RGPD et cookies en 2026 : la CNIL ne sanctionne plus seulement les grands groupes

En 2025, la CNIL a prononcé plus de 280 sanctions — et pour la première fois, plus de 60 % d'entre elles visaient des PME et TPE, pas des multinationales. La raison est simple : la CNIL a déployé des robots qui scannent automatiquement les sites web pour détecter les bandeaux de cookies non conformes, à grande échelle et sans distinction de taille d'entreprise. Résultat : selon une étude récente, si 97 % des sites utilisent des cookies, seuls 23 % respectent pleinement les exigences de consentement.

Autrement dit : la probabilité que votre bandeau de cookies actuel soit non conforme est statistiquement plus élevée que l'inverse. Et contrairement à une idée reçue, être une petite structure ne vous protège plus d'un contrôle — les outils automatisés de la CNIL ne font pas le tri par taille d'entreprise.

Ce que dit la réglementation, sans jargon

Le cadre reste le même depuis plusieurs années — c'est son application qui se durcit : la directive ePrivacy et le RGPD imposent que tout cookie non strictement nécessaire au fonctionnement du site (cookies publicitaires, cookies de réseaux sociaux, et la plupart des cookies analytiques comme Google Analytics) requière le consentement explicite et préalable de l'utilisateur avant d'être déposé.

Les erreurs les plus fréquentes — et les plus sanctionnées

1. Le bandeau « à prendre ou à laisser »

Un message du type « Nous utilisons des cookies, en poursuivant votre navigation vous acceptez » est non conforme. La CNIL exige que le bandeau propose, sur le même écran et avec la même mise en avant visuelle, trois choix clairs : Accepter, Refuser, et un accès au paramétrage détaillé. Un bouton « Refuser » caché, plus petit ou moins visible que « Accepter » est un motif de sanction à lui seul.

2. Le dépôt de cookies avant le consentement

Beaucoup de sites chargent Google Analytics, un pixel Facebook ou un widget tiers avant que l'utilisateur n'ait fait son choix. C'est l'inverse de ce qu'exige la loi : aucun cookie non essentiel ne doit être déposé tant que le consentement n'a pas été donné.

3. L'absence de retrait du consentement

Un utilisateur doit pouvoir revenir sur son choix aussi facilement qu'il l'a donné — un lien « Gérer mes cookies » accessible en permanence (souvent en pied de page) est attendu, pas optionnel.

Le lien avec vos autres obligations de site

Ce sujet n'est pas isolé : il s'inscrit dans une tendance de fond où les standards de conformité d'un site — accessibilité, protection des données, transparence — deviennent des attentes de base, aussi bien pour les régulateurs que pour vos visiteurs eux-mêmes, de plus en plus attentifs à ces sujets. Nous abordons cette même logique sous l'angle de l'accessibilité web obligatoire depuis 2025, et sous l'angle de la sécurité générale d'un site — trois piliers qui, ensemble, construisent la confiance de vos visiteurs.

Checklist rapide pour vérifier votre site

• Testez votre bandeau vous-même : est-ce que « Refuser » est aussi visible et accessible que « Accepter » en un clic ?
• Vérifiez qu'aucun script tiers ne se charge avant votre choix : ouvrez les outils de développement de votre navigateur (onglet Réseau) et rechargez la page avant de cliquer sur quoi que ce soit
• Ajoutez un lien « Gérer mes cookies » visible en pied de page, à tout moment
• Documentez votre politique de cookies dans une page dédiée, à jour et facilement accessible
• Utilisez une CMP (Consent Management Platform) reconnue plutôt qu'un bandeau fait maison approximatif, sauf si votre bandeau a été spécifiquement audité pour être conforme

Les sanctions CNIL peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial — un plafond théorique pour une grande entreprise, mais qui donne le ton : pour une TPE, même une sanction proportionnellement plus faible reste un coup dur évitable pour un problème souvent réglable en quelques heures.