Sanction RGPD PME 2026 : quelle amende CNIL risquez-vous ?

Quel est le montant maximal d’une amende RGPD en 2026 ?

La question qui inquiète le plus les dirigeants de TPE/PME est celle du montant. Le RGPD prévoit, à son article 83, deux niveaux de plafonds selon la gravité du manquement. Ces montants sont les plafonds théoriques de la procédure dite ordinaire : ce sont des maximums, pas des montants automatiques.

La CNIL peut-elle vraiment sanctionner une TPE/PME ?

Oui, sans aucun doute. L’idée reçue selon laquelle « la CNIL ne s’occupe que des géants du numérique » est fausse. Depuis janvier 2026, la CNIL a prononcé 23 nouvelles sanctions via la procédure simplifiée, un dispositif pensé précisément pour les dossiers moins complexes qui concernent souvent de petites structures.

Le chiffre le plus parlant est celui-ci : 19 des 23 sanctions faisaient suite à une plainte. Autrement dit, ce n’est pas forcément un contrôle spontané de la CNIL qui vous expose, mais un salarié, un client ou un ancien collaborateur mécontent qui signale un manquement. Aucune entreprise n’est trop petite pour être concernée. Pour poser des bases solides, commencez par comprendre les grands principes de la conformité RGPD en entreprise.

Quels sont les manquements les plus sanctionnés ?

Les 23 sanctions récentes dessinent une cartographie très claire des manquements traqués par la CNIL. Trois familles reviennent en boucle, et elles concernent directement le quotidien d’une PME.

Le montant de l’amende dépend-il de mon chiffre d’affaires ?

En partie seulement. Le chiffre d’affaires intervient comme plafond (les fameux 2 % et 4 %), mais il n’est jamais le seul critère. La CNIL module chaque sanction selon une série de facteurs. Deux entreprises au CA identique peuvent écoper d’amendes très différentes selon leur comportement.

1. La gravité Nature du manquement, nombre de personnes concernées, sensibilité des données touchées.
2. Le caractère intentionnel Une négligence est moins lourdement traitée qu’une violation délibérée.
3. La coopération Répondre à la CNIL et corriger vite joue en votre faveur ; l’ignorer aggrave la sanction.
4. Les mesures prises Les actions de mise en conformité engagées avant ou pendant le contrôle réduisent le montant.

Ce mécanisme de modulation est une bonne nouvelle pour les PME de bonne foi : une structure qui démontre des efforts réels de conformité peut voir son amende fortement réduite, voire remplacée par une mesure sans amende.

L’amende est-elle la seule sanction possible ?

Non, et c’est un point souvent ignoré. La CNIL dispose d’un éventail de mesures qu’elle peut prononcer seules ou en complément d’une amende. Certaines n’ont aucun coût financier direct mais un fort impact opérationnel ou réputationnel.

• L’avertissement : une alerte préventive lorsqu’un traitement risque de violer le RGPD.
• Le rappel à l’ordre : un signalement officiel du manquement constaté.
• L’injonction de mise en conformité, éventuellement assortie d’une astreinte (somme due par jour de retard).
• La limitation ou la suspension d’un traitement : la CNIL peut vous obliger à cesser une activité de traitement de données.

Procédure ordinaire ou simplifiée : quelle différence ?

La CNIL dispose de deux voies pour sanctionner. Comprendre laquelle vous concerne aide à évaluer votre exposition réelle.

La procédure simplifiée est aujourd’hui l’arme la plus utilisée contre les petites structures. Son plafond de 20 000 € peut paraître « raisonnable », mais rapporté au budget d’une TPE, il reste très lourd, sans compter le temps et le stress de la procédure.

La procédure simplifiée peut-elle mener à une amende ?

Oui, absolument. C’est même son objet principal. Les 23 sanctions évoquées, pour un total de 133 750 €, ont toutes été prononcées par cette voie. Le fait qu’une procédure soit qualifiée de « simplifiée » ne la rend en rien anodine : elle aboutit à des amendes réelles, inscrites et exécutoires. Pour anticiper le calendrier réglementaire, gardez un œil sur les dates clés du RGPD.

Quel est le premier réflexe après un contrôle CNIL ?

Recevoir un courrier ou la visite de la CNIL n’est pas une condamnation. Votre comportement à ce moment précis pèse lourd dans la suite, car la coopération est un critère de modulation et le défaut de coopération une circonstance aggravante.

1. Gardez votre calme et accusez réception Ne laissez jamais un courrier de la CNIL sans réponse : le silence est l’erreur la plus coûteuse.
2. Respectez les délais Répondez dans le temps imparti, même partiellement, en demandant un délai si nécessaire.
3. Rassemblez vos preuves Registre des traitements, contrats prestataires, politique cookies, durées de conservation.
4. Coopérez et corrigez Montrez les mesures déjà prises et engagez immédiatement celles qui manquent.
5. Faites-vous accompagner Un consultant RGPD sécurise vos réponses et votre stratégie.

Checklist de conformité : réduire concrètement le risque

La meilleure défense reste la prévention. Voici les points de contrôle prioritaires, directement tirés des manquements les plus sanctionnés. Un audit RGPD permet de valider chacun de ces éléments.

Mon bandeau cookies permet-il de refuser en 1 clic ?

C’est un point de contrôle majeur. Le refus des cookies doit être aussi simple que l’acceptation : si votre bandeau affiche un gros bouton « Tout accepter » mais oblige l’internaute à fouiller dans des sous-menus pour refuser, vous êtes en infraction. Prévoyez un bouton « Tout refuser » au même niveau, aussi visible, dès le premier écran.

Mon registre des traitements doit-il être à jour ?

Oui. Le registre des traitements est le document socle de votre conformité : il recense chaque traitement de données (paie, clients, prospection, vidéosurveillance…). Il doit être tenu à jour et présentable immédiatement en cas de contrôle. Un registre absent ou obsolète est un manquement « simple » directement sanctionnable.

Dois-je signer des contrats (DPA) avec mes prestataires ?

Oui. Dès que vous confiez des données à un outil externe — Brevo, Mailchimp, un CRM, un hébergeur, un prestataire de paie — vous devez encadrer la relation par un contrat de sous-traitance (DPA). Ce document définit les responsabilités de chacun. La plupart de ces plateformes proposent un DPA à accepter dans leurs paramètres : vérifiez que c’est bien fait pour chaque outil.

Les autres points à ne pas négliger

• Durées de conservation : ne gardez pas les données indéfiniment. Fixez et documentez une durée par type de données (clients, prospects, CV, vidéos).
• Mentions d’information : chaque formulaire de collecte doit indiquer qui collecte, pourquoi, combien de temps et comment exercer ses droits.
• Gestion des droits : mettez en place une procédure claire pour traiter toute demande d’accès ou de suppression dans les délais.
• Vidéosurveillance : limitez les caméras au strict nécessaire et ne filmez jamais en continu les postes de travail.
• Sécurité : mots de passe robustes, accès restreints, sauvegardes régulières.

Besoin de formaliser une démarche auprès d’un tiers ou de répondre à une demande ? Un courrier de mise en conformité bien rédigé fait souvent la différence.