Quelles sanctions risque-t-on en cas de non-respect du RGPD ?

Deux niveaux d'amendes

L'article 83 du RGPD prévoit des amendes administratives à deux niveaux, calculées en montant fixe ou en pourcentage du chiffre d'affaires annuel mondial de l'exercice précédent, le montant le plus élevé étant retenu pour les entreprises. Le premier niveau, jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires, vise notamment les manquements aux obligations du responsable et du sous-traitant : sécurité, registre, notification des violations, analyse d'impact, délégué à la protection des données. Le second niveau, jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires, vise les manquements aux principes de base, aux conditions du consentement, aux droits des personnes et aux règles sur les transferts, ainsi que le non-respect d'une injonction de l'autorité.

Le chiffre d'affaires du groupe

La Cour de justice a jugé le 13 février 2025 (affaire C-383/23) que, pour calculer le plafond de l'amende infligée à une filiale, il faut prendre en compte le chiffre d'affaires mondial du groupe auquel elle appartient, au sens du droit de la concurrence. Les grands groupes ne peuvent donc pas limiter leur exposition en logeant leurs traitements dans une petite société.

Les guides de la rubrique

Comment se déroule un contrôle de la CNIL et comment s'y préparer ?Un contrôle de la CNIL n'est pas réservé aux géants du numérique. Il peut être déclenché par une plainte ou une thématique annuelle. Bien…

Les mesures correctrices

L'amende n'est pas la seule réponse. L'article 58 confère aux autorités de contrôle des pouvoirs correctifs gradués, que la CNIL utilise abondamment : en 2025, elle a adopté 259 décisions correctrices, dont 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements, à côté des 83 sanctions. La mise en demeure, souvent publique dans les dossiers importants, fixe un délai pour se mettre en conformité ; si l'organisme s'y conforme, la procédure est close.

Comment le montant est-il fixé ?

L'article 83 impose que chaque amende soit effective, proportionnée et dissuasive, et liste les critères à prendre en compte : la nature, la gravité et la durée du manquement, le nombre de personnes concernées et le niveau de dommage, le caractère délibéré ou négligent, les mesures prises pour atténuer le dommage, le degré de responsabilité, les manquements antérieurs, le degré de coopération avec l'autorité, les catégories de données concernées, la manière dont l'autorité a eu connaissance du manquement et tout avantage financier obtenu. Le CEPD a adopté en 2023 des lignes directrices sur le calcul des amendes, qui organisent ces critères en une méthode en cinq étapes.

Le bilan de la CNIL en 2025

La CNIL a prononcé 83 sanctions en 2025, pour un montant cumulé de 486 839 500 euros, contre 87 sanctions et environ 55 millions d'euros en 2024. Ce montant inédit s'explique par deux décisions de septembre 2025 : 325 millions d'euros contre Google et 150 millions d'euros contre Shein, notamment pour des manquements liés aux cookies. Hors ces deux décisions, le total des autres amendes est de l'ordre de 12 millions d'euros, ce qui reflète mieux la situation de la plupart des organismes. Les principaux sujets de sanction ont été les cookies, la surveillance des salariés et la sécurité des données. La majorité des sanctions, 67 sur 83, ont été prononcées en procédure simplifiée.

La procédure simplifiée

Depuis la loi du 24 janvier 2022, la CNIL peut traiter les dossiers qui ne présentent pas de difficulté particulière selon une procédure simplifiée : un membre de la formation restreinte statue seul, sans séance publique, et peut prononcer un rappel à l'ordre, une injonction assortie d'une astreinte plafonnée à 100 euros par jour de retard, ou une amende plafonnée à 20 000 euros. Ces décisions ne sont pas rendues publiques. Cette procédure vise surtout des manquements récurrents chez des organismes de petite ou moyenne taille : absence de réponse aux demandes de droits, prospection sans consentement, vidéosurveillance excessive, défaut de sécurité élémentaire.

Les autres risques

Au-delà des sanctions administratives, un organisme s'expose à des actions en réparation des personnes ayant subi un dommage matériel ou moral (article 82), éventuellement sous forme d'action de groupe, à des sanctions pénales pour les atteintes les plus graves (articles 226-16 et suivants du Code pénal), et à des conséquences contractuelles avec ses clients ou partenaires. La publicité d'une sanction, souvent reprise par la presse, a un coût réputationnel qui dépasse fréquemment celui de l'amende. Les grandes décisions de justice qui ont façonné ces règles sont présentées dans l'article du blog consacré à la jurisprudence RGPD, et le déroulement d'un contrôle dans le guide du contrôle CNIL.

Les plus grandes amendes en Europe

Les plus lourdes sanctions prononcées en application du RGPD visent de grands acteurs du numérique. La Commission irlandaise de protection des données a infligé en mai 2023 une amende record de 1,2 milliard d'euros à Meta pour des transferts de données vers les États-Unis sans garanties suffisantes après l'arrêt Schrems II. La Commission nationale luxembourgeoise a sanctionné Amazon de 746 millions d'euros en 2021 pour son système de publicité ciblée. La Commission irlandaise a aussi sanctionné TikTok de 530 millions d'euros en 2025 pour des transferts de données vers la Chine, après une première amende de 345 millions en 2023 relative aux comptes des mineurs, ainsi que LinkedIn de 310 millions d'euros en 2024. En France, les plus lourdes sanctions de la CNIL ont visé Google, avec 325 millions d'euros en 2025, et Shein, avec 150 millions d'euros la même année, pour des manquements relatifs aux cookies.

Les sanctions visant les PME et les collectivités

Les sanctions ne visent pas seulement les géants du numérique. La CNIL sanctionne régulièrement des PME, des professions libérales, des associations et des collectivités. Elle a par exemple sanctionné des médecins dont les images médicales de patients étaient accessibles librement sur internet, des agences immobilières qui conservaient des documents de candidats locataires sans protection, des sociétés de vente à distance pour des prospections sans consentement, des communes pour une vidéosurveillance excessive ou des défauts de sécurité, ou des entreprises pour la surveillance permanente de leurs salariés. Depuis 2022, la procédure simplifiée a permis de multiplier ces sanctions, avec des montants adaptés à la taille des organismes, généralement de quelques milliers d'euros. Ces décisions montrent qu'aucun organisme n'est trop petit pour être contrôlé.

Les critères de l'article 83

L'article 83, paragraphe 2, énumère les éléments que l'autorité prend en compte pour décider d'une amende et en fixer le montant : la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes concernées et du niveau de dommage qu'elles ont subi ; le fait que la violation a été commise délibérément ou par négligence ; les mesures prises pour atténuer le dommage ; le degré de responsabilité, compte tenu des mesures techniques et organisationnelles mises en œuvre ; les violations antérieures ; le degré de coopération avec l'autorité ; les catégories de données concernées ; la manière dont l'autorité a eu connaissance de la violation, notamment si l'organisme l'a notifiée ; le respect de mesures correctrices antérieures ; l'application de codes de conduite ou de certifications ; et toute autre circonstance aggravante ou atténuante, comme les avantages financiers obtenus. Le CEPD a adopté en 2023 des lignes directrices sur le calcul des amendes, qui proposent une méthode en cinq étapes.

La méthode de calcul du CEPD

Les lignes directrices 04/2022 du CEPD, adoptées dans leur version finale en mai 2023, harmonisent le calcul des amendes en Europe. La méthode comporte cinq étapes : identifier les opérations de traitement en cause et les violations ; déterminer un montant de départ en fonction de la gravité de la violation, classée en faible, moyenne ou élevée, et du chiffre d'affaires de l'organisme ; ajuster ce montant en fonction des circonstances aggravantes ou atténuantes ; vérifier que le montant ne dépasse pas le plafond légal ; et s'assurer que l'amende finale est effective, proportionnée et dissuasive. Pour une violation de gravité élevée, le montant de départ se situe entre 20 et 100 % du plafond applicable, avant ajustement selon la taille de l'entreprise.

La publicité des sanctions

La formation restreinte de la CNIL peut décider de rendre publique sa décision de sanction, ce qu'elle fait généralement pour les décisions les plus importantes, avec la mention du nom de l'organisme. Cette publicité constitue une sanction complémentaire, souvent plus redoutée que l'amende elle-même en raison de son impact sur la réputation. Elle peut être limitée dans le temps, la décision étant ensuite anonymisée sur le site de la CNIL. Les décisions de la procédure simplifiée ne sont en revanche jamais rendues publiques, mais la CNIL en publie des synthèses anonymisées qui illustrent les manquements sanctionnés.

Les sanctions pénales et civiles

Au-delà des amendes administratives, les manquements au RGPD peuvent entraîner des sanctions pénales et des condamnations civiles. Le Code pénal punit de cinq ans d'emprisonnement et de 300 000 euros d'amende plusieurs infractions, comme la collecte déloyale de données, le traitement de données sensibles sans consentement, le détournement de finalité ou la conservation excessive. Les personnes morales encourent une amende pouvant atteindre 1,5 million d'euros. Sur le plan civil, toute personne ayant subi un dommage matériel ou moral du fait d'une violation du RGPD peut obtenir réparation devant le juge, en application de l'article 82. Ces actions restent encore peu nombreuses en France, mais elles se développent, notamment après des fuites de données massives et à l'initiative d'associations.

Les sanctions des sous-traitants et des organismes publics

Les sous-traitants peuvent être sanctionnés directement pour leurs propres manquements, comme l'absence de mesures de sécurité ou le traitement de données en dehors des instructions du responsable. La CNIL a ainsi sanctionné des éditeurs de logiciels et des prestataires d'hébergement. Les organismes publics peuvent aussi être sanctionnés : la loi française permet à la CNIL d'infliger des amendes aux collectivités territoriales et aux établissements publics, alors que l'État lui-même ne peut faire l'objet que de mesures correctrices, comme des injonctions ou des rappels à l'ordre. La CNIL a notamment prononcé des rappels à l'ordre contre des ministères et des amendes contre des communes ou des hôpitaux.

Les mesures correctrices sans amende

L'amende n'est qu'une des mesures dont dispose l'autorité. L'article 58, paragraphe 2, lui permet aussi d'avertir un responsable que les opérations envisagées sont susceptibles de violer le règlement, de le rappeler à l'ordre, de lui ordonner de satisfaire aux demandes d'exercice des droits, de mettre ses traitements en conformité dans un délai déterminé, d'informer les personnes d'une violation de données, de limiter temporairement ou définitivement un traitement, y compris de l'interdire, d'ordonner la rectification ou l'effacement de données, de retirer une certification ou de suspendre les flux de données vers un pays tiers. En France, ces mesures peuvent être assorties d'une astreinte, dont le montant peut atteindre 100 000 euros par jour de retard. La mise en demeure, prononcée par la présidente de la CNIL, est la mesure la plus fréquente : elle impose une mise en conformité dans un délai, sans sanction si l'organisme s'y conforme.

Les mises en demeure publiques

La CNIL peut rendre publiques ses mises en demeure, ce qu'elle fait lorsqu'elle souhaite alerter un secteur sur une pratique répandue. Elle a ainsi publié des mises en demeure relatives aux cookies, à la prospection, à la sécurité des sites des collectivités ou aux applications de suivi. Elle mène aussi des campagnes de mises en demeure groupées, adressées simultanément à de nombreux organismes d'un même secteur, comme celles qui ont visé des centaines de sites ne proposant pas de bouton de refus des cookies. Ces campagnes ont un effet d'entraînement important, car elles incitent l'ensemble des acteurs concernés à corriger leurs pratiques.

Les tendances des sanctions récentes

Plusieurs tendances se dégagent des sanctions récentes. La sécurité des données occupe une place croissante, avec des sanctions importantes après des fuites massives, comme celles prononcées en janvier 2026 contre Free Mobile et Free, à hauteur de 27 et 15 millions d'euros. Les cookies et le suivi publicitaire restent un terrain majeur, avec les sanctions contre Google et Shein en 2025. La surveillance des salariés, notamment par des logiciels de mesure de l'activité, fait l'objet d'une attention particulière. La prospection commerciale et le non-respect des droits, en particulier du droit d'accès, sont régulièrement sanctionnés par la procédure simplifiée. Enfin, l'intelligence artificielle et les données des mineurs apparaissent comme de nouveaux terrains de contrôle.

Comment réduire le risque de sanction ?

Le meilleur moyen de réduire le risque de sanction est de mettre en œuvre une démarche de conformité sincère et documentée. Les décisions de la CNIL montrent que les circonstances atténuantes retenues sont souvent la coopération pendant la procédure, la correction rapide des manquements, la notification spontanée des violations, l'existence de mesures de sécurité même imparfaites et la bonne foi de l'organisme. À l'inverse, les circonstances aggravantes sont la répétition des manquements, la sensibilité des données, le nombre de personnes concernées, l'absence de réaction après des alertes ou des plaintes, et le caractère délibéré de la violation. Un organisme qui peut démontrer qu'il a identifié ses risques, pris des mesures et réagi aux incidents est mieux protégé qu'un organisme qui découvre le sujet lors du contrôle.

Les sanctions dans les autres pays européens

Chaque autorité nationale applique le RGPD selon ses priorités, ce qui explique des différences dans le nombre et le montant des sanctions. L'autorité espagnole est l'une des plus actives en nombre de décisions, avec de nombreuses amendes pour la vidéosurveillance, la prospection ou les fraudes à l'identité. L'autorité italienne se distingue par des sanctions contre des opérateurs de télécommunications et par ses interventions sur l'intelligence artificielle. Les autorités irlandaise et luxembourgeoise, compétentes pour de nombreux géants du numérique établis sur leur territoire, prononcent les amendes les plus élevées. Le CEPD tient un registre des décisions prises dans le cadre du guichet unique, qui permet de suivre ces pratiques et d'en tirer des enseignements.

Un risque réputationnel

Au-delà du montant, une sanction publique affecte durablement la confiance des clients, des partenaires et des candidats, ce qui en fait un risque à part entière dans la gestion de l'entreprise.