Le verdict en trois phrases
La conformité RGPD d'un site web n'est pas une option juridique lointaine : la CNIL contrôle les cookies et le consentement, et les sanctions atteignent jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 M EUR. Pour une PME à Nantes en 2026, une mise en conformité sérieuse coûte 1 300 à 4 000 EUR en one-shot (audit, registre, mentions) plus 20 à 800 EUR/mois de récurrent (CMP, DPO externe). Le vrai risque n'est pas le coût de la conformité, c'est celui de la non-conformité.
Le budget de mise en conformité, poste par poste
Un DAF qui veut éviter une sanction doit distinguer l'investissement initial (one-shot) des charges récurrentes. Voici les fourchettes 2026 à Nantes pour un site vitrine ou e-commerce de PME.
| Poste | Nature | Coût 2026 | Récurrence |
|---|---|---|---|
| Audit cookies et consentement | One-shot | 800-2 000 EUR | Ponctuel |
| CMP (plateforme de consentement) | Abonnement | 20-60 EUR/mois | Mensuel |
| Registre des traitements + mentions légales | One-shot | 500-1 200 EUR | Ponctuel |
| Politique de confidentialité rédigée | One-shot | 300-700 EUR | Ponctuel |
| DPO externe mutualisé | Abonnement | 300-800 EUR/mois | Mensuel |
| Formation équipe (2 h) | One-shot | 400-800 EUR | Annuel conseillé |
Une PME sans traitements sensibles peut s'en tirer avec ~1 800 EUR one-shot + 40 EUR/mois de CMP. Une PME e-commerce manipulant fichiers clients et prospection ajoutera un DPO externe, portant le récurrent à 340-860 EUR/mois.
Ce que la CNIL contrôle vraiment en 2026
Les contrôles ciblent des points précis et récurrents. Un bandeau cookies non conforme (refus aussi facile que l'acceptation, pas de dépôt avant consentement) reste la cause n°1 de mise en demeure.
| Point de contrôle | Exigence 2026 | Risque si manquant |
|---|---|---|
| Bandeau cookies | Refuser aussi simple qu'accepter | Mise en demeure fréquente |
| Dépôt de traceurs | Aucun avant consentement | Sanction financière |
| Registre des traitements | Obligatoire, tenu à jour | Manquement caractérisé |
| Durées de conservation | Définies et respectées | Non-conformité |
| Droits des personnes | Accès, effacement sous 1 mois | Plainte possible |
| Mentions et politique | À jour et accessibles | Manquement formel |
Le délai réaliste de mise en conformité complète est de 4 à 6 semaines : 1 semaine d'audit, 2-3 semaines de correctifs (CMP, mentions, registre), 1 semaine de validation.
Mini cas pratique
Sophie, DAF d'une PME de services B2B de 45 salariés à Nantes (CA 6 M EUR), reçoit un courrier de la CNIL après une plainte sur son bandeau cookies. Sans conformité, l'exposition théorique atteint 4 % de 6 M EUR = 240 000 EUR. Elle engage une mise en conformité : audit 1 400 EUR + registre et mentions 900 EUR + politique 500 EUR = 2 800 EUR one-shot, plus CMP 45 EUR/mois + DPO externe 450 EUR/mois = 495 EUR/mois, soit 5 940 EUR/an. Total première année : 8 740 EUR. Rapporté au risque de sanction évité et à la sécurisation de son fichier prospect, l'investissement se justifie en une seule mise en demeure évitée. Le chantier est bouclé en 5 semaines.
Besoin d'un site web professionnel ?
Kolonell crée des sites web qui attirent des clients, optimisés pour le marché sénégalais. Devis gratuit en 2 minutes.
FAQ
Combien coûte la mise en conformité RGPD d'un site à Nantes en 2026 ?
Comptez 1 300 à 4 000 EUR en one-shot (audit, registre, mentions, politique) plus 20 à 800 EUR/mois de récurrent selon que vous ajoutez une CMP seule ou un DPO externe. Une PME simple s'en tire autour de 1 800 EUR + 40 EUR/mois.
Quelle sanction risque-t-on en cas de non-conformité ?
La CNIL peut prononcer une amende jusqu'à 4 % du chiffre d'affaires annuel mondial ou 20 M EUR, le montant le plus élevé étant retenu. En pratique, les PME reçoivent d'abord une mise en demeure, mais une plainte peut déclencher un contrôle.
Une CMP suffit-elle pour être conforme ?
Non. Une CMP (20-60 EUR/mois) gère le consentement cookies, mais la conformité exige aussi le registre des traitements, les mentions, les durées de conservation et la gestion des droits. La CMP est nécessaire, pas suffisante.
Faut-il obligatoirement un DPO ?
Le DPO n'est obligatoire que dans certains cas (suivi à grande échelle, données sensibles), mais un DPO externe mutualisé à 300-800 EUR/mois est vivement recommandé dès qu'on fait de la prospection ou qu'on gère un fichier clients conséquent.
Combien de temps prend la mise en conformité ?
Comptez 4 à 6 semaines : audit, correctifs techniques (CMP, dépôt de traceurs), rédaction du registre et des mentions, puis validation. Un bandeau cookies conforme peut être déployé en quelques jours si c'est l'urgence.
Parlons de votre projet. Indiquez-nous votre type de site (vitrine ou e-commerce), le volume de données traitées et l'urgence (mise en demeure ou préventif) : nous chiffrons audit, CMP et accompagnement. Devis détaillé sous 48 h. WhatsApp +221 77 596 93 33.
Mohamed Bah
Fondateur, Kolonell
Passionné par le digital et l'entrepreneuriat en Afrique, Mohamed accompagne les entreprises sénégalaises dans leur transformation digitale depuis 2020. Fondateur de Kolonell, il croit que chaque PME mérite une présence en ligne professionnelle et accessible.
