Illustration d'un registre des traitements RGPD ouvert sur un bureau avec liste de vérification et cadenas rouge, pour un article sur la mise en conformité des TPE et PME à la CNIL

RGPD en 2026 : ce que les TPE et PME doivent vraiment mettre en place

ParRaphaël Marieux

📌 En bref

En 2025, la CNIL a reçu 20 150 plaintes et prononcé 486,8 millions d’euros d’amendes, un record porté par deux sanctions liées aux cookies (Google 325 millions d’euros, Shein 150 millions). Pour une TPE ou une PME, la mise en conformité RGPD tient en quelques actions concrètes : tenir un registre des traitements, informer les clients, recueillir le consentement aux cookies et sécuriser les données. Le plafond théorique des amendes reste dissuasif : 20 millions d’euros ou 4 % du chiffre d’affaires mondial.

Sommaire

Les plaintes à la CNIL battent un record : 20 150 en 2025
Les amendes explosent : 486,8 millions d’euros en 2025
Les cookies restent le premier motif de sanction
Les quatre obligations de base d’une TPE
La cybersécurité, priorité des contrôles de la CNIL
Par où commencer : un plan d’action en cinq étapes
FAQ

Les plaintes à la CNIL battent un record : 20 150 en 2025

Le rapport annuel 2025 de la CNIL, publié en juillet 2026, fait état de 20 150 plaintes reçues sur l’année. C’est un nouveau record, après les 17 772 plaintes de 2024, elles-mêmes en hausse de plus de 8 % par rapport à 2023. Le rapport parle d’une hausse qui s’accélère, portée par des demandes de plus en plus fréquentes sur la vie numérique courante : démarchage, cookies, vidéosurveillance, données collectées sur les sites.

Cette pression se traduit dans les contrôles. La CNIL a réalisé 143 contrôles et prononcé 83 sanctions en 2025, contre 133 délibérations sur projets de texte. Pour une petite entreprise, le risque n’est pas théorique : les contrôles sont souvent déclenchés par une plainte, mais aussi par des campagnes thématiques, comme celle menée sur les sites qui n’utilisent pas le protocole HTTPS. Environ 90 % des sites web mis en demeure sur ce point sont désormais en conformité, selon le rapport.

Les amendes explosent : 486,8 millions d’euros en 2025

Le montant total des amendes prononcées par la CNIL s’élève à 486 839 500 euros en 2025, contre 55 212 400 euros en 2024, soit presque neuf fois plus. Deux décisions expliquent l’essentiel de ce chiffre : 325 millions d’euros contre Google et 150 millions d’euros contre Shein, toutes deux pour non-respect de la législation sur les cookies. Les autres sanctions restent, dans leur grande majorité, très inférieures à ces montants.

Le cadre juridique prévoit pourtant des plafonds élevés. L’article 83 du RGPD sur EUR-Lex fixe les amendes administratives à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les violations les plus graves (principes de base, droits des personnes, transferts), et à 10 millions d’euros ou 2 % du chiffre d’affaires pour les autres obligations, comme la tenue du registre ou la sécurité des traitements. Le montant le plus élevé est retenu. Pour une TPE, ces plafonds restent théoriques, mais la procédure simplifiée, utilisée pour les manquements les plus courants, plafonne l’amende à 20 000 euros : 16 organismes ont été sanctionnés par cette voie en 2025.

Chiffres clés de la CNIL20252024
Plaintes reçues20 15017 772
Montant des amendes486,8 millions d’euros55,2 millions d’euros
Contrôles réalisés143n.c.
Sanctions prononcées83n.c.
Sanctions en procédure simplifiée16n.c.
Balance de la justice en rouge et jaune sur fond blanc à côté de documents administratifs, illustrant les amendes prononcées par la CNIL en 2025 pour les TPE et PME

Source : rapport annuel 2025 de la CNIL (juillet 2026).

Type de violationPlafond d’amende (article 83 du RGPD)
Principes de base, droits des personnes, transferts20 millions d’euros ou 4 % du CA mondial
Autres obligations : registre, sécurité, sous-traitance10 millions d’euros ou 2 % du CA mondial
Procédure simplifiée CNIL (manquements courants)20 000 euros maximum

Source : article 83 du RGPD (EUR-Lex) et rapport annuel 2025 de la CNIL.

Les cookies restent le premier motif de sanction

Les deux amendes record de 2025 concernent les cookies, et ce n’est pas un hasard : la CNIL en a fait un chantier prioritaire depuis 2020. Les manquements les plus fréquents sont l’absence de bandeau de consentement, un refus moins simple que l’acceptation, ou le dépôt de traceurs avant tout choix de l’internaute. Pour un site d’entreprise, la règle est simple : les cookies non essentiels (publicité, réseaux sociaux, mesure d’audience dans certains cas) ne peuvent être déposés qu’après un consentement explicite et libre.

Écran d'ordinateur affichant un bandeau de consentement aux cookies avec boutons accepter et refuser en rouge et jaune, sur fond blanc, pour un article sur la conformité RGPD des sites web

La CNIL a précisé en juillet 2025 les conditions qui permettent d’exempter de consentement les cookies utilisés pour mesurer l’audience d’un site ou d’une application, à condition qu’ils soient strictement nécessaires à cette finalité et qu’ils ne servent pas au ciblage publicitaire. Cette clarification, détaillée dans sa page dédiée aux cookies et autres traceurs, est une bonne nouvelle pour les TPE qui utilisent un outil de statistiques simple.

Les quatre obligations de base d’une TPE

La CNIL consacre une page entière aux TPE et PME, avec un parcours de mise en conformité en plusieurs étapes. Le point de départ est le registre des traitements : un document interne qui liste chaque fichier de données personnelles (clients, prospects, salariés), sa finalité, sa base légale et sa durée de conservation. Il remplace depuis 2018 l’ancienne déclaration à la CNIL, qui n’existe plus. La page dédiée de la CNIL propose un modèle de registre prêt à l’emploi.

Viennent ensuite les mentions d’information : chaque client, prospect ou salarié doit savoir quelles données sont collectées, pourquoi, et pendant combien de temps. La base légale, ensuite, justifie chaque traitement : contrat, obligation légale, intérêt légitime ou consentement, comme l’explique la page de la CNIL sur les bases légales. Enfin, les droits des personnes : accès, rectification, suppression, portabilité. Une demande d’exercice de droits doit recevoir une réponse sous un mois. Pour la plupart des TPE, un DPO (délégué à la protection des données) n’est pas obligatoire, mais il peut être désigné volontairement pour structurer la démarche.

La cybersécurité, priorité des contrôles de la CNIL

Le rapport 2025 le dit explicitement : la cybersécurité domine, environ un tiers des contrôles portent sur ce sujet. L’article 32 du RGPD oblige en effet tout responsable de traitement à mettre en œuvre des mesures techniques et organisationnelles adaptées : mots de passe robustes, chiffrement, sauvegardes, mises à jour. C’est le même socle que celui détaillé dans notre article sur les menaces qui visent vraiment les TPE et PME, publié en août 2026 : phishing, rançongiciels, vulnérabilités non corrigées.

La sécurité des données n’est pas qu’une précaution technique, c’est aussi un critère pris en compte par la CNIL pour apprécier la gravité d’un manquement, comme le précise l’article 83.2 du RGPD. Un site en HTTPS, des accès protégés et des sauvegardes régulières réduisent à la fois le risque d’incident et le risque de sanction en cas de violation. Les contrôles sur la sécurité sont souvent simples à corriger : la campagne sur le protocole HTTPS a montré que 90 % des organismes mis en demeure se mettaient rapidement en conformité.

Par où commencer : un plan d’action en cinq étapes

La CNIL recommande de ne pas tout faire d’un coup. Son guide « Par où commencer ? » propose une progression par étapes, adaptée aux petites structures. En pratique, un plan d’action réaliste tient en cinq points :

1. Inventorier. Lister tous les fichiers contenant des données personnelles : clients, prospects, salariés, fournisseurs. Remplir le modèle de registre fourni par la CNIL.
2. Informer. Vérifier les mentions sur le site, les devis, les contrats et les formulaires de contact.
3. Consentir. Mettre en place un bandeau cookies conforme, avec un refus aussi simple que l’acceptation.
4. Sécuriser. Activer HTTPS, protéger les accès, sauvegarder les données, mettre à jour les logiciels.
5. Organiser. Désigner un référent (DPO si nécessaire), répondre aux demandes de droits, notifier les violations sous 72 heures en cas d’incident.

Ce plan est aussi un investissement utile pour la confiance : une politique de protection des données claire rassure les clients et évite les mauvaises surprises lors d’un contrôle. La CNIL met à disposition des webinaires et des fiches pratiques gratuites, dont 13 fiches sur l’intelligence artificielle destinées aux TPE-PME, publiées en 2025. Comme expliqué dans notre article sur la cybersécurité et l’IA, la protection des données reste avant tout une affaire d’organisation, pas de technologie.

FAQ

Le RGPD s’applique-t-il à une micro-entreprise ?

Oui. Le RGPD s’applique à toute organisation qui traite des données personnelles, quelle que soit sa taille, dès lors qu’elle collecte un nom, un e-mail, un téléphone ou une adresse. Les obligations sont proportionnées : une micro-entreprise n’a pas besoin des mêmes dispositifs qu’un grand groupe, mais elle doit tenir son registre et informer les personnes.

Non. Depuis l’entrée en application du RGPD en 2018, la déclaration préalable des fichiers a été remplacée par le registre des traitements, que l’entreprise tient elle-même et doit pouvoir présenter à la CNIL en cas de contrôle. Certaines opérations spécifiques (analyse d’impact, transferts hors UE) restent soumises à des formalités particulières.

Une donnée personnelle est toute information permettant d’identifier une personne, directement ou indirectement : nom, prénom, adresse e-mail, numéro de téléphone, plaque d’immatriculation, adresse IP. Un fichier clients, une liste de prospects ou un tableau de suivi des salariés contiennent donc des données personnelles au sens du RGPD.

Il n’existe pas de durée unique. La CNIL recommande de définir une durée de conservation par finalité et de la documenter dans le registre : par exemple, les documents comptables doivent être conservés dix ans pour des raisons légales, tandis que les données de prospection se conservent quelques années après le dernier contact. Au-delà, les données doivent être supprimées ou anonymisées.

Les plafonds légaux sont de 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les violations graves, et de 10 millions d’euros ou 2 % du chiffre d’affaires pour les autres (article 83 du RGPD). En pratique, pour les manquements courants d’une petite structure, la CNIL utilise la procédure simplifiée, dont l’amende maximale est de 20 000 euros, ou la mise en demeure.

Oui, dès que le site dépose des cookies non essentiels : mesure d’audience avec ciblage, publicité, boutons de réseaux sociaux, vidéos intégrées. Le consentement doit être recueilli avant le dépôt, et le refus doit être aussi simple que l’acceptation. La CNIL a précisé en juillet 2025 qu’une exemption est possible pour les cookies de mesure d’audience strictement nécessaires, sans ciblage publicitaire.

Le délégué à la protection des données (DPO) est obligatoire pour les organismes publics, pour les traitements à grande échelle ou pour ceux qui portent sur des données sensibles. La plupart des TPE n’y sont pas tenues, mais la CNIL encourage la désignation volontaire d’un référent, qui peut être un salarié ou une personne externe, pour centraliser la conformité.

Sources

🤖 Transparence IA — Cet article a été rédigé avec l'assistance d'une intelligence artificielle et relu par un éditeur humain, conformément au règlement européen sur l'IA (AI Act, dont les obligations de transparence s'appliquent depuis le 2 août 2026).

Publications similaires