisation), tu es en infraction. Si tu utilises Umami ou Matomo self-hosted avec anonymisation IP, tu es exempte de consentement -- c'est d'ailleurs ce qu'on fait sur rgpdsimplement.xyz.
2. Defaut de securite
La CNIL punit la negligence technique. Les cas classiques :
- Base de donnees clients accessible sans mot de passe via une URL publique.
- Mots de passe stockes en clair dans la base.
- Pas de 2FA sur les acces administrateurs.
- Serveur qui n'a pas ete mis a jour depuis 3 ans.
Si tu n'es pas expert technique, c'est ton hebergeur ou ton prestataire qui doit te garantir ces mesures. Fais leur signer un DPA (Data Processing Agreement) qui le stipule explicitement. En cas de fuite, c'est toi qui es responsable devant la CNIL, pas eux.
3. Prospection commerciale sans consentement
Le cold email B2B est tolere (interet legitime + opt-out facile), mais le cold email B2C exige un opt-in prealable. En 2024, plusieurs TPE ont ete sanctionnees pour avoir achete des fichiers d'emails particuliers et envoye des campagnes.
Regle : si tu envoies un email commercial a une personne physique a son email perso, tu dois avoir recueilli son consentement clair, libre, eclaire, specifique. Pas une case pre-cochee. Pas un "en continuant vous acceptez".
Ce qui devrait te faire bouger lundi matin
On te deroule la check-list pragmatique :
- Ton bandeau cookies est-il conforme ? Test : ouvre ton site en navigation privee, refuse les cookies. Va sur DevTools > Application > Cookies. Si tu vois encore des
_ga,_fbp,hotjar: tu n'es pas conforme. - As-tu une politique de confidentialite a jour ? Si elle date de 2018 et parle toujours de "CNIL -- 8 rue de Teheran", va la rafraichir. (Spoiler : la CNIL a demenage en 2020 -- elle est au 3 place de Fontenoy.)
- As-tu un formulaire de contact conforme ? Mention explicite de la finalite, duree de conservation, droits d'acces et de suppression, lien vers la politique de confidentialite.
- As-tu un registre des traitements ? Si non, on t'explique comment le faire ici.
- Tes sous-traitants ont-ils signe un DPA ? Google, Microsoft, Mailchimp : oui (leurs DPA sont publics). Ton web-agency locale ? A verifier.
Et pour 2026, vers quoi on va ?
La CNIL a annonce trois axes pour 2026 :
- Cookies et trackers mobiles : elle va elargir les controles aux apps mobiles.
- Agents IA : les entreprises qui utilisent ChatGPT, Claude ou Gemini pour traiter des donnees client devront etre transparentes (mention dans la politique de confidentialite + DPA specifique).
- Data brokers : les boites qui achetent des fichiers d'emails sont dans le collimateur.
Autrement dit : si tu utilises un outil IA pour traiter tes emails ou tes CV, commence a regarder ce que fait ton prestataire avec les donnees. Est-ce que OpenAI les utilise pour entrainer son modele ? (Par defaut oui, sauf si tu as une offre Enterprise ou un opt-out. Pour Anthropic, pas d'entrainement sur API depuis 2024 -- c'est d'ailleurs pour ca qu'on utilise Claude sur rgpdsimplement.)
FAQ
Je n'ai jamais entendu parler de la procedure simplifiee, c'est nouveau ? Pas nouveau (elle existe depuis 2022) mais massifie. La CNIL traite de plus en plus de dossiers par cette voie.
Je suis une TPE de 3 personnes, je risque vraiment quelque chose ? Oui. Le record 2024 de la plus petite structure sanctionnee est une auto-entreprise. Les amendes sont proportionnees au CA mais partent de 500 EUR.
Est-ce que signer un DPA avec mes prestataires me protege ? Ca te protege en cas de faute du prestataire, oui. Mais ca ne te dispense pas de verifier que les mesures de securite promises dans le DPA sont bien appliquees en pratique. Le jour du controle, la CNIL te demandera des preuves.
Pour aller plus loin
- [[2026-04-18-rgpd-pme-5-etapes|Les 5 etapes pour etre conforme RGPD quand on est une PME]]
- [[2025-11-12-registre-traitements-expliquer-simplement|Le registre des traitements explique simplement]]
- Rapport d'activite 2024 de la CNIL
La conclusion : la CNIL est plus rapide, plus industrielle, plus PME-friendly (dans le mauvais sens du terme). Un bandeau cookies a 5 000 EUR, c'est une realite maintenant. Mieux vaut y passer 2 heures une fois que 2 mois a preparer ta defense devant un rapporteur.
Cloclo te fait un audit flash de ton site en 5 minutes -- gratuit.