Cookies et RGPD : les 8 erreurs qui coûtent cher aux TPE françaises en 2026

En 2026, la CNIL a prononcé plus de 150 sanctions liées aux cookies, dont 35 concernent directement des TPE et PME. Les amendes vont de 1 500 € à 300 000 € — proportionnelles au chiffre d'affaires. Voici les 8 erreurs qui reviennent systématiquement.

Le rappel légal en une phrase

Aucun cookie non-essentiel ne doit être déposé avant le consentement explicite de l'utilisateur. Google Analytics, Meta Pixel, YouTube embed, Google Fonts en CDN, Google Maps, hébergement d'images externes : tous exigent un consentement préalable — pas un simple « bandeau informatif ».

Le tableau des 8 erreurs les plus sanctionnées

Les 5 signaux qu'une agence web maîtrise vraiment le RGPD

1. 01Elle vous propose un contrat de sous-traitance article 28 sans que vous le demandiez.
2. 02Elle héberge en France ou en UE (data centers identifiés, pas juste « Europe »).
3. 03Elle configure un CMP (Consent Management Platform) avec traceurs bloqués par défaut.
4. 04Elle auto-héberge les polices et les vidéos — pas de Google Fonts CDN ni de YouTube embed avant consentement.
5. 05Elle documente le registre des traitements et vous en remet une copie.

Ces 5 points constituent le socle minimal. C'est exactement ce que couvre notre offre de création de site français conforme RGPD — indissociable d'un hébergement souverain sur data center français.

La conformité cookies n'est pas un sujet juridique lointain. C'est une décision d'architecture technique qui se prend le premier jour d'un projet.

Ce que la CNIL sanctionne vraiment en 2025-2026

La CNIL a publié en 2024 un bilan précisant que 73 % des mises en demeure liées aux cookies concernent 3 manquements récurrents : le bouton « Tout refuser » manquant ou moins visible que « Tout accepter », le dépôt de cookies avant recueil du consentement, et l'information insuffisante sur les finalités et les sous-traitants. Les amendes publiques dépassent régulièrement 50 000 € pour les PME et plusieurs millions pour les grands comptes.

Depuis 2023, la CNIL utilise également son outil « Cookiebot audit » en interne pour scanner automatiquement les sites français les plus consultés. Vous n'avez donc pas besoin d'une plainte utilisateur pour être audité : le contrôle peut être entièrement automatisé et à distance.

Les 3 signaux qui déclenchent un contrôle CNIL

1. 01Plainte d'un utilisateur via le formulaire en ligne de la CNIL (traitée sous 3 à 12 mois)
2. 02Signalement automatique par un scan sectoriel (e-commerce, santé, finance surveillés en priorité)
3. 03Enquête liée à un incident de sécurité déclaré ou une fuite de données publique

Choisir sa CMP (Consent Management Platform) en 2026

Une CMP ne se choisit pas au hasard. Les critères essentiels : conformité IAB TCF 2.2, hébergement des logs de consentement en Europe, absence de cookies tiers sur la bannière elle-même, historique consultable 5 ans (durée légale de conservation des preuves), et coût prévisible en fonction du trafic. Les CMP américaines gratuites (OneTrust free, Osano free) sont souvent limitées à 5 000 visites/mois et hébergent les preuves aux États-Unis — à éviter pour les entreprises françaises.

Alternatives françaises et européennes recommandées : Axeptio (français, 15 à 90 €/mois), Didomi (français, à partir de 100 €/mois), Tarte au Citron (open source, gratuit, auto-hébergement), Klaro! (open source allemand). Toutes stockent les preuves en UE et respectent nativement les recommandations CNIL.

Le registre des consentements : pièce maîtresse

En cas de contrôle, la CNIL vous demandera de prouver que chaque cookie a été déposé avec consentement valide. Cela signifie conserver, pour chaque utilisateur : l'horodatage précis, l'adresse IP anonymisée, la version de la bannière affichée, et les finalités acceptées ou refusées. Cette preuve doit être conservée au moins 3 ans après le retrait ou le renouvellement du consentement — la CNIL recommande 5 ans par prudence.