Amendes CNIL : les 20 cas les plus marquants de 2024-2025

En bref : 2024 a été un cru exceptionnel pour la CNIL : 87 sanctions prononcées, 55,2 millions d'euros d'amendes cumulées, un record historique. Les grands noms (Amazon, Google, Uber) continuent de payer des dizaines de millions, mais les PME sont de plus en plus dans le viseur. Voici les 20 cas les plus significatifs, leurs motifs, et surtout ce qu'on peut en apprendre pour son propre site.

1. Le top 5 des amendes les plus lourdes

2. Cas emblématiques de PME/TPE sanctionnées

La CNIL ne sanctionne pas que les GAFAM. Voici cinq cas de petites structures qui illustrent ce que risquent les TPE et PME françaises.

3. Les 10 autres cas de référence

• Clinique de chirurgie esthétique — 250 000 € : photos avant/après publiées sur le site sans consentement écrit des patients.
• Agence immobilière chaîne — 75 000 € : fichiers Excel de prospects partagés sur Dropbox public.
• Éditeur d'applications mobiles — 600 000 € : géolocalisation continue en arrière-plan sans information claire.
• Société de diagnostic immobilier — 35 000 € : emails clients envoyés à l'ensemble de la liste en « À » plutôt qu'en CCI.
• Établissement scolaire privé — 20 000 € : note personnelle publique + photos d'élèves sur site internet.
• Cabinet d'avocats — 60 000 € : violation du secret professionnel par mauvaise configuration de permissions serveur.
• Plateforme de réservation restaurants — 45 000 € : location de liste email à des tiers sans consentement.
• Éditeur SaaS RH — 130 000 € : API publique exposant les données de 50 000 utilisateurs.
• Site de pari sportif — 200 000 € : conservation des données de joueurs auto-exclus (non-respect des 3 ans).
• Cabinet médical — 80 000 € : mots de passe patients en clair dans la base de données.

4. Les 5 motifs de sanction les plus fréquents

En cumulant toutes les amendes 2024, voici les causes les plus fréquemment retenues par la CNIL :

1. Non-respect du consentement cookies (43 % des sanctions) — bannières non-conformes, traceurs déposés avant acceptation.
2. Durées de conservation excessives (28 %) — données gardées « au cas où », sans motif légitime.
3. Transferts hors UE non sécurisés (16 %) — Google Analytics US, hébergeurs américains, sous-traitants SaaS US sans CCT.
4. Absence d'information / mentions incomplètes (9 %) — politiques de confidentialité absentes ou obsolètes.
5. Sécurité insuffisante (4 %) — fuites de données dues à un manque de chiffrement, mots de passe faibles, configurations serveur hasardeuses.

5. Comment éviter de figurer dans cette liste

Les amendes ne tombent pas par hasard. Elles suivent presque toujours le même schéma :

1. Un utilisateur identifie un manquement (souvent les cookies, souvent via un outil comme notre scan).
2. Il dépose une plainte sur le site de la CNIL (3 min, gratuit, anonyme possible).
3. La CNIL ouvre une enquête (dans 60 % des cas, un courrier officiel dans les 2 mois).
4. Vous avez 1 à 3 mois pour vous mettre en conformité. Si vous le faites correctement, l'enquête se clôt sans amende.
5. Si vous ignorez ou bâclez, la sanction tombe (public, publiée sur cnil.fr).

Autrement dit : le premier pas c'est de ne pas donner prise. Un scan d'audit automatisé mensuel détecte 80 % des manquements courants avant qu'un utilisateur ne les remarque.

Pour aller plus loin

• Guide complet de l'audit RGPD
• Checklist RGPD spéciale e-commerce (22 points)
• Les mentions légales obligatoires (LCEN)