Amende RGPD : de quelques milliers à des millions d'euros
Une amende RGPD est une sanction financière prononcée par la CNIL contre un organisme qui ne respecte pas ses obligations en matière de protection des données personnelles. Son montant maximal est spectaculaire — jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le plus élevé des deux étant retenu — mais, dans les faits, l'immense majorité des sanctions visant des TPE et PME se chiffrent en milliers ou dizaines de milliers d'euros.
L'amende n'est jamais automatique. Elle intervient au terme d'une procédure contradictoire, le plus souvent après une mise en demeure restée sans effet, ou en cas de manquement grave : défaut de sécurité, absence de base légale, non-respect des droits des personnes, prospection commerciale illégale ou cookies déposés sans consentement. Une entreprise coopérative qui corrige rapidement ses manquements s'expose rarement au maximum.
À retenir
Le plafond de 4 % du chiffre d'affaires mondial se calcule sur le groupe entier, pas sur la seule filiale française. C'est ce qui explique les sanctions à plusieurs dizaines de millions d'euros contre les géants du numérique — mais le barème s'applique proportionnellement à toutes les tailles d'entreprise.
Les deux paliers de sanction prévus par le RGPD
Le RGPD organise les amendes en deux niveaux, fixés par l'article 83 du règlement. Le palier applicable dépend de la nature du manquement : les atteintes aux principes fondamentaux et aux droits des personnes relèvent du plafond le plus élevé.
| Palier | Plafond | Manquements concernés |
|---|---|---|
| Premier palier (art. 83.4) | 10 M€ ou 2 % du CA | Défaut de sécurité, registre absent, notification tardive d'une violation, DPO non désigné |
| Second palier (art. 83.5) | 20 M€ ou 4 % du CA | Absence de base légale, non-respect des droits des personnes, consentement non recueilli, transferts illicites |
Dans les deux cas, c'est le montant le plus élevé entre la somme fixe et le pourcentage du chiffre d'affaires qui s'applique. Pour une PME au chiffre d'affaires modeste, c'est donc le plafond en valeur absolue (10 ou 20 M€) qui constitue le maximum théorique — un maximum quasiment jamais atteint pour les petites structures, où les montants réels restent sans commune mesure.
Comment la CNIL fixe le montant de l'amende
La CNIL ne choisit pas un montant au hasard : l'article 83.2 du RGPD lui impose de tenir compte d'une série de critères, à charge comme à décharge. Les connaître permet d'agir sur ceux qui sont à votre main.
- La gravité et la durée
- Nature du manquement, nombre de personnes concernées et niveau de préjudice subi pèsent lourdement dans le calcul.
- Le caractère intentionnel ou négligent
- Un manquement délibéré est sanctionné plus sévèrement qu'une erreur ponctuelle corrigée de bonne foi.
- La coopération avec la CNIL
- Répondre aux demandes, corriger les manquements et notifier spontanément les violations réduit la sanction.
- Les mesures prises et les antécédents
- Mesures techniques déployées, catégories de données en jeu et éventuelles sanctions passées entrent dans l'appréciation.
Bon à savoir
Depuis 2022, la CNIL dispose d'une procédure de sanction simplifiée pour les dossiers les moins complexes : l'amende y est plafonnée à 20 000 €. C'est par cette voie que sont traités la plupart des manquements de TPE et PME, loin des montants médiatisés.
Exemples réels de sanctions de la CNIL
Les décisions publiques de la CNIL donnent la mesure concrète du risque. Aux côtés des amendes record contre les grands groupes, la majorité des sanctions frappe des structures bien plus modestes, pour des manquements courants.
| Profil | Type de manquement | Ordre de grandeur |
|---|---|---|
| Grand groupe numérique | Cookies, transparence, base légale | 10 à 50 M€ |
| ETI, grande entreprise | Sécurité insuffisante, fuite massive | 100 000 à 3 M€ |
| PME | Défaut de sécurité, prospection illégale | 10 000 à 150 000 € |
| TPE (procédure simplifiée) | Manquement isolé, faible gravité | 1 000 à 20 000 € |
La liste actualisée figure sur le site de la CNIL, qui publie les sanctions prononcées et rend la plupart de ses décisions publiques. Cette publicité constitue en elle-même une peine : pour une PME, l'atteinte à la réputation dépasse souvent le montant financier de l'amende.
Pourquoi l'amende RGPD n'est pas assurable en France
Aucune assurance ne peut rembourser une amende RGPD, et ce n'est pas une lacune des contrats : c'est un principe d'ordre public. En droit français, une sanction à caractère punitif prononcée par une autorité publique ne peut être transférée à un assureur — sans quoi la peine perdrait tout effet dissuasif. Un contrat cyber, aussi complet soit-il, exclut donc systématiquement le paiement de l'amende elle-même.
Ce que l'assurance cyber prend en charge
- Les frais de défense devant la CNIL (avocat spécialisé) ;
- L'accompagnement juridique tout au long de la procédure ;
- La gestion de crise et la communication ;
- Les frais de notification et l'information des personnes concernées.
Ce qui reste définitivement à votre charge
- L'amende administrative prononcée par la CNIL ;
- Les astreintes en cas de non-exécution d'une injonction ;
- La remise en conformité structurelle du système ;
- Le préjudice de réputation lié à la publicité de la sanction.
Attention
Méfiez-vous des contrats présentés comme couvrant « les sanctions RGPD » : seuls les frais de défense et de procédure sont assurables. Le paiement de l'amende, lui, restera toujours à votre charge, quelle que soit la formulation commerciale.
Réduire le risque d'amende : les réflexes qui pèsent
La meilleure protection contre une amende n'est pas assurantielle mais organisationnelle : une entreprise conforme et coopérative échappe presque toujours aux sanctions lourdes. Quelques réflexes, valorisés par la CNIL au titre de la coopération, réduisent nettement le risque et son montant.
- Tenir à jour un registre des traitements et un registre des violations ;
- Désigner un délégué à la protection des données (DPO) lorsque c'est requis ;
- Notifier toute violation à la CNIL dans les 72 heures ;
- Recueillir un consentement clair pour les cookies et la prospection ;
- Répondre sans délai aux demandes et mises en demeure de la CNIL ;
- Corriger rapidement les manquements et documenter les mesures prises.
« Face à la CNIL, la coopération vaut mieux que n'importe quelle assurance : une entreprise qui notifie, corrige et documente transforme une sanction potentielle en simple rappel à l'ordre. L'amende punit d'abord le silence et la négligence. »