Sanctions CNIL 2026 : l'amende Uber et la traque des cookies

Une amende record pour des décisions prises par algorithme

Les sanctions CNIL 2026 s'ouvrent sur un chiffre spectaculaire : 824 990 000 euros, montant de l'amende infligée à Uber B.V. et Uber Technologies Inc. au terme d'une procédure conjointe entre la CNIL et l'Autorité néerlandaise de protection des données. En cause, des décisions individuelles automatisées visant les chauffeurs de la plateforme : désactivation temporaire du compte en cas de soupçon de fraude, désactivation temporaire ou définitive en cas de mauvaises notes attribuées par les clients, prises entre 2018 et 2022 sans intervention humaine réelle dans le processus. La plainte collective d'origine remonte à 2020 et émane de la Ligue des droits de l'Homme, pour le compte de plus de 170 chauffeurs, puis complétée en 2021. Pour un éditeur de site, la leçon est directe : dès qu'un service trie, note ou refuse des utilisateurs de façon entièrement automatique, avec un effet significatif sur eux, le RGPD impose une intervention humaine possible, une information sur la logique appliquée et une voie de recours.

Cookies sans consentement : une surveillance désormais automatisée

Depuis le début de 2026, la CNIL fait tourner un robot qui parcourt en continu les sites français et vérifie la présence et la conformité des bandeaux de consentement. Cette surveillance industrialisée alimente la procédure simplifiée : au 6 juillet 2026, vingt-trois sanctions avaient été prononcées par cette voie depuis janvier, pour environ 133 750 euros au total, visant les bandeaux trompeurs, ceux qui rendent le refus moins accessible que l'acceptation, ou qui déposent des traceurs avant tout choix. Le fondement juridique reste l'article 82 de la loi Informatique et Libertés, qui transpose la directive européenne de 2002 sur la vie privée et les communications électroniques. Le mouvement n'est pas nouveau : en quatre ans, la CNIL a prononcé plus de 400 millions d'euros d'amendes liées aux cookies, dont 325 millions pour Google et 150 millions pour Shein en septembre 2025. Une amende cookies sans consentement ne vise donc plus seulement les grandes plateformes, la procédure simplifiée permettant de sanctionner en série des sites modestes repérés par le robot.

Ce que ces sanctions changent pour un site vitrine ou marchand

Pour un site vitrine ou une boutique en ligne, la conséquence pratique est un contrôle de conformité à mener sans attendre une mise en demeure. Le bandeau doit proposer le refus aussi simplement que l'acceptation, aucun traceur non essentiel ne doit se déclencher avant le choix de l'internaute, et la preuve du consentement doit pouvoir être produite lors d'un contrôle. Les outils de mesure d'audience doivent entrer dans l'exemption prévue par la CNIL ou passer en mode sans dépôt de cookie, faute de quoi ils exigent eux aussi un recueil du consentement. Sur un site marchand, la vigilance porte en plus sur les pixels publicitaires et les modules d'avis clients, souvent porteurs de traceurs ignorés de l'éditeur. Les points suivants méritent une revue page par page :

• un bandeau proposant refuser et accepter avec la même simplicité, sans case pré-cochée
• aucun cookie de mesure, de publicité ou de réseau social chargé avant le consentement
• une durée de vie des traceurs limitée, avec un consentement redemandé au maximum tous les treize mois
• une politique de confidentialité et des mentions légales à jour et accessibles depuis chaque page
• un journal ou un registre permettant de prouver le recueil du consentement

Un calendrier réglementaire qui se resserre

Les cookies et les décisions automatisées ne sont pas les seuls fronts. En mai 2026, la CNIL a sanctionné la société IQVIA à hauteur de 5 millions d'euros pour un traitement de données de santé aux garanties jugées insuffisantes, preuve que la sécurité des données et les traitements sensibles restent prioritaires, aux côtés de la vidéosurveillance et du respect des droits des personnes. La tendance des prochains mois se lit sans peine : des contrôles plus nombreux et largement automatisés sur le volet des traceurs, des montants qui grimpent sur les dossiers touchant l'architecture même d'un service, et un maximum encouru de 20 millions d'euros ou 4 pour cent du chiffre d'affaires mondial qui n'a rien de théorique. Le robot d'exploration de la CNIL continue de tourner et rien n'annonce un ralentissement des sanctions simplifiées d'ici la fin de l'année.