Amendes cookies en 2026 : qui a été sanctionné, combien et pourquoi

Les amendes pour les cookies ne sont plus des événements rares réservés aux plus grandes plateformes. Depuis septembre 2025, la CNIL a, à elle seule, sanctionné Google de 325 millions d’euros, Shein de 150 millions d’euros, Condé Nast de 750 000 € et American Express de 1,5 million d’euros pour des manquements liés aux cookies, publié une décision de 3,5 millions d’euros qui visait notamment onze cookies déposés avant tout choix, et prononcé 23 sanctions plus modestes au titre de sa procédure simplifiée entre janvier et juillet 2026, plusieurs d’entre elles pour des bandeaux où accepter prenait un clic et refuser un détour. Les motifs, eux, sont les cinq mêmes, année après année.

Les amendes, vérifiées

Le tableau recense les décisions où les cookies ou les traceurs étaient le motif, ou l’un des motifs principaux, avec les montants et les dates tels que publiés par l’autorité. Les entreprises sont nommées quand l’autorité les a nommées ; la CNIL anonymise ses décisions publiées après un certain délai, si bien que certaines entrées plus anciennes sont confirmées par sa liste des sanctions et par le texte sur Légifrance.

Deux choses ressortent. Les amendes pour les cookies sont prononcées sur le fondement de la loi nationale qui transpose la directive ePrivacy (en France, l’article 82 de la loi Informatique et Libertés), et non dans le cadre du guichet unique du RGPD : une autorité française peut donc sanctionner une entreprise dont le siège est en Irlande ou en Chine pour ses visiteurs français. Et les affaires américaines montrent la même défaillance dans un autre modèle juridique : le modèle de l’opposition (opt-out) demande moins, mais il exige toujours que refuser soit aussi simple qu’accepter, et que cela fonctionne.

Les cinq motifs qui se répètent

1. Des cookies avant le choix

Shein, American Express, Condé Nast et la société non nommée de l’affaire à 3,5 millions d’euros ont tous déposé des cookies « dès l’arrivée des utilisateurs sur le site, avant même qu’ils n’interagissent avec le bandeau d’information », selon les mots de la CNIL à propos de Shein. C’est le manquement le plus simple à détecter de l’extérieur : ouvrez le site dans un navigateur vierge et regardez. La solution consiste à bloquer les scripts jusqu’au consentement, pas à poser un bandeau par-dessus des scripts qui se sont déjà exécutés.

2. Refuser est plus difficile qu’accepter

Google et Facebook (2021), Microsoft et TikTok (2022), et une partie des sanctions simplifiées de 2026 : un clic pour accepter, un écran de paramètres pour refuser. Les lignes directrices de la CNIL de septembre 2020 exigent que refuser soit aussi simple qu’accepter, et la task force « bandeaux cookies » du CEPD (Comité européen de la protection des données) a convenu en 2023 qu’un bandeau avec un bouton d’acceptation et sans option de refus sur la même couche constitue un manquement pour une large majorité d’autorités. Voir le guide du bouton Tout refuser.

3. Le refus ou le retrait n’arrête rien en réalité

Yahoo (au moins vingt cookies publicitaires sans consentement préalable, et un retrait qui coûtait leur messagerie aux utilisateurs), Orange (cookies encore lus après le retrait, « même si ces données ne sont pas utilisées par la suite »), American Express et Condé Nast. Un bouton de refus qui ne déconnecte pas les balises est traité comme l’absence de bouton de refus.

4. Une information vague et de faux libellés « essentiels »

La première couche de TikTok ne donnait « qu’une description générale et approximative des finalités » ; Condé Nast présentait des cookies comme strictement nécessaires sans information utile. Le rapport de la task force a relevé que les éditeurs de sites doivent pouvoir démontrer pourquoi chaque cookie qu’ils qualifient d’essentiel l’est vraiment.

5. Aucune preuve du consentement

La décision de 2023 à 40 millions d’euros contre la société de publicité reposait sur l’article 7, paragraphe 1, du RGPD : elle ne pouvait pas démontrer que les visiteurs des sites de ses partenaires avaient consenti à son traceur, et une clause contractuelle obligeant les partenaires à recueillir le consentement ne suffisait pas. Les enregistrements de consentement ne sont pas de la paperasse ; ils sont votre défense.

Qui est sanctionné

Les montants qui font les titres visent les grandes plateformes, parce que les amendes sont proportionnées au chiffre d’affaires et à l’audience, mais la procédure simplifiée montre l’autre extrémité : une société de billetterie sanctionnée de 15 000 € le 26 mars 2026, des commerçants, des éditeurs, une collectivité locale et une agence de voyages sanctionnés de 2 000 € à 20 000 € fin 2025, tous pour des cookies. Dix-neuf des 23 sanctions simplifiées de janvier à juillet 2026 faisaient suite à des plaintes. N’importe qui peut en déposer une, et les contrôleurs de la CNIL commencent par charger le site dans un navigateur vierge.

Ce que cela signifie pour votre site

Le test de conformité qu’applique une autorité est court et technique : avant tout clic, le site ne dépose-t-il que des cookies nécessaires ? Après « Tout refuser », est-ce toujours vrai ? Après un retrait, les anciens cookies cessent-ils d’être lus ? Le bandeau affiche-t-il « Tout refuser » à côté de « Tout accepter » ? Pouvez-vous produire l’enregistrement de consentement d’une visite donnée ? Si la réponse aux cinq questions est oui, les débats sur le design du bandeau deviennent secondaires. La checklist d’audit des cookies déroule ce test ; un scan de votre propre site avec le scanner de cookies gratuit montre ce qui se charge avant consentement sur cinq pages au plus, sans compte. Les attentes des autorités derrière ces amendes sont expliquées dans notre article sur les lignes directrices de la CNIL et celui sur le rapport de la task force du CEPD.