Amende CNIL : une petite app peut-elle vraiment être sanctionnée ?

Deux erreurs se font face, et elles sont aussi fausses l'une que l'autre. La première : croire que le RGPD, c'est 20 millions d'euros d'amende, donc un truc de multinationale qui ne te concerne pas. La seconde : croire qu'on est trop petit pour que la CNIL vienne regarder.

La réalité est entre les deux, et elle est moins connue. Depuis 2022, la CNIL dispose d'une procédure de sanction simplifiée, plafonnée à 20 000 euros, faite exactement pour les cas moins complexes. En 2024, la majorité de ses sanctions sont passées par cette voie, et les TPE et PME en ont été les premières cibles. Donc oui, une petite app peut être sanctionnée. Voyons avec quels vrais chiffres, ce qui déclenche une sanction, et le coût que personne ne calcule.

Les vrais chiffres, pas l'épouvantail

Le fameux 20 millions d'euros ou 4 % du chiffre d'affaires mondial existe bien. C'est le plafond maximum du RGPD. Mais c'est un plafond, pas un tarif, et il est calibré pour les géants. Une amende record contre Meta ne dit rien de ce que risque ton app à 200 utilisateurs.

Ce qui te concerne, c'est l'autre étage. La procédure de sanction simplifiée, créée par un décret de 2022, permet à la CNIL de traiter vite les dossiers moins complexes. Trois caractéristiques à retenir :

• L'amende est plafonnée à 20 000 euros.
• La sanction peut s'accompagner d'une injonction sous astreinte, jusqu'à 100 euros par jour de retard.
• Ces sanctions ne sont pas rendues publiques, contrairement aux grosses.

Et ce n'est pas resté marginal. En 2024, cette procédure simplifiée a représenté la grande majorité des sanctions prononcées par la CNIL, et le mouvement s'est confirmé en 2025. Autrement dit, la CNIL s'est équipée pour sanctionner beaucoup, vite, et petit. La taille ne te protège plus.

La CNIL s'attaque-t-elle vraiment aux petites structures ?

Oui, de plus en plus, et c'est un vrai changement de ces dernières années. Longtemps, la CNIL frappait fort mais rarement, sur des gros dossiers. Depuis la procédure simplifiée, elle frappe souvent, sur des dossiers plus petits. Les TPE et PME sont devenues les premières concernées.

Mais attention à ne pas mal comprendre le mécanisme. La CNIL ne se lève pas un matin pour scanner Internet et sanctionner les petits au hasard. Ce qui déclenche presque toujours un dossier, c'est un signalement : un utilisateur mécontent qui porte plainte, un ancien client, parfois un concurrent. La plainte d'une seule personne suffit à ouvrir la porte.

C'est là que ta taille ne te sauve pas. Il te suffit d'un utilisateur énervé qui a demandé la suppression de son compte trois fois sans réponse, et qui décide de le signaler. À partir de là, ton dossier existe, petit ou pas.

Ce qui déclenche une sanction (rarement la taille)

Quand on regarde ce que la CNIL sanctionne vraiment sur les petites structures, ce n'est presque jamais un piratage sophistiqué. Ce sont des manquements bêtes et évitables. Les plus fréquents :

• Ne pas répondre à une demande de droit. Un utilisateur demande l'accès à ses données ou leur suppression, et il n'obtient rien. C'est l'un des manquements les plus sanctionnés en procédure simplifiée.
• Aucune mesure de sécurité de base. L'article 32 du RGPD demande des mesures « appropriées ». Une base ouverte, des mots de passe mal protégés, un protocole de chiffrement obsolète : ça tombe dedans.
• Ne pas informer les personnes. Pas de politique de confidentialité, ou une page vide qui ne dit rien de réel.
• Ne pas avoir notifié une fuite qu'on aurait dû déclarer sous 72 heures.

Le point sécurité te concerne directement si tu vibe-codes. Une base Supabase avec le RLS désactivé, c'est un manquement à l'article 32 servi sur un plateau. Sur les apps que je scanne, environ 70 % ont ce verrou désactivé. Chacune est, techniquement, dans le viseur. Le fond de la faille est ici : RLS désactivé, pourquoi ta base est lisible.

Le coût que personne ne calcule

Concentrer le débat sur le montant de l'amende, c'est passer à côté du vrai risque. Le vrai risque, pour un fondateur solo, ce n'est pas la ligne de 20 000 euros. C'est ce qui vient autour.

Une fuite qui se sait, c'est des utilisateurs qui partent. C'est un post qui tourne sur X ou LinkedIn avec ton nom dessus. C'est la confiance qui s'effondre, et pour un produit qui vend du sérieux, la confiance est le seul capital qui compte. J'ai vu passer une app de réservation médicale avec un fichier de configuration exposé en clair, et la mention « vos données sont protégées » affichée juste à côté. Le jour où ça se voit, aucune amende n'est nécessaire pour couler le projet. Le mensonge affiché suffit.

Ajoute à ça le temps. Un dossier CNIL, même une procédure simplifiée, ça se gère, ça se répond, ça se documente. Pour un fondateur seul, c'est des semaines de stress et d'énergie prises sur le produit. Comparé à ça, activer un RLS et écrire deux pages légales, c'est une après-midi.

Comment ne pas être le prochain dossier

La bonne nouvelle, c'est que les manquements sanctionnés sont aussi les plus faciles à éviter. Tu n'as pas besoin d'un budget conformité. Tu as besoin de fermer trois trous.

• Ferme ta base. Vérifie ton RLS en deux minutes et active-le. C'est le manquement sécurité le plus courant et le plus facile à corriger.
• Réponds aux demandes. Prévois un moyen simple pour qu'un utilisateur demande ou supprime ses données, et traite-le. La plupart des sanctions simplifiées viennent de là.
• Sois en règle sur l'information. Une politique de confidentialité réelle et des mentions légales correctes. Une heure de travail.

Le reste de tes obligations tient dans le RGPD pour ton app no-code. Mais si tu ne fais que ces trois choses, tu sors déjà de la zone où la CNIL sanctionne les petits.

FAQ

Un auto-entrepreneur peut-il vraiment être sanctionné par la CNIL ?

Oui. Le statut ne change rien à l'application du RGPD. Un auto-entrepreneur qui traite des données de clients ou de prospects est responsable de traitement, et peut faire l'objet d'une plainte puis d'une sanction, y compris en procédure simplifiée. Ce n'est pas le statut qui compte, c'est le fait de traiter des données.

La CNIL prévient-elle avant de sanctionner ?

Souvent, oui. Dans beaucoup de cas, elle commence par une mise en demeure : elle te demande de corriger, avec un délai. Si tu te mets en conformité, le dossier s'arrête souvent là, sans amende. C'est une raison de plus de ne pas faire l'autruche : le premier contact est en général une chance de corriger. Mais ce n'est pas une garantie, une sanction directe reste possible sur les manquements graves.

L'amende est-elle rendue publique ?

Ça dépend de la procédure. Les sanctions de la procédure simplifiée, plafonnées à 20 000 euros, ne sont pas rendues publiques. Les sanctions ordinaires, plus lourdes, le sont souvent, et c'est parfois la publicité qui fait le plus mal, plus que le montant.

Le calcul qui vaut vraiment le coup

Vingt mille euros de plafond, des semaines de dossier, une réputation abîmée. En face : une après-midi pour fermer ta base et poser tes pages. Le calcul n'est pas compliqué.

Colmate te montre en trente secondes où en est ton app : clés exposées dans le navigateur, code source servi en clair, en-têtes manquants, et si ta base Supabase présente le profil d'une exposition à vérifier. Depuis l'URL publique seule, en lecture seule, sans jamais toucher à tes données. Je n'ai pas besoin de ton code, juste du lien que tout visiteur voit déjà.

Lance un scan gratuit. Le meilleur moyen de ne pas finir dans un dossier CNIL, c'est de voir ce qui est ouvert pendant que c'est encore toi qui regardes.