Depuis 2020, les régulateurs ont infligé plus de 6,65 milliards d'euros d'amendes. 1,2 milliard d'euros ont été infligés à Meta seule et 746 millions d'euros à Amazon. Et ces entreprises connaissent la conformité. Elles disposent d'équipes de sécurité dédiées et de budgets de conformité conséquents.
Pourtant, les violations ne s'arrêtent pas.
L'une des nombreuses raisons à cela est le manque de visibilité des organisations sur ce qui se passe côté client. Souvent, des scripts tiers s'exécutent sans contrôle dans les navigateurs des utilisateurs, ignorant les choix de consentement ou envoyant des données à l'étranger à l'insu des utilisateurs. Cela expose les entreprises à des violations du RGPD.
En résumé
- Quelles sont les sanctions en cas de violation du RGPD ? Les sanctions du RGPD peuvent atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Des amendes aussi faibles que 50 € ont été prononcées, tandis que la sanction la plus élevée à ce jour s'élève à 1,2 milliard d'euros (Meta). Outre les sanctions pécuniaires, les régulateurs peuvent également imposer des injonctions correctives, des audits et des interdictions de traitement.
- Quelles sont les violations du RGPD les plus médiatisées de ces dernières années ? Plusieurs violations du RGPD très médiatisées ont donné lieu à des amendes de plusieurs centaines de millions d'euros. Meta, Amazon et TikTok ont tous été sanctionnés respectivement pour traitement illicite de données, défaut d'obtention du consentement et transferts transfrontaliers de données.
- Les petites entreprises peuvent-elles être sanctionnées au titre du RGPD ? Oui. L'application n'est pas réservée aux grandes entreprises. Les régulateurs sanctionnent les petites et moyennes organisations pour des problèmes courants tels que le consentement au marketing, les formulaires trompeurs et les transferts analytiques illicites.
- Pourquoi la sécurité côté client est-elle importante pour la conformité au RGPD ? Les scripts tiers qui traitent des données dans le navigateur sont souvent laissés sans contrôle. Ceux-ci sont considérés comme des sous-traitants au sens du RGPD, et le manque de visibilité sur ces scripts entraîne des manquements aux articles 25, 28, 32 et autres.
Quelles sont les sanctions pour les violations du RGPD
Les sanctions du RGPD dépendent de la gravité de l'incident. L'amende maximale atteint 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé. Les entreprises capables de démontrer une surveillance continue et des mesures préventives peuvent bénéficier d'amendes réduites.
Raisons les plus courantes des violations du RGPD
L'application du RGPD suit certains schémas. Les régulateurs sont connus pour sanctionner les mêmes catégories de violations, qu'il s'agisse de défauts de consentement ou de lacunes en matière de sécurité.
Voici quelques-unes des causes les plus fréquentes.
- Base juridique insuffisante ou consentement invalide : L'article 6 exige que chaque activité de traitement repose sur une base juridique licite. Les cases pré-cochées et les formulaires de consentement groupés acceptables dans d'autres zones géographiques peuvent violer les exigences du RGPD en matière de consentement. Il en va de même pour les cookies qui forcent les utilisateurs à accepter le suivi.
- Manque de transparence : En vertu des articles 12 et 13, les organisations doivent expliquer la collecte et le traitement des données dans un langage simple. Les amendes visent les politiques de confidentialité qui omettent des détails sur le partage avec des tiers ou ne reflètent pas fidèlement l'activité de traitement sur votre site web.
- Mesures de sécurité insuffisantes : L'article 32 impose aux organisations de mettre en œuvre des garanties techniques et organisationnelles appropriées pour réduire le risque d'exposition des données. Les régulateurs prononcent des amendes après des violations révélant des pratiques de sécurité défaillantes. Les manquements courants incluent des données non chiffrées et des injections de code sur les sites web permettant de collecter des données.
- Traitement illicite de données ou non-respect de la limitation des finalités : L'article 5 restreint l'utilisation des données aux seules finalités initialement déclarées. Utiliser des données à des fins marketing sans autorisation ou collecter des informations excessives au-delà de la finalité déclarée peut attirer des pressions réglementaires ou des poursuites civiles.
- Violations de données impliquant des tiers : Les responsables du traitement sont tenus responsables de la manière dont les sous-traitants ou prestataires tiers gèrent leurs données. Des amendes résultent du partage de données personnelles avec des prestataires sans accords de traitement des données (DPA) appropriés. Permettre à des outils analytiques et à des scripts de transférer des données sans protection produit le même effet.
- Non-respect des droits des personnes concernées : L'article 15 accorde aux consommateurs des droits d'accès, de rectification, d'effacement et de portabilité de leurs données dans un délai imparti. Si la réponse d'un responsable du traitement à ces demandes est tardive, les autorités de contrôle imposent rapidement des sanctions.
Autres raisons de violations du RGPD
Amendes pour non-respect de la minimisation des données
La minimisation des données (art. 5(1)(c) du RGPD) signifie que les données personnelles doivent être pertinentes et limitées à ce qui est nécessaire à la finalité poursuivie. Le site immobilier PAP (pap.fr) a été condamné à une amende de 100 000 euros après que la CNIL a constaté des manquements relatifs aux durées de conservation (conservation des données plus longtemps que nécessaire).
Transferts transfrontaliers de données
Les transferts transfrontaliers (chapitre 5 du RGPD) deviennent risqués lorsque des données personnelles quittent l'Espace économique européen (EEE) vers un pays ne bénéficiant pas d'une décision d'adéquation, et que l'exportateur ne peut pas garantir une protection équivalente.
Par exemple, l'autorité néerlandaise de protection des données a infligé à Uber une amende de 290 millions d'euros pour avoir transféré les données de chauffeurs européens vers des serveurs américains sans garanties appropriées.
Technologies de suivi
Cette catégorie d'application porte sur les cookies, pixels, SDK et identifiants publicitaires qui profilent les utilisateurs ou les suivent sur différents sites sans consentement valide.
Les régulateurs traitent le suivi illicite comme un problème à fort impact car il peut être continu, à grande échelle et difficile à éviter pour les utilisateurs. Par exemple, la CNIL a infligé à Shein une amende de 150 millions d'euros pour des pratiques en matière de cookies ne respectant pas les exigences de consentement.
Total des amendes RGPD par type de violation
| Catégorie de violation | Total des amendes (€) | Exemple notable |
|---|---|---|
| Base juridique insuffisante pour le traitement des données | €3 010 751 097 | Meta 1,2 Md€ pour transferts illicites de données UE-États-Unis |
| Non-conformité aux principes généraux de traitement des données | €2 527 583 332 | Amazon 746 M€ (CNPD Luxembourg) |
| Mesures techniques et organisationnelles insuffisantes pour assurer la sécurité de l'information | €883 754 537 | Meta 265 M€ (enquête sur le scraping de données Facebook) |
| Exécution insuffisante des obligations d'information | €252 723 860 | WhatsApp 225 M€ pour manquements aux obligations de transparence et d'information |
| Exécution insuffisante des droits des personnes concernées | €103 066 766 | Amende de 100 000 € infligée à une société de télécommunications par l'APD belge pour traitement inapproprié d'une demande d'accès d'une personne concernée |
Source des données : CMS GDPR Enforcement Tracker, à décembre 2025. Le total cumulé des amendes s'élève à environ 6,6 milliards d'euros.
Principales sanctions RGPD ces dernières années (classées par cause)
Nous avons compilé une analyse des violations notables récentes du RGPD par cause. Ces affaires montrent quels types de manquements tendent à déclencher les sanctions les plus importantes.
1. Exemple d'amende RGPD : absence de base juridique ou consentement invalide
LinkedIn Ireland a été condamné à une amende de 310 millions d'euros pour avoir utilisé une base juridique incorrecte pour la publicité et l'analyse. La société utilisait les données des utilisateurs pour la publicité ciblée et affirmait que ce traitement était nécessaire à l'exécution de son contrat avec les utilisateurs.
Les régulateurs ont rejeté ces arguments car la publicité ciblée n'était pas nécessaire à la fourniture du service LinkedIn. LinkedIn n'a pas non plus informé les utilisateurs de la base juridique applicable à chaque type de traitement. Ainsi, le traitement des données ne reposait sur aucune base juridique valide au titre de l'article 6.
Dans une autre procédure, INFINITE STYLES SERVICES CO. LIMITED, qui exploite la marque de mode Shein, a reçu une amende de 150 millions d'euros pour avoir poussé les utilisateurs à accepter le suivi et le profilage via une conception d'interface manipulatrice.
Si les utilisateurs ne peuvent pas comprendre clairement pourquoi leurs données sont traitées, ou si le consentement n'est pas un vrai choix, l'organisation risque de violer les exigences du RGPD.
2. Exemple d'amende RGPD : manque de transparence
WhatsApp a été sanctionné par la Commission irlandaise de protection des données pour ne pas avoir précisé comment les données personnelles des utilisateurs étaient traitées entre WhatsApp et d'autres services appartenant à Facebook. WhatsApp n'a pas non plus informé les non-utilisateurs dont les numéros de téléphone étaient traités lors du téléchargement de contacts. De plus, les informations relatives à la vie privée n'étaient pas clairement expliquées. Ce manque de transparence a violé les articles 12, 13 et 14 du RGPD, entraînant une amende de 225 millions d'euros.
Une autre société, Clearview AI, a collecté des images faciales sur le web public et les a utilisées pour l'identification biométrique. Cependant, la société n'a pas sollicité le consentement explicite des personnes concernées. Ces personnes n'ayant reçu aucune notification ni explication sur la finalité, elles n'avaient aucun moyen pratique d'exercer leurs droits. Plusieurs autorités européennes ont sanctionné la société après avoir constaté que sa collecte de données dissimulée violait le RGPD dans son essence même.
La transparence va au-delà d'une politique de confidentialité. Le RGPD exige clarté et visibilité. Si les utilisateurs ne peuvent pas facilement comprendre quelles données vous collectez et pourquoi, les régulateurs traitent ce manque de transparence comme une violation en soi.
3. Exemple d'amende RGPD : absence de mesures de sécurité (article 32)
L'article 32 du RGPD impose aux organisations de protéger les données personnelles des utilisateurs par des mesures de sécurité techniques et organisationnelles appropriées.
L'Autorité hellénique de protection des données a infligé à OTE Group une amende de 3 250 000 euros après qu'une violation a exposé des données d'appels d'utilisateurs transférées hors de ses systèmes vers un serveur externe. Les enquêteurs ont reproché à OTE de ne pas avoir mis en place des garanties adéquates pour son infrastructure, ce qui a entraîné l'exfiltration de données personnelles pendant plusieurs jours.
De même, la Commission irlandaise de protection des données a sanctionné la Bank of Ireland d'une amende de 463 000 euros. Cette sanction fait suite à des violations de données répétées impliquant la corruption ou la divulgation de données personnelles de clients lors de transferts vers le Registre central du crédit (CCR). Comme pour OTE, les régulateurs ont conclu que la banque n'avait pas mis en œuvre des mesures techniques et organisationnelles appropriées, violant ainsi l'article 32.
L'article 32 est obligatoire, et si des systèmes exposent des données en raison de contrôles d'accès défaillants ou d'une surveillance insuffisante des processus, l'organisation s'expose à un risque de violation du RGPD.
4. Exemple d'amende RGPD : violations de données impliquant des tiers ou des prestataires
L'autorité allemande de protection des données (BfDI) a infligé à Vodafone une amende de 45 millions d'euros. Sur ce montant, 15 millions d'euros ont été spécifiquement imposés pour ne pas avoir contrôlé et surveillé les agences partenaires agissant en son nom. Vodafone n'a pas suffisamment veillé à ce que ces partenaires tiers traitent les données des clients conformément aux exigences de l'article 28 du RGPD, mettant ainsi les données des clients en danger.
Dans une autre affaire, un établissement financier allemand a été condamné à une amende de 11 millions d'euros après qu'un prestataire SaaS a mal configuré ses systèmes. Cela a exposé en ligne plus de 200 000 dossiers clients. D'une part, la banque n'a pas exercé une surveillance suffisante sur les pratiques de sécurité de son prestataire. D'autre part, son accord de prestation était obsolète. La violation a déclenché une procédure RGPD car les responsables du traitement restent responsables de la protection des données personnelles, même lorsque des tiers les traitent.
Signer un contrat avec un prestataire ne transfère pas la responsabilité de la conformité à ce prestataire. Le RGPD place la responsabilité de la conformité sur l'organisation qui les mandate.
5. Exemple d'amende RGPD : non-respect des droits des personnes concernées
En août 2025, une amende de 100 000 euros a été infligée à une société de télécommunications par l'Autorité de protection des données belge pour traitement inapproprié d'une demande d'accès d'une personne concernée (DSAR). Lorsqu'un de ses clients a demandé l'accès aux journaux indiquant qui avait accédé à ses données personnelles, la société a traîné les pieds pendant 14 mois. L'APD belge a constaté que le responsable du traitement avait violé les articles 12 et 15 du RGPD. Il n'a pas facilité l'exercice du droit d'accès, n'a pas communiqué dans les délais et a mal géré le processus de réponse.
De même, SATS ASA a été condamné à une amende d'environ 850 000 euros par l'Autorité norvégienne de protection des données à la suite de plaintes répétées concernant des manquements à répondre aux demandes d'accès et d'effacement. SATS n'a pas non plus communiqué ses politiques de conservation et ses bases juridiques, et a ignoré des demandes de suppression valides à la fin des adhésions.
Les régulateurs sanctionnent les entreprises qui ne mettent pas en place des mécanismes adéquats pour traiter rapidement et intégralement les demandes d'accès, de suppression et de retrait du consentement. Quelle que soit la complexité de votre traitement, si les personnes ne peuvent pas exercer leurs droits en pratique, le RGPD considère cela comme une violation manifeste.
Les petites et moyennes entreprises sont-elles sanctionnées au titre du RGPD ?
Oui. Les PME sont bien sanctionnées au titre du RGPD. La taille n'est pas un bouclier. Le RGPD s'applique à toute entreprise qui traite des données personnelles de résidents de l'UE, qu'il s'agisse d'une startup en phase d'amorçage ou d'une marque locale de commerce en ligne. Cependant, la taille de l'entreprise influe sur la manière dont les régulateurs évaluent la sanction.
Voici ce que les autorités de contrôle prennent en compte :
- Taille et chiffre d'affaires de l'entreprise : Les petites entreprises feront face à des amendes bien inférieures à celles qui font la une des journaux, mais même des sanctions modestes peuvent peser lourd lorsque les marges sont étroites.
- Nature et durée de la violation : Les sanctions dépendent de la gravité de la violation et de la durée pendant laquelle elle reste sans réponse. Une brève exposition causée par un script défaillant est très différente d'une fuite de données laissée sans traitement pendant des mois.
Négligence vs intention : Les organisations capables de documenter leurs mesures de protection tendent à bénéficier d'une certaine clémence. Si une violation est causée par la négligence d'un employé alors que des systèmes de protection de la vie privée étaient en place, le montant de l'amende peut être réduit.
Exemples d'amendes RGPD infligées à des petites et moyennes entreprises
L'application du RGPD ne se limite pas aux grandes entreprises comme Amazon et Meta. Les régulateurs sanctionnent les petites et moyennes organisations pour des problèmes courants tels que le consentement au marketing, les formulaires trompeurs, les transferts analytiques illicites, et même le refus de coopérer avec une enquête.
Tableau des amendes RGPD infligées aux petites et moyennes entreprises
| Entreprise | Pays | Autorité | Année | Montant de l'amende | Ce qui s'est passé |
|---|---|---|---|---|---|
| Knuddels.de (petit réseau social) | Allemagne | LfDI Baden-Württemberg | 2018 | 20 000 € | Une faille de sécurité a entraîné l'exposition de données d'utilisateurs ; l'autorité a considéré cela comme un manquement à la sécurisation du traitement. |
| Smart Cities (société varsovienne) | Pologne | UODO | 2021 | 12 000 PLN (environ 3 000 €) | La société n'a pas coopéré avec l'autorité (n'a pas répondu et n'a pas fourni l'accès requis). |
| Vis Consulting Sp. z o.o. (société de télémarketing) | Pologne | UODO | 2020 | 20 000 PLN (environ 4 674 €) | Amende pour refus de coopérer lors d'une inspection. |
| HUBSIDE.STORE (revendeur d'électronique) | France | CNIL | 2024 | 525 000 € | Utilisation de données de contact fournies par des courtiers pour du marketing par téléphone ou SMS sans s'assurer que les personnes avaient valablement consenti. |
Les entreprises peuvent-elles être sanctionnées au titre du RGPD pour le suivi de données effectué par des prestataires tiers ?
Oui. Les opérateurs de sites web sont responsables de la manière dont les scripts tiers traitent les données personnelles.
Par le passé, des autorités ont sanctionné des entreprises pour des violations provenant de code de prestataires, d'intégrations partenaires et de technologies publicitaires qu'elles n'avaient pas développées.
- La CNIL a infligé à Criteo une amende de 40 millions d'euros en 2023. La société suivait les données de navigation via des cookies placés par des sites partenaires, sans jamais vérifier que ces partenaires avaient obtenu un consentement valide. Plus de la moitié des sites partenaires testés ne collectaient pas de consentement licite.
- Des autorités de protection des données en Autriche, en France, en Italie et en Suède ont statué que les sites web utilisant Google Analytics violaient le RGPD. Google Analytics transférait des identifiants d'utilisateurs, des paramètres de navigateur et des adresses IP vers des serveurs américains sans garanties suffisantes.
- La CNIL a infligé à Google une amende de 100 millions d'euros et à Amazon une amende de 35 millions d'euros en 2020 pour avoir déposé des cookies publicitaires avant d'obtenir le consentement. La bannière de Google déposait des cookies sans attendre que l'utilisateur fasse un choix ou refuse.
- Les boutons de réseaux sociaux et les widgets tiers comme les vidéos intégrées peuvent transférer des données à des parties externes à l'insu des utilisateurs. La DPC irlandaise a averti qu'il appartient aux responsables du traitement de comprendre exactement quelles données ces outils transmettent.
La responsabilité RGPD ne s'arrête pas au code propriétaire
- Les responsables du traitement restent responsables du traitement des données effectué par le code tiers présent sur leur site web. Des DPA doivent être en place pour que les responsables du traitement comprennent exactement ce que chaque sous-traitant fait des données des utilisateurs. Les outils de surveillance des scripts de sites web aident les responsables du traitement à s'assurer que les traceurs de données tiers opèrent dans le périmètre convenu.
Les sous-traitants et sous-sous-traitants élargissent la surface de risque. L'article 28 impose aux responsables du traitement de s'assurer que les sous-traitants respectent les normes de protection des données. Cela inclut les scripts de quatrième niveau (4th party scripts) chargés sur votre site web par des scripts tiers.
Ce que les régulateurs examinent lors de l'évaluation des sanctions RGPD
Les autorités de contrôle suivent les critères de l'article 83 du RGPD pour décider d'infliger ou non une amende et d'en fixer le montant.
Les sanctions sont proportionnées à la fois à la violation et à la situation de l'organisation. Les autorités de régulation prennent généralement en compte :
- La nature, la gravité et la durée de l'infraction
- L'intention par rapport à la négligence
- Les types de données personnelles concernées
- Les mesures prises pour limiter les dommages
- Les mesures de sécurité techniques et organisationnelles
- Les infractions antérieures
- La coopération avec l'autorité de contrôle
Affaires judiciaires ayant façonné l'application du RGPD
Voici quelques affaires judiciaires notables qui ont façonné la manière dont les lois RGPD sont appliquées.
- Google Spain c. Costeja González (C-131/12) a donné naissance au droit à l'oubli. La Cour a statué que les individus peuvent demander aux moteurs de recherche de déréférencer des résultats affichant des informations personnelles obsolètes ou non pertinentes les concernant.
- Planet49 (C-673/17) a clarifié les normes de consentement. La Cour a jugé que les cases à cocher pré-cochées ne constituent pas un consentement valide. Le consentement doit être explicite et actif, et non présumé.
- Fashion ID (C-40/17) a établi que les sites web intégrant des plugins tiers (comme des boutons de réseaux sociaux) peuvent être responsables conjoints du traitement avec ces tiers pour les données qui leur sont transmises. Cela a conduit de nombreux sites à repenser leur responsabilité et leur conformité lors de l'utilisation de contenus intégrés.
La décision de la Cour suprême autrichienne sur le modèle publicitaire de Meta (2025) a jugé la publicité personnalisée de Meta illicite car elle combinait des catégories sensibles de données personnelles et ne reposait pas sur un consentement spécifique et éclairé. La cour a ordonné une transparence totale et la séparation des données sensibles pour tous les utilisateurs de l'UE.
Comment cside aide à la conformité RGPD
cside Privacy Watch offre une visibilité sur ce qui se passe dans les sessions de navigation des utilisateurs.
Il montre aux équipes de conformité comment les scripts tiers se comportent en coulisses. Voici comment cside aide les équipes de conformité :
- Met en lumière les cookies tiers : cside offre une visibilité sur chaque script tiers s'exécutant dans le navigateur. Il expose les données auxquelles chaque script accède et l'endroit où il les envoie.
- Bloque la collecte de données non autorisée : cside applique les règles de consentement et de confidentialité avant l'exécution des scripts. Cela empêche la collecte ou le partage de données personnelles sans base valide.
- Prévient les violations de données sur les sites web : cside identifie les comportements suspects des scripts en temps réel. Il alerte les équipes sur les actions risquées ou non conformes grâce à des journaux disponibles 24h/24 et 7j/7 qui prouvent que des mesures de sécurité ont été mises en place.
- Surveille la sur-collecte : cside suit chaque modification apportée au code des scripts tiers, détectant toute mise à jour qui change la façon dont votre site web traite les données. Les équipes chargées de la confidentialité utilisent ces informations pour examiner et approuver les scripts sans tomber dans une dérive de conformité.
Vous pouvez réserver une démonstration avec cside pour voir comment nos tableaux de bord et notre documentation assistée par IA font gagner du temps à votre équipe.
