Amendes RGPD et CNIL : combien risque un site non conforme ?

Tu as lancé ton site. Il tourne, il vend, il génère des leads. Et quelque part en bas de page, tu as collé des mentions légales trouvées sur un générateur gratuit, un bandeau cookies qui se déclenche tout seul, et des CGV copiées chez un concurrent. Tu te dis que tant que personne ne se plaint, tout va bien.

Le problème, c'est que la sanction n'attend pas forcément une plainte. Une seule réclamation d'un visiteur, un contrôle aléatoire de la CNIL, ou un client mécontent qui signale tes CGV à la DGCCRF, et le risque devient très réel. Et il se chiffre rarement en dizaines d'euros.

Ce que beaucoup d'entrepreneurs ignorent, c'est l'ampleur des plafonds prévus par la loi. On parle de dizaines de milliers d'euros pour de simples mentions légales absentes, et de plusieurs millions pour un manquement RGPD sérieux. Faisons le tour, type de manquement par type de manquement, de ce que tu risques vraiment.

Mentions légales absentes : jusqu'à 375 000 € et une peine pénale

C'est le manquement le plus courant, et l'un des plus mal compris. Beaucoup pensent que les mentions légales sont une formalité « pour faire propre ». En réalité, leur absence est un délit pénal.

L'article 6 VI de la LCEN (Loi pour la confiance dans l'économie numérique) impose à tout éditeur de site de rendre accessibles certaines informations : identité, coordonnées, numéro RCS ou SIREN, hébergeur, etc. Ne pas le faire t'expose à :

• 75 000 € d'amende pour une personne physique (entrepreneur individuel, auto-entrepreneur),
• 375 000 € d'amende pour une personne morale (société),
• et un an d'emprisonnement pour une personne physique.

Oui, tu as bien lu : une peine de prison est théoriquement prévue. En pratique, elle n'est quasiment jamais prononcée pour un défaut de mentions légales, mais le simple fait qu'elle figure dans le texte montre que le législateur ne considère pas ça comme un détail.

Et ce n'est pas la CNIL qui sanctionne ici, mais le juge pénal, souvent saisi à la suite d'un litige (un client, un concurrent, un consommateur). Le risque est donc surtout déclenché par un conflit existant : quand ça part en justice, l'absence de mentions légales devient une faute supplémentaire à ton dossier.

Le bon réflexe : des mentions légales complètes et à jour ne te protègent pas seulement d'une amende. Elles crédibilisent ton site et rassurent tes visiteurs avant même qu'ils achètent.

Manquement RGPD : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires

C'est ici que les montants deviennent vertigineux. Le Règlement général sur la protection des données (RGPD) prévoit, à son article 83, deux paliers de sanctions administratives prononcées par la CNIL :

• jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial (le montant le plus élevé étant retenu) pour les manquements « de premier niveau » : défaut de tenue d'un registre, manque de coopération, sécurité insuffisante des données ;
• jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial pour les manquements les plus graves : traitement de données sans base légale, non-respect des droits des personnes, transfert illicite de données.

Le détail qui change tout : c'est le montant le plus élevé entre la somme fixe et le pourcentage. Pour une multinationale, le 4 % du CA mondial peut représenter des centaines de millions. Pour une PME, c'est le plafond en euros qui s'applique, mais il reste largement de quoi mettre une petite structure à terre.

Concrètement, qu'est-ce qui déclenche une amende RGPD ?

Sur un site web classique, les manquements les plus fréquents sont :

• Un formulaire de contact ou une inscription newsletter qui collecte des données sans information claire ni base légale,
• L'absence de politique de confidentialité expliquant quelles données tu collectes, pourquoi, combien de temps, et comment l'utilisateur exerce ses droits,
• Des données stockées sans mesure de sécurité sérieuse (par exemple une base clients accessible en clair),
• L'impossibilité, pour un utilisateur, d'accéder à ses données ou de les faire supprimer.

La CNIL a prononcé ces dernières années des sanctions importantes contre des entreprises de toutes tailles, et a clairement indiqué qu'elle ne réservait pas son attention aux géants du numérique. Une grande partie de ses contrôles part d'une plainte d'un particulier : un internaute qui ne reçoit pas de réponse à sa demande de suppression peut, en quelques clics, saisir l'autorité.

Cookies non conformes : jusqu'à 2 % du chiffre d'affaires

Le bandeau cookies est devenu le symbole de la conformité… et le terrain de jeu favori des contrôles automatisés. La CNIL est particulièrement active sur ce sujet, parce qu'il est facile à vérifier : il suffit de visiter ton site pour constater si tu respectes les règles.

Les exigences sont simples mais strictes :

• Aucun cookie non essentiel ne doit être déposé avant le consentement de l'utilisateur (pas de traceur publicitaire ou analytique au chargement de la page),
• Refuser doit être aussi simple qu'accepter : un bouton « Tout accepter » sans bouton « Tout refuser » au même niveau est non conforme,
• Le consentement doit être libre, éclairé et spécifique, et l'utilisateur doit pouvoir le retirer.

En cas de manquement, la CNIL peut prononcer une amende pouvant atteindre 2 % du chiffre d'affaires annuel mondial dans le cadre de ses pouvoirs de sanction. Le piège, c'est que beaucoup de sites croient être en règle parce qu'ils affichent un bandeau — alors que ce bandeau dépose les traceurs avant le clic, ou ne propose pas de vrai refus. Techniquement, afficher un bandeau mal configuré peut être pire que rien : ça prouve que tu connaissais la règle et que tu l'as mal appliquée.

C'est typiquement le genre de point invisible à l'œil nu mais détectable en quelques secondes par un scan. Avec Lumiq, tu peux vérifier gratuitement en 30 secondes si ton site dépose des cookies avant consentement et obtenir la liste exacte des points à corriger.

CGV et pratiques commerciales : la DGCCRF veille

Si tu vends en ligne, tu entres dans le périmètre du Code de la consommation, et l'autorité compétente n'est plus la CNIL mais la DGCCRF (Direction générale de la concurrence, de la consommation et de la répression des fraudes).

Les manquements classiques d'un site e-commerce ou d'un site de prestations :

• Absence de CGV ou CGV incomplètes (un consommateur doit pouvoir en prendre connaissance avant de commander),
• Droit de rétractation mal indiqué ou absent (14 jours pour la plupart des achats en ligne entre un pro et un particulier),
• Informations précontractuelles manquantes : prix total, délais de livraison, modalités de paiement,
• Pratiques commerciales trompeuses : faux avis, fausses promotions, mentions ambiguës.

La DGCCRF peut prononcer des amendes administratives et engager des poursuites pour pratiques commerciales trompeuses, qui relèvent du délit. Les montants varient selon la nature de l'infraction, mais les pratiques trompeuses peuvent entraîner des amendes lourdes, calculées elles aussi en pourcentage du chiffre d'affaires dans les cas les plus graves. Là encore, le déclencheur est souvent un signalement de consommateur via la plateforme SignalConso.

Qui sanctionne, et comment se déroule un contrôle ?

Retenons d'abord qu'il n'y a pas un seul « gendarme » du web, mais plusieurs autorités selon le manquement :

• La CNIL pour tout ce qui touche aux données personnelles et aux cookies (RGPD),
• La DGCCRF pour les obligations de consommation (CGV, rétractation, pratiques commerciales),
• Le juge (pénal ou civil) pour l'absence de mentions légales et les litiges qui en découlent.

Un contrôle ne ressemble pas forcément à une descente surprise. Dans la plupart des cas, il commence à distance : l'autorité consulte ton site, vérifie tes bandeaux, tes mentions, tes formulaires. Pour la CNIL, le déroulé typique est une mise en demeure : elle te notifie les manquements et te laisse un délai pour te corriger. Si tu obtempères, l'affaire s'arrête souvent là. Si tu ignores la mise en demeure, alors la sanction tombe — et elle peut être rendue publique, ce qui ajoute un coût réputationnel au coût financier.

Les petites structures ne sont pas épargnées

C'est l'erreur la plus dangereuse : croire que « je suis trop petit pour intéresser la CNIL ». Faux. La majorité des contrôles partent d'une plainte individuelle, et un particulier mécontent ne regarde pas la taille de ton entreprise. Un auto-entrepreneur, un artisan, une asso ou une boutique en ligne de quartier peuvent tout à fait recevoir une mise en demeure.

La loi ne prévoit pas non plus d'exemption pour les petites entreprises : le RGPD s'applique dès que tu traites des données personnelles, peu importe ton chiffre d'affaires. La seule différence, c'est que le plafond en pourcentage te concernera moins — mais le plafond fixe, lui, reste largement dissuasif.

Le calcul qui change tout : la conformité coûte bien moins cher que l'amende

Mettons les choses en perspective. Une mise en conformité complète d'un site — mentions légales, politique de confidentialité, CGV, gestion correcte des cookies — représente un coût modeste : quelques heures de travail, ou un outil dédié. Compare ça aux plafonds qu'on vient de voir :

• 75 000 € à 375 000 € pour des mentions légales absentes,
• jusqu'à 20 M€ ou 4 % du CA pour un manquement RGPD,
• jusqu'à 2 % du CA pour des cookies non conformes.

Le rapport coût/risque est sans appel. Se mettre en règle, ce n'est pas une dépense de confort : c'est l'assurance la moins chère que tu puisses souscrire pour ton activité en ligne. Et au-delà de l'amende évitée, un site conforme inspire confiance, convertit mieux et te protège dans n'importe quel litige.

Le vrai obstacle, ce n'est pas le coût, c'est de savoir où tu en es. La plupart des entrepreneurs ne connaissent pas leurs propres manquements. C'est exactement pour ça que Lumiq scanne ton site et te donne un score de conformité en 30 secondes, avec la liste précise des documents et réglages qui te manquent — sans avocat, sans jargon, et sans engagement. Tu vois immédiatement ce que tu risques, et tu peux générer les documents légaux qui te font défaut.

Questions fréquentes

Un petit site sans e-commerce peut-il vraiment recevoir une amende ?

Oui. Dès qu'un site collecte des données personnelles — un simple formulaire de contact, une newsletter, des cookies analytiques — le RGPD s'applique, quelle que soit la taille de la structure. Et l'absence de mentions légales est un délit valable pour tout éditeur de site, y compris un blog ou un site vitrine. La taille de ton activité ne te met pas à l'abri d'une plainte.

La CNIL prévient-elle avant de sanctionner ?

Dans la grande majorité des cas, la CNIL commence par une mise en demeure : elle liste les manquements et accorde un délai pour les corriger. Si tu te mets en conformité dans ce délai, la procédure s'arrête généralement sans sanction financière. C'est tout l'intérêt d'anticiper : corriger un problème détecté à l'avance coûte infiniment moins cher que d'attendre la mise en demeure.

Un générateur gratuit de mentions légales suffit-il à être en règle ?

Pas toujours. Ces générateurs produisent souvent des documents génériques, incomplets ou obsolètes, qui ne reflètent pas ton activité réelle (statut juridique, données collectées, modalités de vente). Un document présent mais inadapté peut être considéré comme non conforme. L'enjeu n'est pas seulement d'avoir une page « mentions légales », mais qu'elle contienne réellement les informations exigées par la loi.

Comment savoir si mon site est conforme sans payer un avocat ?

Tu peux commencer par un diagnostic automatisé. Lumiq scanne ton site, vérifie tes mentions légales, ta politique de confidentialité, tes CGV et la gestion de tes cookies, puis te renvoie un score de conformité et la liste des points à corriger en 30 secondes. C'est gratuit, et ça te donne une vision claire de ton exposition au risque avant d'engager le moindre euro.