Sanctions et contrôles CNIL cookies 2026 : bilan record et priorités

Le 18 mai 2026, la CNIL a publié son rapport annuel 2025 : 83 sanctions prononcées, pour un montant record d'environ 486 millions d'euros. Plus d'un quart de ces sanctions portaient sur les cookies et les traceurs. Pour 2026, l'autorité a fixé cinq priorités de contrôle, dont les cookies, et raccourci ses procédures. Ce bilan a des implications concrètes pour une PME ou un e-commerçant.

Cet article n'est pas le catalogue des amendes historiques : pour le panorama des dix plus grosses sanctions depuis 2020, voyez notre tour d'horizon des amendes CNIL cookies. Ici, on regarde l'actualité : le bilan 2025, sa dynamique, et ce que visent les contrôles de l'année en cours.

Le bilan CNIL 2025 : une année record

Le rapport annuel 2025 de la CNIL, publié le 18 mai 2026, fait état de 83 sanctions prononcées pour un montant record, de l'ordre de 486 millions d'euros. C'est le total le plus élevé jamais atteint par l'autorité française sur une année, porté par quelques décisions de grande ampleur autant que par un rythme de sanctions soutenu.

Ce chiffre marque un changement d'échelle. La CNIL ne se contente plus de mises en demeure discrètes : elle prononce des sanctions financières lourdes, publiques, et de plus en plus fréquentes. Le cadre reste celui de l'article 83 du RGPD, qui autorise des amendes allant jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Pour une entreprise, la lecture est simple : le risque n'est plus théorique. La probabilité d'un contrôle augmente, le montant potentiel aussi, et la publication de la décision ajoute un coût réputationnel à l'amende elle-même.

Les cookies dans le viseur : plus d'un quart des sanctions

Plus de 25 % des sanctions prononcées par la CNIL en 2025 portaient sur les cookies et les traceurs. Autrement dit, un manquement sanctionné sur quatre concerne directement la façon dont un site dépose et gère ses traceurs.

Trois motifs reviennent dans ces décisions :

• Le dépôt de traceurs sans consentement, avant que l'internaute n'ait fait le moindre choix.
• Une information insuffisante, quand le bandeau ou la politique cookies ne dit pas clairement ce qui est déposé, pourquoi, et par qui.
• Le refus non pris en compte, lorsque l'internaute refuse mais que des traceurs se déposent quand même, ou que le retrait du consentement est rendu difficile.

Deux sanctions record du 1er septembre 2025 illustrent parfaitement cette grille de lecture.

SHEIN : 150 millions d'euros

La CNIL a sanctionné SHEIN à hauteur de 150 millions d'euros. Le motif central : des traceurs publicitaires étaient déposés dès l'arrivée sur shein.com, avant tout choix de l'internaute. L'autorité a également relevé une information incomplète sur ces traceurs, ainsi que des mécanismes de refus et de retrait du consentement déficients.

Le montant s'explique en partie par l'audience concernée : environ 12 millions de visiteurs français par mois. Plus le nombre d'internautes exposés est élevé, plus la CNIL calibre la sanction à la hausse.

Google : 325 millions d'euros

Le même jour, Google a été sanctionné à hauteur de 325 millions d'euros. Deux manquements sont visés. D'abord, des publicités insérées dans les onglets Promotions et Réseaux sociaux de Gmail sans l'accord des utilisateurs. Ensuite, des cookies déposés dès la création d'un compte Google, sans consentement valable.

Ces deux affaires envoient le même signal : peu importe la taille de l'acteur, c'est le mécanisme de dépôt et de recueil du consentement qui est examiné, ligne par ligne.

Les priorités de contrôle CNIL pour 2026

Pour 2026, la CNIL a annoncé cinq axes prioritaires de contrôle :

1. L'intelligence artificielle générative, et l'usage des données personnelles pour entraîner les modèles.
2. Les cookies et les traceurs, dans la continuité directe du bilan 2025.
3. Les transferts internationaux de données hors Union européenne.
4. Les données des mineurs, particulièrement sensibles.
5. Les données de santé, soumises à un régime renforcé.

Les cookies restent donc en tête de liste. Cette continuité n'est pas anodine : elle signifie que l'outillage de détection et la doctrine de la CNIL sont désormais rodés sur ce sujet, et que les contrôles vont se poursuivre.

À noter aussi, une recommandation cookies de janvier 2026 est venue préciser le consentement multi-terminaux, modifiant la recommandation de septembre 2020. Le principe : un choix exprimé sur un appareil doit être géré de façon cohérente, sans forcer l'internaute à re-consentir de manière abusive ni exploiter un consentement là où il n'a pas été donné.

Procédure simplifiée : des sanctions plus rapides

La procédure simplifiée, créée en 2022, a profondément changé le tempo. Certaines sanctions sont désormais rendues en 4 à 6 mois, contre 18 à 24 mois auparavant avec la procédure ordinaire.

Concrètement, cela réduit fortement le délai entre le manquement constaté et la décision. Une entreprise qui espérait une longue phase d'instruction pour se mettre en conformité dispose de beaucoup moins de temps. Cette accélération concerne en priorité les manquements clairs et documentés, précisément le profil des non-conformités cookies : elles se constatent à distance, sur le site, sans avoir besoin d'entrer dans l'entreprise.

Pour une PME, la conséquence est directe. Le dépôt d'un traceur avant consentement se voit en quelques secondes depuis un navigateur. C'est le type de manquement qui se prête à une sanction rapide.

Ce que ça change concrètement pour votre site

Le bilan 2025 et les priorités 2026 se traduisent par une exigence simple : votre bandeau doit être réellement conforme, pas seulement présent. La checklist ci-dessous répond point par point aux motifs sanctionnés en 2025.

1. Aucun traceur non essentiel avant le consentement. C'est le premier motif dans les affaires SHEIN et Google. Vérifiez qu'aucun cookie publicitaire ou de mesure ne se dépose au chargement de la page.
2. Un refus aussi simple que l'acceptation. Le bouton « Tout refuser » doit être au même niveau, en un clic, que « Tout accepter ».
3. Une information claire et complète. La politique cookies liste chaque traceur, sa finalité, sa durée et son destinataire. L'information incomplète a coûté cher à SHEIN.
4. Un refus et un retrait qui fonctionnent vraiment. Refuser doit bloquer les traceurs, et l'internaute doit pouvoir revenir sur son choix à tout moment.
5. La preuve du consentement conservée. Horodatage, choix par finalité, version du bandeau, exportables en cas de contrôle.
6. Un consentement cohérent entre appareils, conformément à la recommandation de janvier 2026.

Vous ne savez pas ce que votre site dépose réellement avant le clic ? Notre scanner de cookies le vérifie en quelques secondes. Pour la méthode complète de mise en conformité, suivez notre guide savoir si votre site est conforme au RGPD.

Questions fréquentes

Combien la CNIL a-t-elle prononcé de sanctions en 2025 ? Selon son rapport annuel publié le 18 mai 2026, la CNIL a prononcé 83 sanctions en 2025, pour un montant record d'environ 486 millions d'euros. C'est le total le plus élevé jamais atteint sur une année.

Quelle part des sanctions concerne les cookies ? Plus d'un quart des sanctions prononcées en 2025 portaient sur les cookies et les traceurs : dépôt sans consentement, information insuffisante, ou refus non pris en compte.

Quelles sont les priorités de contrôle de la CNIL en 2026 ? La CNIL a retenu cinq axes prioritaires : l'intelligence artificielle générative, les cookies, les transferts internationaux de données, les données des mineurs et les données de santé.

Une PME peut-elle vraiment être sanctionnée ? Oui. Les non-conformités cookies se constatent à distance, sur le site, et la procédure simplifiée permet des sanctions en 4 à 6 mois. Le montant est calibré selon le chiffre d'affaires, mais le plafond légal atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.

Pourquoi les sanctions sont-elles plus rapides qu'avant ? La procédure simplifiée, créée en 2022, permet de rendre certaines décisions en 4 à 6 mois, contre 18 à 24 mois avec la procédure ordinaire. Les manquements clairs, comme le dépôt de traceurs avant consentement, se prêtent particulièrement à ce circuit court.

Comment vérifier que mon site est en règle ? Lancez un scan de cookies pour repérer les traceurs déposés avant consentement, contrôlez la symétrie entre accepter et refuser, et assurez-vous de conserver la preuve de chaque choix. Notre scanner de cookies automatise le premier point.