Risque RGPD : les 5 risques à cartographier en PME

Pour beaucoup de dirigeants, le risque RGPD se résume à l'amende de la CNIL. Cette lecture est incomplète : une non-conformité expose l'entreprise à cinq familles de conséquences, portées par des textes et des acteurs différents. Cet article les cartographie, puis propose une méthode pour hiérarchiser vos propres risques.

Pourquoi ne pas s'arrêter à l'amende ?

Parce que l'amende n'est qu'une des mesures prévues par le RGPD, et rarement la première qui touche une PME. Un contrôle CNIL débouche le plus souvent sur une mise en demeure, tandis que le juge pénal, le juge civil, les clients et les assureurs disposent de leurs propres leviers. Cartographier le risque RGPD consiste à regarder ces cinq canaux ensemble.

Le risque de sanction administrative : les mesures de la CNIL

L'article 58 du RGPD donne à la CNIL une gamme graduée de mesures : avertissement, rappel à l'ordre, injonction sous astreinte, limitation ou interdiction d'un traitement, amende administrative. L'article 83 fixe deux plafonds : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour les manquements aux obligations du responsable de traitement (registre, sécurité, notification), et jusqu'à 20 millions d'euros ou 4 % pour les atteintes aux principes de base, aux droits des personnes ou aux transferts, le montant le plus élevé étant retenu. Une sanction RGPD peut donc aussi interdire un traitement, ce qui pèse parfois plus lourd qu'une amende.

Pour une PME, la procédure de sanction simplifiée est le scénario le plus fréquent : procédure écrite, décision du seul président de la formation restreinte, amende plafonnée à 20 000 euros sous 50 millions d'euros de chiffre d'affaires (100 000 euros au-delà), astreinte possible de 100 euros par jour, aucune publicité. Le bilan 2025 publié par la CNIL le confirme.

Le risque pénal : les articles 226-16 et suivants du code pénal

La page de la CNIL sur les sanctions pénales recense les articles 226-16 à 226-24 du code pénal, punis pour la plupart de cinq ans d'emprisonnement et de 300 000 euros d'amende : traitement sans mesures de sécurité (226-17), absence de notification d'une violation de données (226-17-1), collecte déloyale (226-18), conservation excessive (226-20), détournement de finalité (226-21), divulgation non autorisée (226-22). L'entrave à l'action de la CNIL est punie d'un an d'emprisonnement et de 15 000 euros d'amende (226-22-2). Ce risque est moins fréquent, mais il vise directement le dirigeant.

Le risque civil : la réparation du préjudice et l'action de groupe

L'article 82 du RGPD donne à toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement le droit d'en obtenir réparation auprès du responsable de traitement ou, dans certains cas, du sous-traitant. La CNIL précise dans sa fiche sur l'indemnisation après une violation de données que trois conditions se cumulent : un manquement, un préjudice réel (financier, moral, usurpation d'identité, perte de contrôle) et un lien de causalité, tranchés par le tribunal judiciaire et non par la CNIL. L'article 80 permet de mandater une association, et un régime unifié d'action de groupe, issu de la loi du 30 avril 2025, permet sous conditions la réparation de préjudices subis par plusieurs personnes. Ce risque RGPD croît avec le nombre de personnes concernées.

Le risque opérationnel et commercial

Cette famille ne figure dans aucun texte, et c'est celle que les dirigeants rencontrent le plus tôt, sans intervention d'une autorité :

• Clauses clients : les grands comptes imposent des engagements de conformité ; un manquement avéré peut justifier la résiliation.
• Appels d'offres : un questionnaire RGPD incomplet élimine le candidat d'emblée.
• Cyberassurance : les assureurs interrogent sur la sécurité des données ; une non-conformité connue peut peser sur la couverture.

Le risque de réputation : la publicité des sanctions

La CNIL peut rendre publiques ses mises en demeure et ses sanctions selon la gravité des manquements ou le nombre de personnes concernées. Une décision publiée nomme l'organisme et reste en ligne ; pour une entreprise locale, cette exposition coûte souvent plus que l'amende. La communication aux personnes concernées exigée en cas de violation à risque élevé produit le même effet : chaque personne informée est un client qui apprend que ses données ont été exposées.

Comment hiérarchiser ses propres risques ?

En croisant, pour chaque traitement, la probabilité qu'un manquement survienne et la gravité de ses conséquences sur les cinq familles décrites. Le registre des traitements en est le point de départ. Le risque RGPD d'une paie n'a pas le profil de celui d'un fichier de prospection.

1. 1Lister — Reprendre les traitements du registre, avec le volume de personnes et les données sensibles.
2. 2Estimer la probabilité — Faible, moyenne ou forte, selon l'exposition : plaintes possibles, sous-traitants, thèmes surveillés par la CNIL (cookies, vidéosurveillance, sécurité).
3. 3Estimer la gravité — Faible, moyenne ou forte, en cumulant amende, pénal, civil, commercial et réputation.
4. 4Classer et agir — Traiter d'abord les cases forte/forte, documenter les mesures et revoir la grille à chaque nouveau traitement.

Cette grille n'a pas de valeur réglementaire : elle sert à décider par où commencer, et la trace écrite de chaque décision devient votre premier élément de preuve en cas de contrôle.

À retenir

• Le risque RGPD se décline en cinq familles : sanction administrative, pénal, civil, opérationnel et commercial, réputation.
• Pour une PME, le scénario le plus probable est la procédure simplifiée de la CNIL, plafonnée à 20 000 euros d'amende.
• Le code pénal (articles 226-16 et suivants) vise le dirigeant : jusqu'à cinq ans d'emprisonnement et 300 000 euros d'amende.
• Le risque civil (article 82) et l'action de groupe croissent avec le nombre de personnes concernées.
• Une grille probabilité / gravité par traitement, bâtie sur le registre, suffit pour commencer.