Amendes CNIL pour les cookies : montants, procédure et sanctions

Qui sanctionne, et sur quelle base ?

En France, le dépôt et la lecture de cookies sont régis par l’article 82 de la loi Informatique et Libertés, qui transpose la directive ePrivacy (voir notre guide Cookies et RGPD : les règles de la CNIL). C’est la CNIL qui contrôle son respect et prononce les sanctions.

Point important : le mécanisme du « guichet unique » du RGPD, qui confie un dossier à l’autorité du pays où l’entreprise a son établissement principal, ne s’applique pas aux cookies. La CNIL est donc compétente pour tout site visité par des internautes situés en France, même si l’éditeur est établi en Irlande ou aux États-Unis. Le Conseil d’État l’a confirmé le 28 janvier 2022 en validant l’amende de 100 millions d’euros infligée à Google, et la CNIL le rappelle dans sa décision contre Shein de 2025.

Le RGPD reste applicable aux données personnelles collectées ensuite grâce aux cookies : un même contrôle peut donc relever des manquements aux deux textes.

Ce que la CNIL peut décider

L’article 20 de la loi Informatique et Libertés prévoit une gradation des mesures.

Avant toute sanction

La CNIL peut adresser un rappel aux obligations légales ou une mise en demeure de se mettre en conformité dans un délai qu’elle fixe. Une mise en demeure n’est pas une sanction, mais elle peut être rendue publique, et ne pas y donner suite expose à des poursuites.

Les sanctions de la formation restreinte

En procédure ordinaire, la formation restreinte (l’organe de la CNIL chargé des sanctions) peut notamment prononcer :

• un rappel à l’ordre ;
• une injonction de mettre le traitement en conformité, avec une astreinte pouvant aller jusqu’à 100 000 euros par jour de retard ;
• une amende administrative ne pouvant excéder 10 millions d’euros ou, pour une entreprise, 2 % du chiffre d’affaires annuel mondial de l’exercice précédent, le montant le plus élevé étant retenu.

Pour les manquements au RGPD visés aux paragraphes 5 et 6 de son article 83, ces plafonds sont portés à 20 millions d’euros et 4 %. Lors de ses mises en demeure sur les cookies, la CNIL a rappelé que les organismes encouraient jusqu’à 2 % de leur chiffre d’affaires.

La procédure simplifiée

Créée par la loi n° 2022-52 du 24 janvier 2022 et précisée par un décret du 8 avril 2022, la procédure simplifiée (article 22-1) concerne les dossiers sans difficulté particulière, par exemple parce que la jurisprudence est établie. Un seul membre de la formation restreinte statue, et ses décisions ne peuvent pas être rendues publiques. Les mesures sont limitées :

Le relèvement pour les organismes de plus de 50 millions d’euros de chiffre d’affaires résulte de la loi n° 2026-403 du 26 mai 2026 de simplification de la vie économique.

Les principales sanctions pour cookies

D’autres décisions publiées sont aujourd’hui anonymisées, comme les quatre amendes de 3 à 60 millions d’euros prononcées fin décembre 2022 contre un éditeur de logiciels, un fabricant d’ordinateurs, une plateforme de contenus et un éditeur de jeux mobiles.

Ce ne sont pas que des géants. En 2025, la CNIL a prononcé 83 sanctions, dont 67 en procédure simplifiée, et indique avoir sanctionné 21 organismes pour des manquements liés aux traceurs. Sa liste publique montre de nombreuses amendes de 2 000 à 20 000 euros contre des commerces, des éditeurs de presse, des PME ou une collectivité territoriale.

Comment la CNIL contrôle en pratique

• Des contrôles en ligne. La CNIL constate elle-même, depuis un navigateur, quels cookies sont déposés avant et après un choix. Après la fin du délai d’adaptation au 31 mars 2021, elle a mené 125 contrôles en ligne et adressé 94 mises en demeure, en trois vagues (mai 2021, fin juin 2021, décembre 2021).
• Des plaintes. Sur les 23 sanctions simplifiées annoncées par la CNIL pour la période de janvier à début juillet 2026, 19 faisaient suite à une plainte. L’amende contre Condé Nast trouve son origine dans une plainte de l’association noyb déposée en 2019.
• La mise en demeure d’abord, sauf pour ceux qui « ne pouvaient ignorer » les règles. Les grands acteurs ont été sanctionnés directement ; pour les autres, la CNIL commence souvent par une mise en demeure. Une récidive après mise en demeure pèse dans le montant, comme pour Condé Nast.
• La mise en conformité en cours de procédure est prise en compte : elle peut réduire l’amende et rendre une injonction inutile, comme pour Shein, mais elle n’efface pas le manquement passé.

Les autres risques

Le RGPD (article 82) ouvre aussi un droit à réparation à toute personne ayant subi un dommage. Dans l’arrêt Österreichische Post du 4 mai 2023 (C-300/21), la Cour de justice de l’UE a jugé qu’une simple violation ne suffit pas : la personne doit prouver un dommage, sans qu’un seuil de gravité puisse être exigé. À cela s’ajoute un risque de réputation : les grandes sanctions de la CNIL sont publiées, avec le nom de l’organisme.

Comment éviter une sanction

Les manquements sanctionnés se répètent d’une décision à l’autre. Vérifiez en priorité :

1. Aucun cookie soumis au consentement n’est déposé avant le choix de l’internaute, y compris ceux des vidéos intégrées, des pixels publicitaires et des extensions.
2. « Tout refuser » est aussi simple que « Tout accepter », au même niveau et dès le premier écran.
3. Le refus et le retrait sont réellement respectés : aucun nouveau cookie déposé, aucun cookie existant encore lu.
4. L’information est complète : finalités, responsables, moyens de refuser et de retirer son consentement.
5. Vous pouvez prouver le consentement et votre configuration en cas de contrôle.
6. Vous répondez à une mise en demeure dans le délai fixé : c’est souvent la dernière étape avant l’amende.

Cookie Confirm automatise ces contrôles : scan de votre site chaque mois (et autant de nouveaux scans que vous voulez), blocage des scripts jusqu’au consentement, Google Consent Mode v2, journal des consentements conservé 12 mois et exportable. Pour 7,95 € par mois et par site, avec un service d’installation gratuit et un essai de 7 jours sans carte bancaire.

Sources

• CNIL : loi Informatique et Libertés (articles 20, 22-1 et 82)
• CNIL : la procédure de sanction simplifiée
• CNIL : réforme des procédures correctrices (mise à jour du 15 septembre 2026, loi n° 2026-403)
• CNIL : les sanctions prononcées par la CNIL
• CNIL : bilan du plan d’action cookies (contrôles, mises en demeure, sanctions 2020-2022)
• CNIL : mises en demeure de mai 2021
• Conseil d’État : sanction de Google confirmée (28 janvier 2022)
• CNIL : sanction de 50 millions d’euros contre Orange
• CNIL : sanction de 325 millions d’euros contre Google
• CNIL : sanction de 150 millions d’euros contre Shein
• CNIL : sanction de 750 000 euros contre Les Publications Condé Nast
• CNIL : sanction de 1,5 million d’euros contre American Express
• CNIL : bilan des sanctions 2025
• CNIL : 23 sanctions simplifiées depuis janvier 2026
• CJUE, 4 mai 2023, Österreichische Post, C-300/21