La CNIL a prononcé plus de 20 millions d'euros d'amendes en 2025, dont une bonne partie visait des PME qui pensaient que le RGPD ne concernait que les grands groupes. Un bandeau cookies mal configuré ou un formulaire de contact sans mention légale suffisent à être en infraction, même sans intention de mal faire. Voici ce qui se joue réellement, côté technique, derrière ces trois lettres.
Les cookies : le bandeau ne suffit pas
Un bandeau cookies conforme doit permettre de refuser aussi facilement que d'accepter, en un seul clic, sans case précochée. C'est le point que la CNIL sanctionne le plus souvent : des boutons "Tout accepter" bien visibles à côté d'un lien "Personnaliser" caché en petit texte gris. La règle est simple, aucun cookie de mesure d'audience ou publicitaire ne doit se déposer avant que l'utilisateur ait donné son consentement explicite.
Techniquement, cela implique un système de gestion de consentement (CMP) qui bloque réellement le chargement des scripts tiers (Google Analytics, Facebook Pixel, etc.) tant que l'accord n'est pas donné, et pas seulement un bandeau cosmétique qui s'affiche pendant que les scripts tournent déjà en arrière-plan.
Les données collectées : savoir ce qu'on stocke et où
Chaque formulaire, chaque compte client, chaque commande génère des données personnelles : nom, email, adresse, parfois données de paiement. Le RGPD exige de savoir précisément :
- Quelles données sont collectées et pour quelle finalité précise
- Combien de temps elles sont conservées avant suppression ou anonymisation
- Où elles sont hébergées (un hébergement hors Union européenne demande des garanties supplémentaires)
Un site e-commerce qui garde indéfiniment les données de clients n'ayant jamais commandé depuis 5 ans est en infraction, même si la collecte initiale était parfaitement légale.
Les formulaires : le consentement doit être actif
Un formulaire de contact ou d'inscription à la newsletter doit présenter une case à cocher non précochée, un lien vers la politique de confidentialité, et une finalité claire ("vos données serviront à répondre à votre demande", pas une formule vague). Ajouter discrètement une inscription newsletter à un formulaire de devis, sans case dédiée, est une pratique fréquente et pourtant non conforme.
Le droit d'accès et de suppression, en pratique
N'importe quel visiteur peut demander la liste des données que vous détenez sur lui, ou leur suppression complète. Vous devez pouvoir répondre sous un mois. Côté technique, cela suppose que votre site e-commerce ou votre application sur-mesure permette d'extraire et de purger ces données sans devoir fouiller manuellement dans dix tables de base de données différentes. Un site mal conçu peut transformer une demande simple en plusieurs heures de travail technique.
Les sanctions concrètes en 2026
Les amendes CNIL pour une PME tournent généralement entre 2 000 et 50 000 euros selon la gravité et la récidive, loin des montants spectaculaires visés aux multinationales, mais déjà douloureux pour une structure de moins de 10 salariés. Le risque réel n'est souvent pas l'amende elle-même : c'est le signalement d'un client mécontent qui déclenche un contrôle, ou une refonte précipitée en urgence sous la pression d'une mise en demeure.
Par où commencer concrètement
Faites auditer votre bandeau cookies avec un navigateur en navigation privée : si des cookies tiers se déposent avant tout clic, c'est non conforme. Vérifiez ensuite chaque formulaire du site un par un. Si vous préparez une refonte de site, c'est le bon moment pour intégrer la conformité dès la conception plutôt que de la rajouter après coup, ce qui coûte toujours plus cher. En cas de doute sur votre situation actuelle, demandez un devis pour un audit RGPD technique complet, avant que quelqu'un d'autre ne le fasse à votre place.