Que risque une entreprise qui ne respecte pas le RGPD ?
Depuis 2018, les autorités européennes de protection des données ont infligé plus de 4 milliards d'euros d'amendes. Tour d'horizon des sanctions et de leur portée.
L'arsenal des sanctions RGPD
Le RGPD prévoit un régime de sanctions graduelles, de l'avertissement à l'amende maximale. Les autorités de contrôle (la CNIL en France) disposent de plusieurs leviers :
Avertissement et mise en demeure
Premier niveau : l'autorité demande à l'entreprise de se mettre en conformité sous un délai fixé. La mise en demeure peut être rendue publique, ce qui constitue déjà une sanction réputationnelle.
Limitation ou interdiction de traitement
L'autorité peut ordonner à l'entreprise de cesser tout ou partie du traitement de données. Pour une entreprise numérique, c'est potentiellement fatal.
Amendes administratives (palier 1)
Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. S'applique aux violations des obligations du responsable de traitement (registre, DPO, sécurité).
Amendes administratives (palier 2)
Jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial. S'applique aux violations des principes fondamentaux (consentement, droits des personnes, transferts internationaux).
Les amendes record en Europe
Meta (Ireland)
1,2 milliard €2023 — Transfert illicite de données européennes vers les États-Unis (Facebook)
Amazon (Luxembourg)
746 millions €2021 — Non-respect des règles de ciblage publicitaire et de consentement
Meta (Ireland)
405 millions €2022 — Traitement illicite des données de mineurs sur Instagram
Google (France / CNIL)
150 millions €2022 — Non-respect des règles sur les cookies et traceurs
Criteo (France / CNIL)
40 millions €2023 — Ciblage publicitaire sans consentement valide
Clearview AI (France / CNIL)
20 millions €2022 — Collecte illicite de photos faciales de citoyens français
Les PME ne sont pas épargnées
Si les amendes record concernent les géants du numérique, la CNIL sanctionne aussi les PME et les organismes publics. En 2024, la CNIL a prononcé 42 sanctions dont 15 envers des structures de moins de 250 salariés. Les motifs les plus fréquents : absence de registre de traitement, défaut de sécurité ayant conduit à une fuite, et non-respect du droit d'accès des personnes.
Au-delà des amendes, le risque réputationnel est souvent le plus dévastateur. La CNIL publie de plus en plus de sanctions sur son site, ce qui génère une couverture médiatique négative durable pour l'entreprise concernée.
Ce que cela signifie pour vos droits
Ces sanctions démontrent que le RGPD n'est pas un texte théorique : il est activement appliqué. Quand une entreprise refuse de répondre à votre demande de suppression ou d'accès, elle s'expose à des sanctions financières concrètes. C'est un levier puissant pour faire valoir vos droits.
📌 Articles liés : Comment déposer une plainte CNIL · Les 8 droits RGPD que vous ignorez
Faites valoir vos droits RGPD
oubli.me automatise vos demandes de suppression auprès de toutes les sources qui détiennent vos données.
Lancer un audit gratuit