La CNIL multiplie les sanctions : 23 petites entreprises frappées pour abus de données personnelles depuis janvier 2026
Depuis janvier 2026, la Commission nationale de l’informatique et des libertés (CNIL) a prononcé 23 sanctions via sa procédure simplifiée, pour un montant total de 133 750 euros. Ces amendes visent des entreprises qui ont outrepassé leurs droits sur vos données personnelles : cookies déposés sans votre accord, caméras de surveillance filmant les salariés en continu, refus de supprimer vos informations quand vous le demandez.
Ce qui change cette année, c’est l’ampleur du contrôle exercé au-delà des géants du numérique. Contrairement aux sanctions médiatisées qui frappent les géants du numérique, ces 23 dossiers concernent des acteurs variés, de la restauration rapide aux sites de billetterie en ligne. Pendant des années, seuls Google et Meta faisaient l’objet de poursuites spectaculaires. Aujourd’hui, 19 dossiers sur 23 viennent de plaintes de particuliers, ce qui signifie que la CNIL répond davantage à la mobilisation citoyenne.
Les trois catégories principales de manquements sont la vidéosurveillance abusive en milieu professionnel, les cookies publicitaires déposés sans consentement préalable sur des sites de billetterie et de télémarketing, et le non-respect des droits d’accès et d’effacement, avec huit sanctions dont quatre assorties d’un défaut de coopération avec la CNIL.
Un nouveau modèle de répression
Cette intensification des contrôles illustre un tournant dans la philosophie de l’autorité française. La procédure simplifiée, de plus en plus utilisée, permet de traiter rapidement des manquements jugés moins graves. Mais elle marque surtout un changement d’approche : la CNIL ne cible plus seulement les récidivistes notoires, elle punit aussi les violations ordinaires commises par des PME, des commerces, des prestataires de services peu scrupuleux.
Les trois piliers de cette nouvelle vague sont clairs. D’abord, la vidéosurveillance des salariés sans justification légale. Les caméras ne sont pas interdites sur le lieu de travail, mais elles ne doivent pas servir au contrôle permanent du personnel en dehors de zones sensibles. Plusieurs restaurants et commerces en gare ont été sanctionnés pour cette violation.
Ensuite, les cookies publicitaires imposés sans consentement explicite. Ce n’est pas une nouveauté juridique, mais la CNIL accélère la répression. Plusieurs sites de billetterie et plateformes de télémarketing ont été sanctionnés pour avoir déposé des cookies publicitaires avant même que vous n’ayez cliqué sur « Accepter ». Il ne suffit plus de demander l’autorisation : il faut la demander avant toute action de suivi.
Enfin, le droit à l’oubli. Quand vous demandez la suppression de vos données, les entreprises doivent s’exécuter dans un délai raisonnable. Or, huit sanctions ont concerné le non-respect des droits d’accès et d’effacement, ce qui montre que beaucoup de petites structures ignorent encore cette obligation ou la contournent.
Des amendes trop légères ?
La vraie question est de savoir si cette accélération tiendra sur la durée. Le plafond de 20 000 euros de la procédure simplifiée restera-t-il suffisant pour dissuader les récidivistes ? Pour les petites entreprises, oui. Pour les structures plus grandes, c’est encore un coût de faire affaire. Mais le signal politique est clair : la CNIL montre que chaque violation, quelle que soit la taille de l’auteur, sera punie. C’est un changement de rapport de force qui était attendu.
Pour les citoyens, l’enjeu est concret. Des entreprises plus respectueuses de vos données, c’est moins de publicités intrusives, moins de risques de fuites d’informations personnelles et, à terme, moins de coûts cachés liés à l’exploitation commerciale de votre vie privée. La CNIL démontre qu’elle n’attend plus les enquêtes laborieuses ou les arrêtés du Conseil d’État : elle frappe vite, sur plainte directe, et elle frappe partout.
