Ce que la non-conformité a réellement coûté
De vraies décisions, avec le régulateur, la date et la source. Les amendes ne sont pas automatiques, et nous ne vous en prédisons jamais une. Mais les plafonds sont élevés, les contrôles sont automatisés, et la plupart des affaires commencent par une seule plainte.
Ce que les petites entreprises subissent vraiment
E-mails en votre nom
Le coût, c'est la fraude et les e-mails perdus, pas un régulateur.
Suivi avant consentement
Procédure simplifiée : jusqu'à 20 000 € pour les organismes de moins de 50 M€ de chiffre d'affaires (CNIL, consulté nov. 2026). Les 23 sanctions de ce type du début de 2026 étaient en moyenne d'environ 5 800 €, aucune au plafond (Journal de l'économie, 7 juil. 2026).
Clients en situation de handicap
Les tribunaux peuvent ordonner des corrections sous six mois avec astreinte, comme pour Carrefour en juin 2026 (PinMeTo, 2026).
Paiement et sécurité du site
Les coûts les plus lourds sont l'enquête, la notification et la confiance perdue.
Les coûts qui ne passent pas par une amende
déclarés perdus aux États-Unis en 2025 à cause de la fraude par compromission de messagerie professionnelle : fausses factures et fausses demandes de paiement, le plus souvent depuis des adresses usurpées ou sosies.
McDonald Hopkins, 7 avr. 2026des acheteurs en ligne en situation de handicap quittent un site qu'ils trouvent difficile à utiliser. Selon une estimation, les commerçants britanniques perdaient ainsi 17,1 milliards de livres par an.
AbilityNet, 11 févr. 2020plus grands fournisseurs de messagerie (Gmail, Yahoo, Outlook) refusent désormais ou classent en spam les envois en masse des domaines sans SPF, DKIM et DMARC.
DMARC Report, 2025boutiques en ligne piratées en quelques heures le 14 octobre 2024, quatre mois après la publication du correctif de la faille.
Sansec, 2024De vraies sanctions et décisions de justice
| Date | Qui a décidé | Contre | Résultat | Motif | Source |
|---|---|---|---|---|---|
| sept. 2025 | CNIL | Google LLC et Google Ireland | 325 000 000 € | Cookies : consentement aux traceurs publicitaires non valable | CNIL |
| sept. 2025 | CNIL | Shein (Infinite Styles Services) | 150 000 000 € | Cookies déposés sans consentement | CNIL |
| déc. 2025 | CNIL | American Express | 1 500 000 € | Cookies | CNIL |
| nov. 2025 | CNIL | Éditeur de vanityfair.fr | 750 000 € | Cookies déposés sans consentement | CNIL |
| janv. à juil. 2026 | CNIL (procédure simplifiée) | 23 organismes de plus petite taille | 133 750 € au total, environ 5 800 € chacun | Vidéosurveillance, cookies, demandes d'accès ignorées | Journal de l'économie |
| juin 2026 | Tribunal judiciaire de Caen | Carrefour France | Obligation d'être entièrement accessible sous six mois, sous astreinte journalière | Boutique en ligne et application non accessibles (EAA) | PinMeTo |
| mai 2026 | Tribunal de Lille | Auchan | Demande rejetée pour un motif de procédure ; appel en cours | Le tribunal a relevé que le site ne respectait pas les normes d'accessibilité | PinMeTo |
| déc. 2025 | CNIL | Un distributeur (anonymisé par la CNIL) | 3,5 millions d'euros | Données des membres du programme de fidélité transmises à un réseau social pour du ciblage publicitaire sans consentement valable | CNIL |
| oct. 2026 | CNIL | Fnac Darty et Fnac Direct | 7 millions d'euros | Cookies et traceurs, y compris dans l'application mobile | CNIL |
| mai 2019 | CNIL | SERGIC, une société de gestion immobilière (nommée dans la décision du Conseil d'État de nov. 2020) | 400 000 € et publication | Dossiers de candidats locataires (cartes d'identité, avis d'imposition, coordonnées bancaires, jugements de divorce) accessibles en changeant un numéro dans une adresse web, sans connexion ; faille connue depuis mars 2018, corrigée en septembre 2018 ; dossiers des candidats non retenus jamais purgés | CNIL |
| nov. 2020 | Conseil d'État | SERGIC | Recours rejeté, amende de 400 000 € confirmée | La faille aurait pu être évitée par des mesures simples comme l'authentification des utilisateurs ; conserver le dossier de chaque candidat en base active était excessif | Conseil d'État |
| janv. 2024 | CNIL | Éditeur d'un site d'annonces immobilières destiné aux vendeurs particuliers (anonymisé dans la décision de la CNIL) | 100 000 € | Mots de passe pouvant ne compter qu'un caractère et stockés en clair, pour environ 5 millions de comptes ; données conservées au-delà des durées annoncées ; contrat de sous-traitance et politique de confidentialité incomplets | CNIL |
| déc. 2024 | CNIL | Une petite agence immobilière (anonymisée par la CNIL) | 40 000 € | Salariés surveillés par des caméras enregistrant le son et par un logiciel de captures d'écran ; un compte administrateur et un mot de passe partagés par quatre personnes ; pas d'analyse d'impact | CNIL |
| juin 2024 | CNIL (procédure simplifiée) | Une société spécialisée dans la gestion immobilière (anonymisée par la CNIL) | 12 000 € | Consentement et information en matière de cookies | CNIL |
| déc. 2025 | CNIL (procédure simplifiée) | Un éditeur de logiciels pour la gestion locative et la copropriété (anonymisé par la CNIL) | 15 000 € et injonction de mise en conformité | Base légale de la prospection, information, sécurité des données | CNIL |
| déc. 2025 | CNIL (procédure simplifiée) | Un organisme public de gestion de logements locatifs (anonymisé par la CNIL) | 20 000 € et injonction de mise en conformité | Limitation des finalités, minimisation, information, droit d'opposition, sécurité des données | CNIL |
| juil. 2018 | CNIL | Un bailleur social (anonymisé par la CNIL) | 30 000 € | Fichier des locataires utilisé pour envoyer à chacun une lettre militant contre une baisse des aides au logement, une finalité incompatible avec la gestion locative | CNIL |
| avr. 2017 | CNIL | Une agence immobilière (anonymisée par la CNIL) | Sanction pécuniaire, non rendue publique | Conservation, information, sécurité et absence de réponse à la CNIL, à propos de locataires et de propriétaires | CNIL |
| juil. 2019 | CNIL (programme de contrôles) | Une dizaine d'agences immobilières, en réseau et indépendantes (non nommées) | Rappels des obligations et mesures correctrices | Contrôles sur place en 2018 ; manquements récurrents dans l'information des candidats et des garants, les durées de conservation, la sécurité physique et informatique | CNIL |
| déc. 2020 | CNIL | Deux médecins libéraux (non nommés) | 3 000 € et 6 000 € | Des milliers d'images médicales sur leurs propres serveurs, accessibles sur internet, sans chiffrement ; la violation n'avait pas été notifiée | Le Monde du Droit |
| avr. 2022 | CNIL | Un éditeur de logiciels pour laboratoires (non nommé) | 1 500 000 € | Obligations du sous-traitant, actions au-delà des instructions des laboratoires, et sécurité des données des patients qu'il détenait | CNIL |
| mai 2023 | CNIL | Un site de santé et de bien-être (non nommé) | 380 000 € | Cookies déposés sans consentement, consentement aux données de santé issues de tests en ligne, et sécurité | CNIL |
| janv. 2024 | CNIL (procédure simplifiée) | Un chirurgien-dentiste (non nommé) | 5 000 € | Sécurité des données, et droit d'accès d'un patient à ses données de santé non respecté | CNIL |
| sept. 2024 | CNIL (procédure simplifiée) | Un organisme de formation des professionnels de santé (non nommé) | 15 000 € et injonction de mise en conformité | Information et consentement en matière de cookies, droit à l'effacement, pas de véritable contrat de sous-traitance, et sécurité | CNIL |
| févr. 2023 à févr. 2026 | CNIL (procédure simplifiée) | Au moins neuf médecins généralistes, autres médecins et chirurgiens-dentistes (non nommés) | 3 000 à 5 000 € chacun, souvent avec une injonction de mise en conformité | Surtout des patients privés d'accès à leur dossier médical, et des praticiens qui ne répondaient pas à la CNIL | CNIL |
| juil. 2026 | CNIL | Hôpital Privé de la Loire | 500 000 € et injonction d'achever ses mesures de sécurité | Un attaquant est entré par l'accès des utilisateurs extérieurs, dont des médecins libéraux, sans VPN ni authentification multifacteur ; 524 867 patients concernés | CNIL |
| juin 2026 | Cour de cassation, chambre commerciale (n° 24-13.306, arrêt publié) | Une société qui a payé une facture usurpée (non nommée ici) | Arrêt d'appel cassé ; affaire renvoyée devant la cour d'appel de Lyon | Une facture de 103 375,64 € venait d'une adresse différant d'une lettre de celle du fournisseur. Un usurpateur n'est pas un créancier apparent : payer la facture n'a donc pas éteint la dette | Cour de cassation |
| juil. 2026 | Cour de cassation, chambre commerciale (n° 25-15.283) | Deux clients d'une banque (non nommés), dans une action contre BNP Paribas | Condamnation de la banque à rembourser cassée ; affaire renvoyée devant la cour d'appel de Lyon | L'échéance due à un constructeur a été payée sur l'IBAN figurant dans un e-mail venant d'une fausse adresse ; la banque avait exécuté les virements sur l'IBAN fourni (article L.133-21 du Code monétaire et financier) | Cour de cassation |
| mars 2026 | Tribunal judiciaire de Paris (première instance, connue par une chronique de presse) | Un office notarial (non nommé dans les articles) | 70 % de la perte de 68 607,38 € à la charge de l'office, 30 % à celle de l'acquéreur ; les deux banques mises hors de cause | L'office avait envoyé son RIB « par un moyen non sécurisé », contrairement à la mise en garde des notaires eux-mêmes en 2022 ; l'e-mail a été intercepté et l'IBAN modifié. On ignore s'il a été fait appel | Journal du Net |
| nov. 2025 | CNIL (procédure simplifiée) | Un cabinet d'avocats (anonymisé par la CNIL) | 5 000 € | Droit à l'effacement non respecté ; défaut de coopération avec la CNIL | CNIL |
| oct. 2021 | CNIL | Un notaire (anonymisé par la CNIL) | 3 000 € et une injonction | Défaut de coopération avec la CNIL | CNIL |
Le détail, pour qui veut aller plus loin
Explorateur d'amendes
Choisissez un risque. Le marché suit votre choix en haut de page.
Plafond légal en France
Grandes affaires : 325 M€ (Google) et 150 M€ (Shein) en septembre 2025 (CNIL, 2025 à 2026).
Ce que les petites entreprises subissent vraiment
Procédure simplifiée : jusqu'à 20 000 € pour les organismes de moins de 50 M€ de chiffre d'affaires (CNIL, consulté nov. 2026). Les 23 sanctions de ce type du début de 2026 étaient en moyenne d'environ 5 800 €, aucune au plafond (Journal de l'économie, 7 juil. 2026).
Affaires recensées
American Express 1,5 M€ (déc. 2025), l'éditeur de Vanity Fair 750 000 € (nov. 2025).
Qui intervient
CNIL (Commission nationale de l'informatique et des libertés)
Les barres sont à l'échelle entre elles. Les plafonds légaux vont bien plus haut et figurent à gauche. Une amende n'est jamais certaine ; la correction, si.
Cookie Fix : bandeau de consentement configuré avec Refuser aussi simple qu'Accepter, balises reliées au bandeau, nouvelle analyse prouvant que rien ne se déclenche trop tôt, politique cookies et preuves.