Sanctions RGPD : à combien s'expose votre entreprise

Une PME tech apprend qu'une réclamation a été adressée à la CNIL par un ancien utilisateur. Le dirigeant s'interroge aussitôt sur le montant qu'il risque, et sur ce que cette procédure pourrait coûter au-delà de l'amende elle-même. Les chiffres qui circulent l'inquiètent sans l'éclairer. L'article 83 du RGPD fixe pourtant un cadre précis, dont la compréhension permet d'évaluer un risque réel plutôt qu'un fantasme. Mesurer cette exposition aide à décider où investir.

L'essentiel en 30 secondes. Les amendes RGPD suivent deux paliers : jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial pour les manquements techniques, jusqu'à 20 M€ ou 4 % pour les manquements aux principes et aux droits. Depuis septembre 2026, le CEPD propose une méthode en cinq étapes qui fait de la faute une condition de l'amende et réserve le blâme aux infractions mineures. La CNIL dispose aussi de mesures correctrices, et les conséquences indirectes dépassent souvent l'amende.

Deux paliers d'amendes administratives

L'article 83 du RGPD organise les amendes en deux niveaux distincts. Pour une entreprise, le plafond applicable correspond au montant le plus élevé entre la somme forfaitaire et le pourcentage du chiffre d'affaires.

Le premier palier plafonne à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total. Il sanctionne les manquements aux obligations dites techniques. Entrent dans cette catégorie l'absence de registre des traitements, les défauts de sécurité, les manquements aux règles encadrant la sous-traitance et l'absence de notification d'une violation de données. Ces obligations structurent la conformité opérationnelle de l'entreprise.

Le second palier plafonne à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial total. Il vise les manquements les plus graves : violation des principes fondamentaux du traitement, atteinte aux droits des personnes, non-respect des conditions du consentement et transferts illicites de données hors de l'Union européenne. Le règlement traite ces manquements avec une sévérité accrue, car ils touchent au cœur de la protection des personnes.

Le calcul sur le chiffre d'affaires mondial mérite l'attention des dirigeants. Une amende ne se mesure pas seulement au chiffre d'affaires réalisé en France, ni à celui de la seule entité concernée lorsqu'elle appartient à un groupe. Cette assiette large peut transformer un manquement apparemment mineur en sanction significative pour une entreprise en croissance.

Un même incident peut d'ailleurs relever des deux paliers à la fois. Une violation de données mal sécurisées révèle souvent un défaut de sécurité, relevant du premier palier, et une atteinte aux principes du traitement, relevant du second. La CNIL apprécie alors l'ensemble du comportement et retient le palier le plus élevé applicable. Cette imbrication explique pourquoi des manquements en apparence techniques débouchent parfois sur les sanctions les plus lourdes.

Au-delà de l'amende : les autres mesures de la CNIL

L'amende ne représente qu'une partie de l'arsenal de la CNIL. L'autorité peut prononcer des mesures correctrices qui pèsent parfois davantage sur l'activité que la sanction financière elle-même.

La CNIL adresse des rappels à l'ordre lorsque le manquement reste limité. Elle prononce des injonctions de mise en conformité, souvent assorties d'une astreinte qui court tant que l'entreprise ne corrige pas la situation. Ces mesures imposent un calendrier contraignant et mobilisent les équipes. L'autorité peut aussi ordonner la limitation ou la suspension d'un traitement. Pour une entreprise dont le produit repose sur des données, une suspension équivaut parfois à un arrêt de l'activité, conséquence bien plus lourde qu'une amende ponctuelle.

Les critères qui modulent la sanction

La CNIL ne fixe pas les montants de manière mécanique. L'article 83.2 énumère les critères qui modulent chaque sanction, et la connaissance de ces critères oriente utilement votre stratégie de conformité.

L'autorité examine la gravité du manquement et sa durée, le nombre de personnes touchées et l'ampleur du préjudice. Elle apprécie le caractère intentionnel ou négligent du comportement. Un manquement délibéré appelle une réponse plus sévère qu'une erreur isolée et corrigée. La CNIL valorise aussi la coopération de l'entreprise pendant la procédure et les mesures prises pour limiter le dommage. Une entreprise qui documente sa conformité, notifie spontanément une violation et corrige rapidement démontre sa bonne foi. Ces éléments réduisent concrètement le montant des sanctions et peuvent orienter l'autorité vers une simple injonction.

La méthode du CEPD en cinq étapes

Le 17 septembre 2026, le Comité européen de la protection des données a adopté ses lignes directrices 04/2026 sur le pouvoir d'infliger des amendes administratives. Soumis à consultation publique jusqu'au 13 novembre 2026, ce texte harmonise la manière dont les autorités européennes, CNIL comprise, décident de recourir ou non à l'amende.

L'autorité vérifie d'abord que le manquement peut donner lieu à une amende, sur le fondement du RGPD ou du droit national, puis que l'organisme poursuivi est bien le responsable du traitement ou le sous-traitant tenu par la disposition violée. Elle apprécie ensuite le caractère intentionnel ou négligent de l'infraction, puisqu'une infraction fautive conditionne l'imposition d'une amende. Viennent enfin l'examen des circonstances aggravantes et atténuantes, puis le contrôle du caractère effectif, proportionné et dissuasif de la sanction envisagée.

Deux repères intéressent directement une PME. Une infraction de caractère mineur n'appelle généralement pas d'amende, et l'autorité peut lui préférer un blâme. À l'inverse, une infraction qui n'a pas ce caractère crée une forte présomption d'amende. Le CEPD illustre cette grille par quatorze exemples pratiques et rappelle l'éventail des autres mesures correctrices : avertissement, rappel à l'ordre, injonction, limitation ou interdiction du traitement, retrait d'une certification.

La conséquence est pratique. La documentation de vos mesures de conformité et de vos corrections devient l'élément qui permet de discuter la qualification de faute et le caractère mineur du manquement. Une entreprise capable de prouver sa diligence dispose d'arguments concrets dès les premiers échanges avec l'autorité.

La procédure simplifiée

Tous les dossiers ne suivent pas la procédure ordinaire. La CNIL dispose d'une procédure simplifiée pour les affaires de faible complexité, dont l'enjeu reste mesuré.

Dans ce cadre, le montant de l'amende ne peut dépasser 20 000 euros. La procédure se déroule plus rapidement et avec un formalisme allégé. Elle vise des manquements clairs, souvent déjà connus de l'entreprise, qui ne justifient pas la lourdeur d'une formation collégiale. Cette voie ne réduit pas l'obligation de conformité, mais elle plafonne le risque financier pour les dossiers les plus simples. Une PME bien préparée limite ainsi son exposition aux montants les plus élevés.

Cette procédure traduit une approche graduée de la CNIL. L'autorité ne cherche pas systématiquement la sanction maximale, surtout face à une entreprise de bonne foi qui corrige ses manquements. Elle réserve les amendes lourdes aux comportements graves, répétés ou délibérés. Une startup qui démontre sa diligence aborde donc un éventuel contrôle dans une position bien plus favorable qu'une entreprise négligente.

Les conséquences indirectes, souvent les plus lourdes

L'amende et les mesures correctrices ne mesurent pas tout le coût d'un manquement. Les répercussions indirectes frappent durablement, en particulier les jeunes entreprises.

Une sanction publique porte atteinte à la réputation. La CNIL rend publiques de nombreuses décisions, et la presse spécialisée les relaie. Un prospect grand compte qui découvre une sanction lors d'un audit hésite à signer. Une procédure en cours peut faire échouer un contrat déjà avancé, car les directions achats intègrent désormais la conformité dans leurs critères de sélection.

Le risque touche aussi le financement. Lors d'une levée de fonds, la due diligence examine la conformité au RGPD avec attention. Un dossier fragile inquiète les investisseurs, retarde l'opération ou réduit la valorisation. À l'inverse, une conformité maîtrisée rassure et accélère la transaction. La protection des données cesse alors d'être une contrainte pour devenir un argument de confiance auprès des clients comme des financeurs.

Le coût de gestion d'une procédure mérite aussi d'être anticipé. Répondre à une mise en demeure, reconstituer une documentation absente et mobiliser des conseils accapare des équipes déjà sollicitées par la croissance. Ce temps détourné de la construction du produit pèse lourd pour une jeune entreprise. La conformité préventive coûte presque toujours moins cher que la conformité subie dans l'urgence d'un contrôle.

Comment réduire votre risque

Réduire l'exposition aux sanctions repose sur quelques fondations solides plutôt que sur une réaction de dernière minute. La démarche relève de l'anticipation et de la documentation.

Tenez un registre des traitements à jour et reliez chaque traitement à sa base légale, à ses durées de conservation et à ses mesures de sécurité. Ce document constitue la première pièce demandée lors d'un contrôle et la meilleure preuve de votre diligence.

Formalisez ensuite une procédure de gestion des violations de données, avec un circuit d'alerte interne, un registre des incidents et des modèles de notification à la CNIL et aux personnes concernées. Le délai de 72 heures de l'article 33 laisse peu de place à l'improvisation. Organisez de la même manière le traitement des demandes de droits, à l'origine d'une large part des plaintes adressées à la CNIL.

Vérifiez enfin vos contrats de sous-traitance au regard de l'article 28 et auditez régulièrement vos prestataires critiques. Conservez la trace de chaque action corrective : au regard de la méthode du CEPD, cette traçabilité pèse directement sur l'appréciation de la faute et sur le choix entre blâme et amende.

Vous souhaitez évaluer votre exposition réelle aux sanctions RGPD et prioriser vos chantiers de conformité ? Le cabinet réalise un diagnostic ciblé et vous aide à bâtir une documentation défendable face à l'autorité. Prendre rendez-vous pour une consultation

Sources

• Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, CEPD
• Amendes RGPD et interaction avec le règlement sur les services numériques : retour sur la plénière du CEPD du 17 septembre 2026, CNIL, 23 septembre 2026