Combien coûte une sanction RGPD de la CNIL ?
L'amende RGPD médiane prononcée par la CNIL est d'environ 15 000 €, très loin de la moyenne (près de 4,2 millions d'euros) tirée vers le haut par quelques sanctions record. En réalité, 7 amendes sur 10 ne dépassent pas 20 000 € et la majorité visent des indépendants, des TPE et des PME pour des manquements documentaires de base.
Quand on parle de sanctions RGPD, deux chiffres reviennent : le plafond théorique (20 millions d'euros ou 4 % du chiffre d'affaires mondial) et les amendes record qui font la une. Ni l'un ni l'autre ne dit ce que risque réellement un site français ordinaire. Pour le savoir, nous avons agrégé les décisions de sanction de la CNIL publiées sur Légifrance dans notre Observatoire des sanctions CNIL. Voici la lecture d'ensemble de ce baromètre, à jour d'avril 2026.
Médiane contre moyenne : l'écart qui change tout
C'est l'enseignement central de ces données. La moyenne des amendes dépasse 4 millions d'euros, mais elle ne décrit aucun cas réel : une poignée de décisions visant de grands groupes l'écrasent vers le haut. La médiane, c'est-à-dire le montant qui partage les sanctions en deux moitiés égales, tombe à 15 000 €.
Autrement dit, pour la moitié des organismes sanctionnés, l'amende est inférieure à 15 000 €. Pour un indépendant ou une TPE, ce montant, modeste à l'échelle des décisions médiatisées, peut suffire à mettre la structure en difficulté. Le risque RGPD courant n'est donc pas l'amende à plusieurs millions : c'est l'amende à quelques milliers d'euros, beaucoup plus probable.
Qui la CNIL sanctionne-t-elle vraiment ?
Contrairement à l'idée reçue, le profil type d'une sanction RGPD n'est pas le géant du numérique. Deux signaux le confirment dans les données :
- 70 % des amendes ne dépassent pas 20 000 €, le plafond légal de la procédure simplifiée (article 22-1 de la loi Informatique et Libertés).
- 64 % des sanctions sont prononcées en procédure simplifiée, une voie introduite pour traiter rapidement les manquements peu complexes et conclue par la décision d'un seul membre de la CNIL.
La procédure simplifiée est devenue le mode de sanction le plus courant, et elle vise en priorité les petites structures, souvent à la suite d'une plainte d'un utilisateur ou d'un ancien salarié. La médiatisation se concentre sur les amendes record, mais le volume se joue sur ces dossiers du quotidien.
Les manquements les plus fréquemment sanctionnés
Une même décision retient souvent plusieurs manquements. En fréquence d'apparition, le classement des sanctions de ce baromètre est le suivant :
| Manquement retenu | Part des sanctions |
|---|---|
| Défaut de coopération avec la CNIL | 12 % |
| Défaut de sécurité des données | 11 % |
| Défaut de consentement aux cookies | 9 % |
| Défaut d'information des personnes | 7 % |
| Non-respect des durées de conservation | 5 % |
Plusieurs de ces manquements (information des personnes, consentement aux cookies, durées de conservation) relèvent d'une documentation de conformité absente ou incomplète : une politique de confidentialité lacunaire, un bandeau cookies non conforme, l'absence de registre des traitements. Ce sont précisément les points qu'un site peut corriger en amont, sans attendre un contrôle.
Le manquement le plus fréquent n'est pas le plus coûteux
Fréquence et coût ne se recoupent pas. Si l'on classe les manquements suffisamment fréquents par montant moyen d'amende, ce sont le non-respect des durées de conservation (environ 2 millions d'euros en moyenne) et le défaut de sécurité des données (environ 1,8 million) qui pèsent le plus lourd, loin devant le consentement aux cookies (de l'ordre de 270 000 € en moyenne).
L'explication tient au type d'organisme concerné : les manquements à la sécurité ou à la conservation visent souvent de grandes bases de données, donc de grands acteurs, là où les manquements cookies touchent des structures de toute taille. Un manquement très fréquent peut donc rester modéré en montant, et inversement.
Une poignée d'amendes record écrase les statistiques
La concentration des montants est spectaculaire : les 10 plus grosses amendes représentent 86 % du montant cumulé, et le top 3 à lui seul 56 %. C'est mathématiquement ce qui rend la moyenne trompeuse et la médiane indispensable.
Pour un éditeur de site qui veut s'évaluer, la conclusion est simple : se comparer aux amendes record n'a pas de sens. Le bon repère est la masse des sanctions sous le plafond de 20 000 €, beaucoup plus représentative du risque réel.
Cookies : près d'une sanction sur cinq
Les cookies sont en cause dans 19 % des sanctions de ce baromètre, soit près d'une décision sur cinq. C'est l'un des points les plus contrôlés par la CNIL depuis 2022, et l'un des plus faciles à mettre en défaut : bandeau qui ne permet pas de refuser aussi simplement que d'accepter, dépôt de traceurs avant le choix de l'utilisateur, absence de finalité claire. Pour approfondir, voir notre guide bandeau cookies conforme à la CNIL.
Méthodologie et sources
Ce baromètre agrège les décisions de sanction de la formation restreinte de la CNIL assorties d'une amende au montant connu, telles que publiées sur Légifrance, sur la période 2019-2026 (265 décisions, dernière mise à jour en avril 2026). Les montants sont en euros, hors astreintes. Aucune donnée personnelle n'est traitée : les libellés d'organismes sont ceux, déjà anonymisés, des décisions publiques.
Les chiffres présentés ici sont une lecture datée. Le jeu de données complet, mis à jour en continu et accompagné de ses graphiques, est consultable sur notre Observatoire des sanctions CNIL.
Ressources officielles
- Les sanctions prononcées par la CNIL, CNIL.
- Délibérations de la formation restreinte, CNIL.
- Loi Informatique et Libertés, article 22-1 : procédure de sanction simplifiée, Légifrance.
- RGPD, article 83 : conditions générales pour imposer des amendes administratives, EUR-Lex.