Résumé exécutif : depuis janvier 2026, la CNIL a prononcé 23 sanctions simplifiées liées aux cookies et traceurs, pour un total de 133 750 €, et les cookies restent le premier motif de sanction en France (35 % des dossiers), devant les défauts de sécurité et la prospection commerciale illégale. Sur l'ensemble du bilan 2025, 32 % des entreprises contrôlées par la CNIL étaient des TPE ou des PME, avec un risque théorique pouvant atteindre 375 000 € pour une société sans bandeau de consentement conforme, ou 75 000 € pour un auto-entrepreneur, sur la base de l'article 226-16 du Code pénal. Une nouvelle recommandation de la CNIL publiée en janvier 2026 encadre désormais le consentement multi-terminaux, et un crawler automatisé contrôle en continu la conformité des bandeaux cookies affichés sur les sites français. Pour une PME, la bonne nouvelle est que la mise en conformité reste rapide et peu coûteuse dès lors que le bandeau est configuré correctement dès la conception du site.
Un bandeau de cookies mal configuré n'est plus un détail technique sans conséquence. Depuis le début de l'année 2026, la CNIL a durci sa surveillance des sites web français avec un crawler automatisé qui contrôle en continu la présence et la conformité des bandeaux de consentement, et les cookies restent, de loin, le premier motif de sanction devant la sécurité des données ou la prospection commerciale illégale.
Pour un grand groupe, une sanction CNIL fait la une de la presse économique. Pour une TPE ou une PME, elle se traduit surtout par une mise en demeure, un délai de mise en conformité serré et, parfois, une amende qui peut représenter plusieurs semaines de trésorerie. Ce guide fait le point sur ce que risque réellement une PME française en 2026, les erreurs les plus fréquentes sur un bandeau de cookies, et la méthode pour se mettre en conformité sans y passer des semaines.
Pourquoi la CNIL cible désormais les PME sur les cookies en 2026
Le bilan 2025 de la CNIL a marqué un tournant : 83 sanctions prononcées pour un montant total de 486 839 500 €, soit environ neuf fois plus qu'en 2024. Mais le chiffre le plus utile pour une PME n'est pas ce total, gonflé par quelques sanctions record contre de grands groupes technologiques : c'est la part des contrôles ayant visé des structures de petite taille. Selon la CNIL, 32 % des entreprises contrôlées en 2025 étaient des TPE ou des PME — la surveillance ne se limite plus aux grands comptes.
Le bilan CNIL 2025-2026 en chiffres
Cookies et traceurs représentent environ 35 % des motifs de sanction en 2026, devant les défauts de sécurité (25 %), la prospection commerciale illégale (20 %) et le non-respect des droits des personnes (15 %). Depuis janvier 2026, la procédure simplifiée — plafonnée à 20 000 € par décision — a donné lieu à 23 sanctions pour un total de 133 750 €, soit une moyenne de 5 815 € par dossier. Aucune de ces sanctions n'a atteint le plafond légal, signe que la CNIL traite en priorité des manquements de mise en conformité plutôt que des violations délibérées à grande échelle — exactement le type d'erreur qu'une PME commet le plus souvent sans le savoir.
Un crawler automatisé qui contrôle les bandeaux cookies en continu
La CNIL utilise désormais un outil de crawl automatisé qui visite les sites web français et vérifie mécaniquement la présence d'un bandeau de consentement, la possibilité de refuser aussi facilement que d'accepter, et l'absence de dépôt de cookies avant le recueil du consentement. Contrairement à un contrôle classique déclenché par une plainte, ce crawler peut détecter une non-conformité sur n'importe quel site, y compris celui d'une TPE qui n'a jamais eu affaire à un client mécontent ou un concurrent procédurier. Comme pour la cybersécurité de votre site web →, la conformité RGPD est devenue un sujet qui ne dépend plus de la taille de l'entreprise, mais de la rigueur technique du site.
Combien risque réellement votre PME en cas de non-conformité
| Type de sanction | Base légale | Montant maximal | Cas typique |
|---|---|---|---|
| Procédure simplifiée CNIL | Loi Informatique et Libertés | 20 000 € par décision | Bandeau incomplet, refus plus compliqué que l'acceptation |
| Sanction formelle CNIL | RGPD, art. 83 | Jusqu'à 4 % du CA mondial | Manquement grave ou récidive après mise en demeure |
| Sanction pénale — auto-entrepreneur | Code pénal, art. 226-16 | Jusqu'à 75 000 € | Absence totale de formalités déclarées |
| Sanction pénale — société | Code pénal, art. 226-16 | Jusqu'à 375 000 € | Absence totale de formalités déclarées |
Dans la pratique, la quasi-totalité des PME sanctionnées en 2026 le sont via la procédure simplifiée, pour des montants qui restent contenus (5 815 € en moyenne) mais bien réels — largement supérieurs au coût d'une mise en conformité correcte dès le départ. Nos forfaits maintenance et suivi → incluent une vérification régulière de ce type de risque technique.
3 erreurs fréquentes qui déclenchent une sanction
- Des cookies déposés avant même le consentement.
Beaucoup de sites chargent Google Analytics, des pixels publicitaires ou des scripts tiers dès l'ouverture de la page, avant que le visiteur ait répondu au bandeau — une non-conformité immédiatement détectable par un crawler automatisé. - Un refus plus compliqué qu'une acceptation.
Bouton « Tout accepter » affiché en évidence, bouton « Refuser » caché dans un second écran ou noyé dans un lien discret : c'est précisément le motif que la CNIL cite dans la majorité de ses sanctions récentes sur les cookies. - L'absence de gestion du consentement multi-terminaux.
Depuis la recommandation CNIL de janvier 2026, un consentement donné sur mobile devrait être cohérent avec celui recueilli sur ordinateur pour un même utilisateur identifié — un point que peu de sites de PME vérifient aujourd'hui. - Un bandeau absent sur certaines pages du site.
Page d'accueil conforme, mais blog, panier e-commerce ou formulaire de contact chargés sans bandeau : la CNIL considère le site dans son ensemble, pas seulement sa page d'entrée.
Consentement multi-terminaux : la nouvelle recommandation CNIL de janvier 2026
Publiée en janvier 2026, cette recommandation encadre la cohérence du consentement lorsqu'un même utilisateur identifié navigue depuis plusieurs appareils. Concrètement, si un visiteur refuse les cookies non essentiels sur son smartphone, ce refus doit pouvoir être respecté lorsqu'il revient sur le même site depuis son ordinateur, dès lors qu'il est identifiable (compte client, connexion, identifiant partagé). Cette exigence dépasse la simple pose d'un cookie de préférence dans un navigateur et suppose une synchronisation du consentement côté serveur — un niveau de rigueur technique que la plupart des outils grand public ne proposent pas encore par défaut.
Mettre son site en conformité RGPD en 2026 : la méthode
La mise en conformité d'un bandeau de cookies ne demande ni budget conséquent ni refonte complète du site, à condition de choisir le bon outil et de vérifier les points qui déclenchent le plus souvent une sanction.
Choisir le bon outil de gestion du consentement (CMP)
Trois familles d'outils dominent le marché français : les plateformes spécialisées comme Axeptio ou Didomi, qui gèrent nativement le blocage des scripts tiers avant consentement ; la solution open source française tarteaucitron.js, gratuite mais plus technique à intégrer ; et l'implémentation native du Google Consent Mode v2, devenu indispensable pour continuer à recevoir des données de mesure d'audience modélisées lorsque le visiteur refuse le suivi. Un site bien conçu — dès la création ou lors d'une refonte — intègre ce module de consentement en amont →, plutôt que de le rajouter dans l'urgence après une mise en demeure.
Exemples régionaux : Lille, Strasbourg, Rouen
Un cabinet de conseil lillois qui utilise un chat tiers et des pixels publicitaires sur son site doit s'assurer que ces scripts ne se déclenchent qu'après consentement explicite, sous peine de contrôle identique à celui subi par une entreprise parisienne. Un artisan strasbourgeois avec une simple mesure d'audience Google Analytics non exemptée reste soumis à la même obligation de bandeau que n'importe quelle PME, quelle que soit la taille de sa commune. Un e-commerçant rouennais qui gère plusieurs domaines ou sous-domaines doit vérifier que le consentement est cohérent sur l'ensemble de ses pages, panier compris — la conformité RGPD ne dépend jamais de la région, seulement de la configuration technique réelle du site.
Un site conforme RGPD dès la conception, pas rajouté dans l'urgence
Bandeau de consentement, Google Consent Mode v2 et mentions légales à jour intégrés directement à votre site — pour éviter la mise en demeure plutôt que la subir.
Découvrir la création de sites web →Points clés à retenir
- 133 750 € d'amendes CNIL cookies depuis janvier 2026, réparties sur 23 sanctions simplifiées — une moyenne de 5 815 € par dossier, bien en dessous du plafond légal de 20 000 €.
- 32 % des entreprises contrôlées par la CNIL en 2025 étaient des TPE ou des PME : la taille de l'entreprise ne protège plus d'un contrôle.
- Les cookies restent le premier motif de sanction (35 % des dossiers), devant les défauts de sécurité et la prospection commerciale illégale.
- Un crawler automatisé de la CNIL contrôle désormais les bandeaux de cookies indépendamment de toute plainte préalable.
- La recommandation CNIL de janvier 2026 impose une cohérence du consentement entre les différents terminaux d'un même utilisateur identifié.
- Les sanctions pénales théoriques (75 000 € pour un auto-entrepreneur, 375 000 € pour une société) restent rarement appliquées, mais la procédure simplifiée, elle, l'est de plus en plus.
FAQ : Vos questions sur la conformité cookies et RGPD en 2026
Q1 : Ai-je besoin d'un bandeau de cookies sur mon site internet ?
R : Oui, dès que votre site dépose des cookies non strictement nécessaires à son fonctionnement — mesure d'audience non exemptée, pixels publicitaires, vidéos intégrées, chat tiers. Un bandeau de consentement conforme est alors obligatoire au titre de l'article 82 de la loi Informatique et Libertés, quelle que soit la taille de l'entreprise.
Q2 : Combien coûte une amende CNIL pour un bandeau de cookies non conforme ?
R : Dans le cadre de la procédure simplifiée, la CNIL plafonne chaque sanction à 20 000 €, avec une moyenne réelle de 5 815 € sur les 23 sanctions prononcées depuis janvier 2026. En théorie, les sanctions pénales peuvent atteindre 75 000 € pour un auto-entrepreneur et 375 000 € pour une société, mais ces montants maximaux restent rarement appliqués à une PME de bonne foi qui corrige rapidement après une mise en demeure.
Q3 : La CNIL contrôle-t-elle vraiment les petites entreprises (TPE/PME) ?
R : Oui. Selon le bilan 2025 de la CNIL, 32 % des entreprises contrôlées cette année-là étaient des TPE ou des PME, et la CNIL utilise désormais un crawler automatisé qui vérifie la conformité des bandeaux de cookies sur un grand nombre de sites, indépendamment de toute plainte préalable.
Q4 : Qu'est-ce que le consentement multi-terminaux annoncé par la CNIL en janvier 2026 ?
R : C'est une recommandation qui encadre la cohérence du consentement aux cookies lorsqu'un même utilisateur identifié navigue depuis plusieurs appareils (mobile, ordinateur, tablette). Un refus exprimé sur un terminal doit pouvoir être reconnu sur les autres, ce qui suppose une gestion technique plus fine qu'un simple cookie de navigateur.
Q5 : Mon bandeau de cookies actuel est-il vraiment conforme au RGPD ?
R : Trois points suffisent à repérer une non-conformité fréquente : les cookies se déposent-ils avant votre réponse au bandeau, le bouton « Refuser » est-il aussi visible que « Tout accepter », et votre outil de mesure respecte-t-il le Google Consent Mode v2 en l'absence de consentement. Si l'une de ces réponses est non, votre site présente un risque réel.
Q6 : Quelles sont les obligations légales d'un site internet en 2026 ?
R : Au-delà du bandeau de cookies, un site professionnel français doit afficher des mentions légales complètes →, une politique de confidentialité conforme au RGPD, un registre des traitements à jour pour les données sensibles, et respecter les règles d'accessibilité numérique RGAA → lorsque l'entreprise atteint les seuils concernés.
Conclusion
La conformité cookies n'est plus un sujet réservé aux grands comptes technologiques : avec 32 % des contrôles CNIL visant déjà des TPE et des PME, et un crawler automatisé qui vérifie les bandeaux indépendamment de toute plainte, chaque site français professionnel est concerné. La bonne nouvelle est que corriger les erreurs les plus fréquentes — cookies déposés trop tôt, refus plus difficile qu'acceptation, bandeau absent sur certaines pages — reste rapide et peu coûteux comparé au risque encouru. Un site professionnel bien conçu en 2026 → intègre cette conformité dès sa construction, au même titre que sa cohérence visuelle ou sa vitesse de chargement.
Votre site est-il vraiment conforme RGPD ?
En 30 minutes, on vérifie votre bandeau de cookies, vos mentions légales et votre politique de confidentialité, et on vous remet un plan d'action clair et priorisé.
Demander mon audit gratuit →À lire aussi
Se protéger des cyberattaques les plus fréquentes visant les sites de PME françaises.
Web Accessibilité Web RGAA 2026Guide de mise en conformité RGAA pour les sites web professionnels.
Web Site Web Entreprise 2026 : Pourquoi Investir MaintenantPourquoi un site professionnel et conforme reste le socle de votre présence digitale.