Qu’est-ce que la CNIL sanctionne vraiment, et qu’est-ce que cela change à votre achat ?
Pour qui : Vous dirigez une organisation et un commercial ou un article vous parle d’amendes en millions. Vous voulez savoir si cette menace justifie d’acheter un logiciel maintenant.
La CNIL sanctionne des pratiques et des absences de réponse. Dans le tableau 2025 qu’elle publie, aucun motif ne vise le fait de ne pas avoir de logiciel. N’achetez donc rien sous la menace d’une amende : regardez d’abord ce que vous faites.
Un logiciel n’aide vraiment que pour un motif précis : les demandes des personnes qui se perdent parce qu’elles sont nombreuses. Le registre manquant se règle avec le modèle de la CNIL, et le reste relève de décisions sur le terrain.
Notre avis
N’achetez pas par peur de l’amende. Dans les motifs publiés par la CNIL pour 2025, aucun ne vise l’absence d’un logiciel : ils portent sur des pratiques, des documents manquants et des réponses absentes. Corrigez d’abord ce qui vous concerne.
Pourquoi
- Sur 486 839 500 € d’amendes en 2025, deux décisions représentent 475 000 000 €. Ce total ne dit rien du risque d’une PME ou d’une commune.
- La CNIL cite trois motifs récurrents en procédure simplifiée : sécurité, absence de réponse à la CNIL, demandes des personnes non prises en compte, avec 14 cas chacun.
- Le registre et l’analyse d’impact sont bien sanctionnés : nous comptons respectivement 9 et 10 décisions sur 83 en 2025. Un document tenu à jour répond à ces motifs, avec ou sans logiciel payant.
- Vidéosurveillance et traceurs relèvent de réglages et de décisions qu’un logiciel de gouvernance documente sans les changer.
Ce qui change le choix
Des demandes de personnes qui se chevauchent et des échéances déjà manquées malgré un journal : comparez un outil de suivi. La raison est alors le volume constaté, chiffres en main.
L’ordre à suivre
- Courrier de la CNIL ou demande de personne restée sans réponse : répondez aujourd’hui.
- Pratique visible : caméras, traceurs, mentions d’information, mots de passe. Corrigez-la : aucun logiciel de registre ne le fera.
- Aucun registre ni analyse d’impact alors qu’ils sont dus : commencez avec les outils de la CNIL.
- Demandes qui s’accumulent et échéances perdues : comparez un outil de suivi, pour tenir les délais.
Remettre les montants à leur échelle
En 2025, la CNIL a prononcé 83 sanctions pour 486 839 500 €, dont deux amendes de 325 et 150 millions d’euros pour des manquements sur les traceurs. Les 81 autres sanctions représentent donc 11 839 500 € au total, parfois sans amende. Elle a aussi adressé 143 mises en demeure.
La procédure simplifiée donne une échelle plus utile aux petites structures. Elle a concerné 67 des 83 sanctions de 2025. De janvier au 6 juillet 2026, la CNIL en compte 23, pour 133 750 € d’amendes cumulées, soit environ 5 815 € par sanction en moyenne, un calcul sans valeur de prévision. Le plafond est de 20 000 € d’amende, et de 100 000 € au-delà de 50 millions d’euros de chiffre d’affaires annuel mondial. Dix-neuf de ces 23 décisions ont pour origine une plainte.
Les plafonds du RGPD, 10 ou 20 millions d’euros ou 2 ou 4 % du chiffre d’affaires mondial, sont bien réels. Un argumentaire qui ne cite qu’eux vous renseigne mal : regardez aussi les montants de la procédure simplifiée.
Ce que chaque motif appelle comme réponse
Les comptes ne s’additionnent pas : une décision cite plusieurs motifs. Les lignes marquées « bilan » reprennent les chiffres de la CNIL. Celles marquées « tableau » viennent de notre comptage du tableau 2025 de ses décisions, qui liste les manquements principaux.
| Motif | Nombre en 2025 | Réponse d’abord | Un logiciel de gouvernance change-t-il cela ? |
|---|---|---|---|
| Information des personnes | 35 décisions (tableau), dont 10 qui ne visent que l’information sur les cookies | Corrigez vos mentions et vos affichages. | Peu : il peut stocker le texte, à vous de le publier. |
| Traceurs et cookies | 21 organismes (bilan) | Faites l’inventaire et testez le refus. | Non : c’est un autre achat, et seulement si nécessaire. |
| Vidéosurveillance des salariés | 16 organismes (bilan) | Revoyez l’angle et la justification des caméras. | Non. |
| Sécurité des données, en procédure simplifiée | 14 organismes (bilan) | Mots de passe et comptes partagés, cités par la CNIL. Ce site ne traite pas la partie technique. | Non : il documente vos mesures sans les appliquer. |
| Absence de réponse à la CNIL, en procédure simplifiée | 14 organismes (bilan) | Désignez qui ouvre ces courriers et qui répond. | Non : c’est une affaire de personne et de délai. |
| Demandes d’effacement, d’opposition ou d’accès non prises en compte, en procédure simplifiée | 14 décisions (bilan) | Journal, responsable et réponse sous un mois. | Oui si le volume le justifie : c’est le suivi qui casse. |
| Analyse d’impact | 10 décisions (tableau) | Vérifiez si elle est due, puis menez-la. | Pas au début : le logiciel PIA de la CNIL existe. |
| Registre des activités de traitement | 9 décisions (tableau), jamais seul | Faites un premier passage avec le modèle de la CNIL. | Pas au début : un fichier écrit répond à l’obligation. |
Le registre compte, mais il n’arrive jamais seul
Il serait faux de dire que la CNIL ignore le registre. Il figure dans 9 décisions du tableau 2025, parmi lesquelles des sociétés de commerce ou de restauration, une commune et un groupement d’intérêt économique. Chaque fois, un autre motif l’accompagne. En septembre 2024, une commune a aussi reçu 20 000 € d’amende et une injonction pour plusieurs manquements, dont le registre et l’absence de délégué à la protection des données.
Un sous-traitant n’y échappe pas. En décembre 2025, la CNIL a sanctionné Mobius Solutions d’un million d’euros : copie de données conservée après le contrat, usage hors des instructions et absence de registre de sous-traitant. Ce montant tient à un dossier né d’une violation touchant plus de 46 millions d’utilisateurs, et il ne se transpose pas.
La leçon pour votre achat tient en deux lignes. Le manquement porte sur l’absence ou l’insuffisance du registre, et l’article 30 admet un registre électronique sans imposer de logiciel. Tenez donc le document, puis jugez l’outil sur le travail qu’il vous évite.
Quand la crainte devient un vrai motif d’outil
Comptez vos demandes sur douze mois, avec réception et réponse. Si une échéance a sauté parce que personne ne voyait l’ensemble, ouvrez un journal le jour même et répondez. Si les chevauchements continuent, comparez un outil de suivi : vous achetez alors la tenue d’un délai, et vous pouvez le chiffrer. Un outil ne répondra pas à la place d’une personne absente.
Pour une situation réelle, par exemple une plainte reçue, un contrôle annoncé ou une mise en demeure, prenez un conseil. Cette page décrit des tendances et ne juge pas votre dossier.
Limites de cette page
Le tableau de la CNIL liste les manquements principaux par décision : notre comptage n’inclut pas ce qu’il omet, et il mêle deux procédures. La CNIL ne publie pas le nom des organismes sanctionnés en procédure simplifiée et n’a rendu publiques que dix décisions de 2025. Les chiffres de 2026 s’arrêtent au communiqué du 6 juillet 2026.
Prochaine action
Ouvrez le tableau des sanctions de la CNIL pour 2025, trouvez un type d’organisme proche du vôtre, puis comparez chaque motif à vos pratiques. Si un courrier de la CNIL ou une demande de personne attend, répondez d’abord. Ne comparez un outil que si le suivi des demandes casse.
Preuves et sources
Lu le 5 novembre 2026 : le bilan des sanctions 2025 publié par la CNIL le 9 février 2026 ; son communiqué du 6 juillet 2026 sur la procédure simplifiée ; sa page de décisions par année, datée du 14 avril 2026, dont nous avons compté le tableau 2025 ; sa fiche de procédure simplifiée ; l’article 22-1 de la loi Informatique et Libertés dans la reproduction de la CNIL ; le communiqué sur la société Mobius Solutions. Les délibérations elles-mêmes n’ont pas été lues.
Chaque élément ci-dessous dit s’il s’agit d’un fait lu dans une source, d’une déclaration d’éditeur, de notre calcul, de notre méthode ou de notre avis. Aucun outil n’a été testé. Notre méthode
Fait lu. La CNIL a prononcé 83 sanctions en 2025 pour un montant total de 486 839 500 euros, dont 67 en procédure simplifiée, et adressé 143 mises en demeure.
Portée : Bilan 2025 publié le 9 février 2026.
Réserve : Chiffres datés et non extrapolables.
- CNIL : Sanctions et mesures correctrices : la CNIL présente le bilan 2025 09 février 2026. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Le bilan 2025 cite deux amendes de 325 millions et de 150 millions d’euros contre deux acteurs majeurs sur les traceurs ; il reste, par soustraction, 11 839 500 euros pour les 81 autres sanctions.
Portée : Calcul sur les chiffres du bilan : 486 839 500 moins 475 000 000.
Réserve : Toutes les sanctions ne comportent pas une amende.
- CNIL : Sanctions et mesures correctrices : la CNIL présente le bilan 2025 09 février 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. En procédure simplifiée en 2025, la CNIL compte 14 organismes pour la sécurité des données, 14 pour l’absence de réponse à ses demandes et 14 décisions pour la non-prise en compte de demandes d’effacement, d’opposition ou d’accès ; en outre, 21 organismes ont été sanctionnés sur les traceurs et 16 sur la vidéosurveillance des salariés.
Portée : Bilan 2025, procédures indiquées dans le tableau de la page.
Réserve : Une décision peut viser plusieurs motifs ; les totaux ne s’additionnent pas.
- CNIL : Sanctions et mesures correctrices : la CNIL présente le bilan 2025 09 février 2026. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Selon notre comptage du tableau des sanctions 2025 de la CNIL, 35 décisions sur 83 citent l’information des personnes, dont 10 sous le seul intitulé de l’information sur les cookies, 10 l’analyse d’impact et 9 le registre des activités de traitement, ce dernier toujours accompagné d’au moins un autre motif.
Portée : Comptage par intitulé dans la colonne « Manquements principaux / Thème », page datée du 14 avril 2026 ; le nombre de lignes concorde avec les 83 sanctions du bilan.
Réserve : Le tableau liste des manquements principaux, sans le détail des délibérations.
- CNIL : Les sanctions prononcées par la CNIL page datée du 14 avril 2026, listes par année. Lu le 5 novembre 2026. Document d’origine.
Notre calcul ou déduction. Dans la colonne des manquements du tableau 2025, nous n’avons trouvé aucun intitulé visant l’absence d’un logiciel.
Portée : Intitulés du tableau 2025.
Réserve : Le contenu des délibérations n’a pas été lu.
- CNIL : Les sanctions prononcées par la CNIL page datée du 14 avril 2026, listes par année. Lu le 5 novembre 2026. Document d’origine.
Fait lu. La CNIL indique 23 sanctions en procédure simplifiée de janvier au 6 juillet 2026, pour 133 750 euros d’amendes cumulées, dont 19 ont pour origine des plaintes ; la moyenne d’environ 5 815 euros est notre calcul.
Portée : Communiqué du 6 juillet 2026 ; 133 750 divisé par 23.
Réserve : Moyenne sans valeur de prévision.
- CNIL : La CNIL a prononcé 23 nouvelles sanctions depuis janvier au titre de la procédure simplifiée 06 juillet 2026. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Selon l’article 22-1 de la loi Informatique et Libertés reproduit par la CNIL et sa fiche de procédure, l’amende simplifiée ne dépasse pas 20 000 euros, ou 100 000 euros si le chiffre d’affaires annuel mondial dépasse 50 millions d’euros.
Portée : Procédure simplifiée.
Réserve : Reproduction de la CNIL ; Légifrance n’a pas été lu. Le communiqué de 2026 cite seulement 20 000 euros.
- CNIL : La loi Informatique et Libertés | CNIL 15 novembre 2024. Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
- CNIL : La procédure de sanction simplifiée | CNIL 5 décembre 2022. Lu le 5 novembre 2026. Document d’origine.
Fait lu. L’article 83 du RGPD fixe des plafonds de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, et de 20 millions d’euros ou 4 % selon les manquements, le montant le plus élevé étant retenu.
Portée : Article 83, paragraphes 4 à 6.
Réserve : Reproduction de la CNIL ; règles nationales pour le secteur public.
- CNIL : CHAPITRE VIII - Voies de recours, responsabilité et sanctions | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Fait lu. Le tableau de la CNIL indique, à la date du 13 septembre 2024, une commune sanctionnée en procédure simplifiée de 20 000 euros d’amende et d’une injonction, parmi les motifs le registre et l’obligation de désigner un délégué.
Portée : Ligne du tableau 2024.
Réserve : Organisme non nommé ; délibération non publiée.
- CNIL : Les sanctions prononcées par la CNIL page datée du 14 avril 2026, listes par année. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le 11 décembre 2025, la CNIL a sanctionné la société Mobius Solutions d’un million d’euros, en tant que sous-traitant non établi dans l’Union, pour une conservation de données après le contrat, un usage hors instructions et l’absence de registre de sous-traitant, à la suite d’une violation concernant plus de 46 millions d’utilisateurs.
Portée : Communiqué de la CNIL du 19 décembre 2025.
Réserve : Le registre n’est pas le manquement central ; délibération non lue.
- CNIL : Violation de données : sanction d'un million d'euros à l'encontre de la société MOBIUS SOLUTIONS LTD 19 décembre 2025 ; décision du 11 décembre 2025. Lu le 5 novembre 2026. Document d’origine.
Fait lu. Le registre se tient sous forme écrite, y compris électronique, et l’article 30 n’impose aucun logiciel.
Portée : Article 30, paragraphe 3.
Réserve : Texte reproduit par la CNIL.
- CNIL : CHAPITRE IV - Responsable du traitement et sous-traitant | CNIL Lu le 5 novembre 2026. Reproduction par un tiers, à confirmer sur le texte officiel.
Notre avis. Dire qu’un logiciel de gouvernance change peu les motifs d’information, de traceurs, de vidéosurveillance ou de sécurité est notre analyse, et il change davantage le suivi des demandes en volume.
Portée : Colonne de droite du tableau de cette page.
Réserve : Aucun logiciel n’a été essayé.
Daté du 5 novembre 2026.