Une amende de plusieurs millions d'euros contre un géant du numérique fait toujours les gros titres. Résultat : beaucoup d'indépendants et de TPE pensent, à tort, que la CNIL ne s'intéresse qu'aux grandes entreprises. La réalité est différente — et souvent moins spectaculaire, mais bien réelle.
Ce que peut faire la CNIL, concrètement
La Commission nationale de l'informatique et des libertés dispose d'un éventail de pouvoirs gradués, pas seulement de la sanction financière :
- le rappel à l'ordre, sans publicité ;
- la mise en demeure, qui fixe un délai pour corriger le manquement (c'est, de loin, la mesure la plus fréquente) ;
- l'amende administrative, dont le plafond légal atteint 20 millions d'euros ou 4 % du chiffre d'affaires mondial — un plafond théorique, quasiment jamais atteint par une petite structure.
Dans l'immense majorité des dossiers concernant des TPE et indépendants, la procédure s'arrête à la mise en demeure : si vous corrigez le problème dans le délai imparti, il n'y a pas de sanction financière derrière.
Comment un contrôle démarre réellement
Contrairement à l'image d'un contrôle surprise, la plupart des dossiers ouverts contre de petites structures ont une origine précise :
- une plainte déposée par un client, un prospect ou un ancien salarié via le téléservice de plaintes en ligne de la CNIL — souvent après une demande de suppression de données restée sans réponse ;
- un contrôle automatisé en ligne : la CNIL scanne régulièrement des sites web pour détecter les bannières de cookies non conformes (cases pré-cochées, absence de bouton « Refuser » aussi visible que « Accepter ») ;
- un signalement d'un concurrent ou d'une association de consommateurs.
Les manquements les plus fréquents chez les petites structures
D'après les typologies de sanctions publiées par la CNIL, quatre manquements reviennent très régulièrement chez les indépendants, TPE et PME :
- Cookies déposés sans consentement valable avant tout clic de l'utilisateur (traceurs publicitaires ou analytics non essentiels) ;
- Absence de politique de confidentialité, ou politique de confidentialité générique copiée-collée qui ne correspond pas au traitement réel effectué par le site ;
- Non-réponse dans le délai légal d'un mois à une demande d'accès, de rectification ou de suppression de données ;
- Durée de conservation excessive des données (fichiers clients ou prospects conservés indéfiniment, sans purge).
Les deux premiers points recoupent directement ce que doivent contenir vos mentions légales et votre politique de confidentialité RGPD.
Ce qu'il faut retenir sur les montants. Pour une TPE de bonne foi qui se met en conformité après une mise en demeure, il n'y a généralement aucune sanction financière. Quand une amende est tout de même prononcée contre une petite structure — en cas d'absence de réponse ou de manquement répété — les montants observés restent très éloignés des amendes record médiatisées, la CNIL tenant compte explicitement de la taille et des moyens de la structure sanctionnée.
Comment limiter le risque, concrètement
La bonne nouvelle : les manquements les plus fréquents sont aussi les plus simples à corriger, sans budget juridique.
- Publier des mentions légales et une politique de confidentialité à jour, correspondant réellement à votre activité ;
- Configurer votre bannière de cookies pour qu'un refus soit aussi simple qu'une acceptation ;
- Prévoir une procédure — même simple — pour répondre à une demande de suppression de données dans le mois ;
- Éviter de conserver des données clients ou prospects sans limite de durée.
Si vous répondez rapidement et de bonne foi à une mise en demeure, le dossier s'arrête généralement là. Le vrai risque n'est pas le contrôle lui-même, c'est l'absence de réponse.
Vos documents légaux ne sont pas à jour ?
Générez des mentions légales et une politique de confidentialité conformes en 3 minutes. Aperçu gratuit, vous ne payez que si vous téléchargez.
Générer mes documents légaux →Questions fréquentes
- La CNIL contrôle-t-elle vraiment les petits sites indépendants ?
- Oui, mais rarement par contrôle proactif systématique. La très grande majorité des dossiers ouverts contre des TPE viennent d'une plainte déposée par un internaute (client, prospect, salarié) via le téléservice de plaintes de la CNIL, ou d'un contrôle automatisé en ligne portant sur les cookies.
- Une petite structure peut-elle vraiment recevoir une amende de plusieurs millions d'euros ?
- Le plafond légal (20 millions d'euros ou 4 % du chiffre d'affaires mondial) s'applique en théorie à tous, mais la CNIL module systématiquement le montant selon la taille de la structure, sa bonne foi et sa capacité financière. Pour une TPE, les sanctions prononcées restent très en dessous de ce plafond.
- Que se passe-t-il si je reçois une mise en demeure de la CNIL ?
- Une mise en demeure fixe un délai (souvent 1 à 3 mois) pour vous mettre en conformité. Si vous corrigez le problème dans ce délai et répondez à la CNIL, l'affaire s'arrête généralement là, sans sanction financière. La sanction n'intervient qu'en cas d'absence de réponse ou de mise en conformité.
- Le manque de politique de confidentialité peut-il, à lui seul, déclencher une sanction ?
- Oui, c'est l'un des manquements les plus fréquemment relevés chez les petites structures, car il est facile à constater depuis l'extérieur. Combiné à d'autres manquements (cookies non consentis, absence de réponse à un droit d'accès), il aggrave le dossier.
- Comment vérifier que mon site est conforme sans faire appel à un avocat ?
- Pour les obligations documentaires de base — mentions légales et politique de confidentialité — ConformeFR génère un document personnalisé et conforme en 3 minutes, avec un aperçu gratuit avant tout paiement.