Une amende dissuasive de la CNIL peut atteindre des montants élevés, mais le plafond légal ne prédit pas la sanction d’une organisation. L’autorité de contrôle examine notamment la nature du manquement, sa durée, les personnes touchées et les mesures prises pour y remédier.
En 2025, les données fournies pour cet article font état de 83 sanctions et d’un cumul de 486,8 millions d’euros. Ces chiffres agrégés ne décrivent pas le risque individuel d’une PME, car quelques pénalités financières importantes peuvent peser fortement dans le total.
A retenir : comprendre les plafonds d’une sanction CNIL
- Deux niveaux d’amendes selon la gravité du manquement
- Calcul fondé sur le montant le plus élevé
- Procédure simplifiée plafonnée à 20 000 euros
- Mesures correctrices possibles au-delà de la pénalité financière
Amende RGPD : plafonds et critères retenus par la CNIL
Ces plafonds donnent un cadre, mais la CNIL doit ensuite apprécier les faits propres à chaque dossier. Pour une organisation, la taille de l’amende dépend donc autant du manquement que de sa réaction après sa découverte.
Deux niveaux de pénalité financière prévus par l’article 83
Pour les violations les moins graves, l’article 83 du RGPD prévoit un maximum de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Pour les manquements les plus sérieux, le plafond passe à 20 millions d’euros ou 4 %, le montant le plus élevé étant retenu.
Le premier niveau concerne notamment certaines obligations des responsables de traitement et des sous-traitants, ainsi que la sécurité et la notification des violations. Le second vise entre autres les principes fondamentaux, les droits des personnes et certaines injonctions de l’autorité.
Voici les principaux repères juridiques :
Catégorie
Exemples de manquements
Plafond maximal
Premier niveau
Sécurité, notification, obligations de traitement
10 millions d’euros ou 2 % du chiffre d’affaires mondial
Second niveau
Principes de base et droits des personnes
20 millions d’euros ou 4 % du chiffre d’affaires mondial
Procédure simplifiée
Dossiers moins complexes
20 000 euros
Mesures correctrices
Mise en demeure, limitation ou injonction
Pas nécessairement une amende
Gravité, durée et coopération modulent la sanction
Le plafond n’est pas un tarif automatique : la CNIL considère notamment la durée et la portée du manquement, son caractère intentionnel ou négligent, ainsi que les catégories de données concernées. Une entreprise qui corrige rapidement une faille et coopère peut présenter des circonstances différentes d’un organisme qui ignore les alertes.
Selon l’article 83 du RGPD, les antécédents et les mesures adoptées pour limiter les dommages font aussi partie des éléments d’appréciation. Cette individualisation explique pourquoi une petite structure n’encourt pas automatiquement le maximum théorique, même si une non-conformité peut entraîner une décision publiée.
Les plafonds deviennent plus concrets lorsqu’on les rapproche des pratiques quotidiennes qui exposent le plus souvent les organismes.
Manquements fréquents : cookies, sécurité et surveillance
Au-delà des grands plafonds, le risque se construit souvent dans des gestes ordinaires : installer un traceur, conserver un fichier trop longtemps ou donner un accès trop large. Un contrôle peut révéler plusieurs écarts réunis dans un même dossier.
Cookies et ciblage publicitaire : recueillir un consentement valable
Selon la CNIL, les règles applicables aux cookies exigent notamment un choix réel avant le dépôt des traceurs concernés. Un bandeau qui rend l’acceptation immédiate et le refus difficile peut fragiliser la conformité, tout comme une information trop vague sur les finalités.
Une boutique en ligne qui mesure son audience et personnalise ses publicités doit distinguer les opérations nécessaires des usages soumis au consentement. Elle devrait également vérifier que le refus est pris en compte et que les préférences restent modifiables.
Sécurité et surveillance des salariés : limiter les accès
La sécurité ne se résume pas à réagir après une fuite : elle suppose des mesures adaptées aux risques, notamment des droits d’accès proportionnés et une authentification renforcée lorsque la situation le justifie. Selon la CNIL, chaque organisme doit pouvoir démontrer qu’il protège les données en fonction de ses traitements.
Une caméra installée pour prévenir les intrusions ne devrait pas devenir un outil de suivi permanent des salariés. Avant de déployer un dispositif, l’employeur doit définir sa finalité, limiter les zones observées et informer les personnes concernées.
Les vérifications prioritaires pour réduire ces risques sont les suivantes :
- Comparer les réglages des cookies avec les choix exprimés
- Réserver les accès aux données aux personnes habilitées
- Définir des durées de conservation justifiées
- Encadrer les caméras et informer les salariés
Risque observé
Vérification pratique
Action préventive
Traceurs publicitaires
Le refus est-il aussi accessible que l’acceptation ?
Revoir le bandeau et les préférences
Comptes utilisateurs
Chaque accès correspond-il à un besoin réel ?
Réduire les droits et contrôler les comptes
Données conservées
Une durée est-elle définie pour chaque traitement ?
Supprimer ou archiver selon une règle documentée
Vidéosurveillance
Les zones filmées sont-elles nécessaires ?
Limiter le champ et informer les personnes
Ces précautions réduisent l’exposition, mais la façon de répondre à la CNIL compte aussi lorsqu’un problème est signalé.
Mise en conformité : réagir avant qu’une amende dissuasive tombe
Lorsqu’un manquement apparaît, la mise en conformité rapide peut limiter les conséquences et montrer que l’organisme prend ses obligations au sérieux. Elle ne garantit pas l’absence de sanction, mais l’inaction après une alerte peut aggraver la situation.
Mise en demeure et procédure simplifiée : répondre sans attendre
La CNIL dispose de plusieurs outils : rappel à l’ordre, mise en demeure, injonction, limitation d’un traitement ou amende. La procédure simplifiée permet de traiter certains dossiers moins complexes, avec un plafond de 20 000 euros, ce qui rend le sujet concret aussi pour les petites structures.
Une association qui reçoit une demande de correction devrait identifier les traitements concernés, fixer des responsables et conserver les preuves des changements effectués. Une réponse documentée vaut mieux qu’une promesse générale dépourvue d’échéance ou de vérification.
Plan d’action RGPD : documenter les traitements et les prestataires
Pour prévenir les écarts, une organisation peut commencer par son registre, ses bases légales, ses durées de conservation et ses contrats de sous-traitance. Le contrôle régulier des accès et des procédures de réponse aux incidents complète ce socle de protection des données.
Selon la CNIL, les organismes doivent pouvoir justifier leurs choix et démontrer les mesures adoptées. Une revue périodique transforme cette exigence en routine : chaque service sait quelles données il utilise, pourquoi il les conserve et qui peut les consulter.
Un plan de conformité utile commence par des tâches précises :
- Mettre à jour le registre des traitements et les finalités
- Vérifier les contrats des prestataires concernés
- Réduire les habilitations devenues inutiles
- Consigner les incidents et les corrections décidées
La prévention ne supprime pas tout risque, mais elle rend les obligations visibles et les réponses plus rapides. C’est souvent ce travail régulier, plutôt qu’une réaction dans l’urgence, qui évite qu’une non-conformité limitée ne devienne une pénalité financière lourde.
Sources : Règlement (UE) 2016/679, notamment articles 58 et 83 ; CNIL, « Sanctions » ; CNIL, « Contrôler et sanctionner ».
