Conformité RGPD : ce que risque votre entreprise (chiffres 2025)

En 2024, la CNIL a prononcé 87 sanctions. 8 sur 10 visaient des TPE et des PME.

Pas des géants de la tech. Des boîtes de 10, 30, 50 personnes.

J'audite des entreprises sur leur conformité RGPD depuis plusieurs années. La question qui revient à chaque premier rendez-vous, c'est toujours la même : "La CNIL va vraiment venir chez moi ?" Suivie de près par : "Et je risque combien ?"

Voici les vraies réponses, avec les vrais chiffres.

Les chiffres 2024-2025 que les articles concurrents ne ventilent jamais

On entend parler des amendes spectaculaires : Google à 325 millions d'euros, Shein à 150 millions. Ça fait les gros titres et ça renforce l'idée que la CNIL ne s'intéresse qu'aux mastodontes.

Sauf que ces deux sanctions représentent à elles seules 97% du montant total des amendes 2025. Retirez-les. Il reste 81 sanctions pour 11,8 millions d'euros. Et ces 81 sanctions touchent des structures comme la vôtre.

Les chiffres bruts :

• 2024 : 87 sanctions, 55,2 millions d'euros d'amendes, 180 mises en demeure, 64 rappels aux obligations
• 2025 : 83 sanctions, dont 67 via la procédure simplifiée — celle qui cible spécifiquement les petites structures
• 340 contrôles menés en 2025, soit +15% par rapport à l'année précédente
• Entre 2023 et 2024 : le nombre de contrôles a bondi de +300%

La CNIL ne ralentit pas. Elle accélère. Et elle a industrialisé la sanction des petites structures grâce à la procédure simplifiée, mise en place en 2022, qui lui permet de traiter les dossiers sans passer par la formation restreinte complète.

Ce qui déclenche un contrôle (un seul email peut suffire)

C'est la question que je reçois le plus. Et la réponse surprend systématiquement.

60% des contrôles CNIL font suite à une plainte. Pas à un audit planifié de longue date. Une plainte. D'une seule personne.

Un ancien salarié qui demande la suppression de ses données et ne reçoit pas de réponse sous un mois. Un client qui clique sur "Se désinscrire" de votre newsletter et continue de recevoir vos emails deux semaines plus tard. Un candidat dont le CV traîne dans vos fichiers depuis 2021.

La CNIL reçoit environ 14 000 plaintes par an. Une fraction déclenche un contrôle — entre 5 et 10% — mais quand c'est le cas, ça va vite. J'ai vu un dirigeant recevoir un courrier de la CNIL trois semaines après qu'un utilisateur avait déposé une plainte en ligne. Ce dirigeant n'avait pas de registre des traitements. Il ne savait même pas ce que c'était.

Les autres déclencheurs :

• Le programme thématique annuel : en 2026, la CNIL consacre 50% de ses contrôles planifiés à la cybersécurité, et cible aussi le recrutement et les décisions automatisées
• Un incident de sécurité : une fuite de données que vous devez déclarer sous 72 heures — ne pas le faire est un manquement en soi
• L'effet domino : un scandale chez un concurrent ou un sous-traitant peut déclencher des contrôles sur tout le secteur

Et pour ceux qui se demandent : oui, la CNIL peut contrôler sans prévenir. Les contrôles en ligne — ceux où elle vérifie votre site, vos cookies, vos formulaires — ne nécessitent aucune notification préalable. Elle peut le faire demain matin sans que vous le sachiez.

Les amendes réelles pour une PME

Oubliez le "jusqu'à 4% du chiffre d'affaires ou 20 millions d'euros" qu'on vous brandit partout. C'est le plafond théorique du règlement européen. En pratique, voici ce que paient les entreprises de votre taille.

Quelques cas réels, sanctionnés ces deux dernières années :

• Une TPE de prospection commerciale : 7 300 € d'amende pour envoi d'emails sans consentement préalable
• Une PME de restauration collective : 20 000 € — le plafond de la procédure simplifiée — pour le même type de manquement
• Un cabinet de 45 salariés : 60 000 € pour un registre des traitements jamais mis à jour depuis 5 ans

La procédure simplifiée, plafonnée à 20 000 €, représente désormais 67 des 83 sanctions prononcées en 2025. C'est la procédure taillée sur mesure pour les TPE et PME : manquements courants, instruction rapide, sanction calibrée.

7 300 ou 20 000 €, ça ne coule pas une entreprise. Mais l'amende n'est que la partie émergée.

Le vrai coût d'un contrôle (ce n'est pas l'amende)

L'amende est le chiffre qu'on retient. Le coût réel se cache ailleurs.

Du temps englouti. Un contrôle sur site dure 1 à 3 jours. L'instruction qui suit : 2 à 6 mois. Et si ça débouche sur une sanction, comptez 6 à 18 mois supplémentaires. Pendant tout ce temps, vous produisez des documents, vous répondez à des demandes formelles, vous mobilisez vos équipes sur un sujet qu'elles ne maîtrisent pas. J'ai vu des dirigeants y consacrer l'équivalent de deux mois à temps plein.

Une mise en conformité dans la panique. Quand la CNIL met en demeure, elle fixe un délai — parfois 30 jours, parfois 10. En cas d'urgence, 24 heures. Ce qui aurait coûté quelques milliers d'euros en mode anticipé en coûte trois à cinq fois plus quand il faut tout faire sous pression : rédiger le registre, refaire la politique de confidentialité, revoir les contrats sous-traitants, former les équipes.

Votre réputation exposée. Les sanctions CNIL sont publiques et restent en ligne. Votre nom d'entreprise, le motif de la sanction, le montant : tout est accessible sur cnil.fr et indexé par Google. Un prospect qui tape votre nom et tombe sur une sanction, c'est un contrat perdu. J'ai accompagné un dirigeant dont le principal client lui a demandé un justificatif de conformité RGPD après avoir vu la sanction en ligne. Le client a changé de prestataire dans le mois.

Le stress, tout simplement. L'incertitude qui dure des mois. La peur du prochain recommandé. L'impression de ne pas maîtriser le sujet. Ce n'est pas quantifiable, mais c'est bien réel — et ça détourne votre énergie de ce qui compte.

Ce que la CNIL vérifie en premier

Après plusieurs audits RGPD, j'ai identifié les points que les contrôleurs regardent systématiquement. Si vous n'avez que deux heures à consacrer à votre conformité, concentrez-vous sur ceux-là.

Le registre des traitements. Document numéro un. Il liste toutes les données personnelles que vous collectez, pourquoi vous les collectez, combien de temps vous les gardez, qui y a accès. Pas de registre = manquement quasi automatique. C'est exactement ce qui a coûté 60 000 € au cabinet de 45 salariés mentionné plus haut.

L'information des personnes. Votre politique de confidentialité : elle existe ? Elle est accessible depuis chaque formulaire de collecte ? Elle est compréhensible par quelqu'un qui n'est pas juriste ? La mention "Nous respectons votre vie privée" ne suffit pas. La CNIL veut des détails : quelles données, quelle base légale, quelle durée de conservation, quels droits, comment les exercer.

La gestion effective des droits. Quand un utilisateur demande l'accès à ses données ou leur suppression, vous avez un mois pour répondre. La CNIL vérifie que le processus existe et qu'il fonctionne. Un formulaire de contact générique qui tombe dans le vide ne compte pas. Rappel : c'est souvent l'absence de réponse à une demande de droit qui déclenche la plainte initiale.

La sécurité des données. Mots de passe stockés en clair dans une base, accès administrateur partagé entre 6 personnes, aucun chiffrement, pas de sauvegarde testée — ce sont des signaux rouges immédiats.

Les cookies et traceurs. Votre bandeau est-il conforme ? Refuser est-il aussi simple qu'accepter ? En 2025, les cookies figurent parmi les trois premiers motifs de sanction.

Checklist : les 7 points à vérifier maintenant

Vous ne deviendrez pas conforme en un jour. Mais vous pouvez passer en revue ces 7 points en une heure et savoir exactement où vous en êtes.

1. Registre des traitements — Même un tableur structuré suffit pour commencer. L'essentiel : qu'il existe, qu'il soit à jour, et qu'il couvre vos principaux traitements.
2. Politique de confidentialité — À jour, accessible depuis votre site et vos formulaires, détaillée. Pas trois lignes vagues copiées d'un template en 2019.
3. Procédure de réponse aux droits — Qui traite les demandes d'accès, de suppression, de rectification ? En combien de temps ? C'est documenté quelque part ?
4. Contrats sous-traitants — Votre hébergeur, votre CRM, votre outil d'emailing : les clauses de protection des données (article 28 RGPD) sont-elles dans les contrats ?
5. Durées de conservation — Combien de temps gardez-vous les données ? Des CV de candidats de 2020 qui traînent dans un dossier partagé, c'est exactement le type de manquement que la CNIL sanctionne en procédure simplifiée.
6. Bandeau cookies — Le bouton "Refuser" fonctionne-t-il vraiment ? Est-il aussi visible et accessible que "Accepter" ?
7. Procédure de violation de données — En cas de fuite, vous devez notifier la CNIL sous 72 heures. Avez-vous un process défini, même basique ?

Si vous répondez "non" à plus de trois de ces points, vous êtes dans le profil exact que la CNIL cible avec sa procédure simplifiée.

Se préparer coûte dix fois moins que subir

La conformité RGPD n'est pas un mur insurmontable. C'est un ensemble de documents et de processus que n'importe quelle entreprise peut mettre en place. Le plus dur, ce n'est pas de le faire — c'est de s'y mettre.

Un audit RGPD technique prend quelques jours et produit l'essentiel : le registre des traitements issu de votre code et de vos outils, la politique de confidentialité adaptée à votre activité, et un rapport clair sur ce qu'il reste à corriger. C'est exactement ce que je propose — partir du concret, pas d'un template générique.

Entre investir quelques jours maintenant et mobiliser deux mois sous la pression d'un contrôle, le calcul est vite fait.