Conformité site web : 15 points à auditer en 2026, avec le texte applicable, l’autorité qui contrôle et le montant réel de l’amende encourue.

La conformité site web ne se règle pas avec un bandeau cookies installé en trois minutes.

Depuis janvier 2026, la CNIL a prononcé 23 sanctions en procédure simplifiée, pour 133 750 euros cumulés. Le motif qui revient le plus souvent tient en une phrase : le bandeau ne permettait pas de refuser les cookies aussi simplement que de les accepter. Un défaut de quelques lignes de code, sanctionné sur des sites de taille modeste.

Le droit n’est pas le problème. Le problème, c’est que les checklists qui circulent recopient toutes le même chiffre d’amende sans préciser de quel texte il sort, ni à qui il s’applique. Un artisan se croit exposé à 50 000 euros alors qu’il est hors champ. Un e-commerçant de douze salariés ignore qu’il est dans le champ depuis juin 2025.

Ce que la CNIL a réellement sanctionné

Les chiffres publics permettent de calibrer le risque au lieu de l’imaginer. En 2025, la CNIL a rendu 259 décisions : 83 sanctions pour un total de 486 839 500 euros d’amendes, 143 mises en demeure, 31 rappels aux obligations légales.

Ce montant global est trompeur. Il est écrasé par deux dossiers hors norme visant des acteurs mondiaux. Ce qui concerne une PME, c’est l’autre colonne : sur les 83 sanctions, 67 sont passées par la procédure simplifiée. Ce régime plafonne à 20 000 euros et ne rend pas public le nom de l’organisme visé.

Les manquements les plus fréquents dans cette procédure disent exactement où ça casse :

· Sécurité insuffisante des données – 14 organismes. Un back-office sans double authentification, un serveur non mis à jour.

· Défaut de coopération avec la CNIL – 14 organismes. Ne pas répondre à un courrier de l’autorité coûte plus cher que le manquement initial.

· Non-respect des droits individuels – 14 décisions. Une demande de suppression restée sans réponse suffit.

· Prospection commerciale – 10 décisions. Base achetée, désinscription qui ne fonctionne pas.

En procédure ordinaire, les cookies et traceurs arrivent en tête avec 21 sanctions. Le bandeau n’est pas un détail cosmétique : c’est le premier motif de contentieux du pays.

La conformité site web relève de cinq régimes, pas d’un

Voilà ce qu’aucune checklist ne vous dit. Votre site ne relève pas d’un texte unique, mais de cinq régimes distincts, avec cinq autorités et cinq barèmes. Savoir dans lesquels vous tombez vaut mieux que mémoriser un chiffre.

Le fameux montant de 50 000 euros existe donc bien. Il sanctionne la non-conformité des sites d’organismes publics, pas celle d’une entreprise. Les grandes entreprises assujetties à l’article 47, elles, risquent 25 000 euros sur le seul volet déclaratif. Recopier les 50 000 euros dans une page destinée à une TPE relève de la vente par la peur, pas du conseil.

La checklist conformité site web en 15 points

Chaque point se vérifie en moins de deux minutes. Faites le tour avec cette liste ouverte, notez les manquants, traitez-les par ordre de régime.

Identification et information du consommateur

· Mentions légales complètes : dénomination, forme juridique, adresse, RCS, numéro de TVA intracommunautaire, contact téléphonique et courriel.

· Hébergeur identifié : nom, adresse, téléphone. C’est l’oubli le plus courant.

· Conditions générales de vente accessibles avant la commande, avec droit de rétractation de 14 jours pour les ventes à distance.

· Médiateur de la consommation nommé, avec ses coordonnées et son site. Le professionnel doit garantir au consommateur un recours effectif à la médiation.

· Résiliation électronique : depuis le 1er juin 2023, tout site qui vend un abonnement doit offrir une fonction de résiliation en ligne aussi accessible que la souscription.

Données personnelles et traceurs

· Bouton « Tout refuser » au premier niveau du bandeau, de même poids visuel que « Tout accepter ».

· Aucun traceur non essentiel déposé avant le clic. À tester en navigation privée, onglet Application des outils de développement, avant toute interaction avec le bandeau.

· Preuve du consentement conservée et horodatée, refus compris.

· Politique de confidentialité listant finalités, bases légales, durées de conservation, destinataires et modalités d’exercice des droits.

· Registre des traitements tenu à jour. Il est exigible dès le premier contrôle.

· Contrats de sous-traitance signés avec chaque prestataire qui touche aux données : hébergeur, outil d’emailing, CRM, agence.

· Transferts hors Union européenne documentés. C’est le point qui coince avec les outils américains de mesure d’audience et de chat.

· Sécurité démontrable : HTTPS partout, double authentification sur les comptes administrateur, mises à jour appliquées, sauvegardes restaurées au moins une fois pour de vrai.

Accessibilité et intelligence artificielle

· Déclaration d’accessibilité publiée, mention de conformité en page d’accueil, schéma pluriannuel et plan d’action annuel, si vous relevez de l’un des deux régimes.

· Mention explicite d’interaction avec une IA sur tout agent conversationnel, dès l’ouverture de la conversation.

Pour le point 13, la vérification des en-têtes de sécurité tient en une commande :

Trois lignes vides, trois chantiers. La correction se fait côté serveur ou dans la configuration de votre hébergeur, sans toucher au site. Si votre infrastructure vous est opaque, le sujet dépasse la conformité : lisez notre analyse sur l’hébergement en France face au Cloud Act .

Conformité site web : les deux angles morts de 2026

L’accessibilité. Depuis le 28 juin 2025, les services numériques vendus aux consommateurs doivent être accessibles. Le décret du 9 octobre 2023 fixe l’exemption : moins de dix personnes et moins de deux millions d’euros de chiffre d’affaires. Les deux conditions sont cumulatives, ce qui fait basculer dans le champ pas mal de structures qui se croyaient dehors.

En Guyane, la majorité du tissu économique passe sous ce double seuil et sort donc du champ de la directive. Ce constat en produit un autre, moins confortable : le RGPD, les cookies et les mentions légales, eux, n’ont aucun seuil. La petite structure qui se croit protégée par sa taille reste exposée sur les trois régimes qui sanctionnent le plus souvent. Nous détaillons cette bascule dans notre mise à jour du droit numérique en Guyane .

L’article 50 de l’AI Act. Depuis le 2 août 2026, toute personne qui interagit avec un système d’IA doit en être informée. Pour un site, cela vise le chatbot de support, l’agent de qualification de prospects, l’assistant de recherche interne. Une phrase à l’ouverture de la conversation suffit, à condition qu’elle existe. Le marquage machine des contenus générés suit au 2 décembre 2026.

Aucun seuil de chiffre d’affaires ne s’applique ici. La structure de trois personnes et le groupe coté sont logés à la même enseigne. La plupart des sites qui ont branché un agent conversationnel ces douze derniers mois ne l’ont pas mis à jour.

Le mot de la fin

La conformité d’un site ne se mesure pas au nombre de pages juridiques empilées en pied de page, mais à ce qui se passe dans le navigateur avant le premier clic. C’est vérifiable en une heure. Même réflexe que pour la performance : la mesure d’abord, l’avis ensuite, comme nous le montrons sur les scores Lighthouse confrontés aux données terrain .

Quinze points. Ouvrez votre site, comptez ceux qui manquent.

♚ 1D-D1 – One Day or Day One. Parlons stratégie -