Les sanctions CNIL cookies ne touchent plus seulement les grandes entreprises en 2026 : la procédure simplifiée, plafonnée à 20 000 euros, cible désormais aussi des sites de billetterie en ligne et des plateformes de télémarketing de taille plus modeste. Depuis janvier 2026, la CNIL a déjà prononcé 23 sanctions simplifiées pour un total de 133 750 euros, dont une large majorité fait suite à des plaintes de particuliers. Pour une PME qui gère un site web avec un bandeau de cookies mal configuré, le risque n’est donc plus théorique. Voici ce qu’il faut comprendre de ces sanctions et comment sécuriser votre propre bandeau de consentement.
Que montrent les sanctions CNIL cookies depuis début 2026 ?
Depuis janvier 2026, la CNIL a prononcé 23 sanctions dans le cadre de sa procédure simplifiée, pour un montant cumulé de 133 750 euros, soit une moyenne de moins de 6 000 euros par dossier. Dans cette procédure, le nom des organismes sanctionnés reste confidentiel, mais 19 des 23 dossiers, soit 82 %, ont été ouverts à la suite d’une plainte déposée par un particulier. Cette proportion montre que la vigilance des internautes eux-mêmes alimente une large part des contrôles.
Plusieurs de ces sanctions concernent précisément des sites de billetterie en ligne et des plateformes de télémarketing, épinglés pour avoir déposé des cookies publicitaires avant même que l’internaute ait cliqué sur « Accepter ». La CNIL a aussi rappelé un principe simple : si un bandeau permet d’accepter tous les cookies en un seul clic, il doit permettre de les refuser tout aussi facilement, en un seul clic également. Un bandeau qui facilite l’acceptation mais complique le refus expose donc l’entreprise qui l’exploite à un risque de sanction.
Les grandes sanctions 2026 concernent-elles aussi des entreprises plus importantes ?
Au-delà des sanctions simplifiées, la CNIL a également prononcé des amendes plus lourdes contre des sociétés de taille plus importante. Le 22 octobre 2026, la formation restreinte de la CNIL a sanctionné les sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT pour un total de 7 millions d’euros, dont 6 millions pour la première et 1 million pour la seconde. Cette sanction, rendue publique le 29 octobre 2026, fait suite à une plainte de l’association NOYB et à un contrôle mené par la CNIL en mars 2024.
Le manquement retenu concernait l’application mobile Fnac, qui utilisait un traceur sans consentement pour collecter l’historique de navigation des utilisateurs et alimenter un algorithme de recommandation. La CNIL a notamment relevé que le traceur continuait de fonctionner même lorsque l’utilisateur avait explicitement refusé le suivi, ce qui a été retenu comme un facteur aggravant. Les deux sociétés disposent d’un mois après notification pour démontrer que leur nouvel outil recueille correctement le consentement, sous peine d’une astreinte de 10 000 euros par jour de retard.
Pourquoi la CNIL s’intéresse-t-elle autant aux cookies ?
Sur l’ensemble de l’année 2025, la CNIL avait déjà prononcé 83 sanctions pour un montant cumulé de près de 487 millions d’euros, dont 21 sanctions, soit environ une sur quatre, concernaient des manquements liés aux cookies. Les cookies et traceurs publicitaires restent ainsi l’un des sujets les plus sanctionnés par l’autorité, aux côtés de la vidéosurveillance abusive des salariés et du non-respect des droits d’accès ou d’effacement. Cette tendance se poursuit sur 2026, avec un volet désormais plus visible sur les structures de taille réduite via la procédure simplifiée.
Le principe juridique reste le même, qu’il s’agisse d’une multinationale ou d’une petite entreprise : l’article 82 de la loi Informatique et Libertés impose un consentement préalable avant le dépôt de tout cookie non strictement nécessaire au fonctionnement du site, en particulier les cookies publicitaires et de mesure d’audience non exemptés. La CNIL a rappelé pour 2026 que le recrutement, le fichier électoral unique et les fédérations sportives figurent parmi ses priorités de contrôle, mais cela ne signifie pas que les cookies sortent du radar : la procédure simplifiée continue d’instruire des dossiers liés aux traceurs tout au long de l’année.
Quelles obligations concrètes pour le bandeau de cookies d’une PME ?
La règle centrale, rappelée à plusieurs reprises par la CNIL, est la symétrie entre acceptation et refus : si votre bandeau propose un bouton « Tout accepter » en un clic, il doit proposer un bouton « Tout refuser » tout aussi accessible, sans obliger l’internaute à parcourir plusieurs sous-menus. Aucun cookie non essentiel, qu’il serve à la publicité, à un réseau social ou à certains outils de mesure d’audience, ne doit être déposé avant que l’internaute ait donné son consentement. Le simple fait de continuer à naviguer sur le site ne constitue jamais un consentement valable.
Votre bandeau doit aussi permettre de retirer son consentement aussi simplement qu’on l’a donné, par exemple via un lien ou un bouton accessible à tout moment sur le site. Une Consent Management Platform, ou CMP, correctement configurée et régulièrement auditée reste le moyen le plus fiable de respecter ces obligations sans y consacrer un temps de gestion disproportionné pour une petite structure. C’est précisément ce type d’audit et de configuration que Solvhoot propose à ses clients, en partenariat avec Sirdata, pour sécuriser la mise en conformité RGPD et CMP de leur site.
Une PME de Seine-et-Marne peut-elle vraiment être contrôlée ?
Oui, et les chiffres 2026 le confirment : la très large majorité des sanctions simplifiées fait suite à une simple plainte d’un particulier, pas à un contrôle ciblé sur les grandes entreprises. Un commerçant ou un prestataire basé en Seine-et-Marne (77), dès lors qu’il exploite un site avec des cookies publicitaires ou de mesure d’audience, est exposé au même cadre juridique qu’une entreprise nationale. La taille de l’entreprise n’a jamais été un critère d’exemption dans les textes, et le plafond de 20 000 euros de la procédure simplifiée reste suffisamment dissuasif pour une structure de taille modeste.
Comment réduire concrètement son risque de sanction en 2026 ?
Commencez par auditer votre bandeau de consentement actuel en navigant depuis un appareil sans cookies déjà enregistrés, pour vérifier qu’aucun traceur publicitaire ne se dépose avant un choix explicite de l’internaute. Vérifiez ensuite que le bouton de refus est aussi visible et accessible que le bouton d’acceptation, sans sous-menu caché ni couleur qui détourne l’attention. Documentez vos choix de configuration et conservez une trace des consentements recueillis, ce qui facilite grandement une réponse rapide en cas de contrôle ou de plainte.
Si votre CMP actuelle n’a pas été revue depuis plusieurs mois, ou si vous n’êtes pas certain qu’elle respecte la règle du clic unique pour le refus, un audit externe permet souvent de repérer rapidement les points de non-conformité. Les 23 sanctions simplifiées prononcées depuis janvier 2026 montrent que ces contrôles ne relèvent plus de l’hypothèse lointaine, même pour une entreprise de taille modeste.