Sanction RGPD : montants, critères et procédure CNIL

Une sanction RGPD ne se résume pas à une amende de plusieurs millions d'euros. Le RGPD fixe des plafonds, le montant prononcé dépend d'une grille de critères, et la CNIL dispose d'autres outils comme l'injonction sous astreinte. La procédure simplifiée, réservée aux dossiers les moins complexes, relève d'un article 22-1 modifié en mai 2026. Pour le rôle général de l'autorité, voir notre article sur les missions et pouvoirs de la CNIL.

Quels sont les montants maximum d'une amende RGPD ?

L'article 83 du RGPD prévoit deux plafonds selon l'obligation méconnue : 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, et 20 millions d'euros ou 4 % de ce chiffre d'affaires. Pour une entreprise, le montant le plus élevé des deux est retenu. Ces plafonds valent pour le responsable de traitement comme pour le sous-traitant.

Le texte complet de l'article 83 est consultable sur le site de la CNIL (chapitre VIII du RGPD). Ces montants sont des maximums : ils ne disent rien, à eux seuls, du montant d'une sanction RGPD dans un dossier donné.

Quels critères font varier le montant de l'amende ?

L'autorité tient compte de onze critères énumérés à l'article 83, paragraphe 2, du RGPD. Ils servent à décider s'il faut une amende, puis à en fixer le montant.

• La nature, la gravité et la durée du manquement, le nombre de personnes concernées et le dommage subi.
• Le caractère délibéré ou négligent du manquement.
• Les mesures prises pour atténuer le dommage et le degré de responsabilité (articles 25 et 32).
• Les manquements antérieurs et le respect des mesures déjà ordonnées.
• La coopération avec l'autorité et la manière dont elle a appris le manquement.
• Les catégories de données, l'adhésion à un code de conduite ou une certification, un éventuel gain financier.

Deux organismes auteurs du même manquement peuvent donc recevoir une sanction RGPD très différente, selon leurs antécédents et leur réaction.

Quelles mesures la CNIL peut-elle prononcer en dehors de l'amende ?

L'amende n'est qu'une des mesures correctrices prévues par l'article 58, paragraphe 2, du RGPD. Elle peut être prononcée seule ou en complément d'autres mesures. La liste figure au chapitre VI du RGPD :

• avertissement sur un traitement envisagé, ou rappel à l'ordre pour un manquement constaté ;
• injonction de satisfaire aux demandes d'exercice des droits des personnes ou de mettre le traitement en conformité dans un délai déterminé ;
• obligation d'informer les personnes d'une violation de données ;
• limitation temporaire ou définitive du traitement, y compris son interdiction, ou rectification et effacement de données ;
• retrait d'une certification et suspension des flux de données vers un pays tiers.

En droit français, l'injonction peut être assortie d'une astreinte allant jusqu'à 100 000 euros par jour de retard, selon la présentation des pouvoirs de la formation restreinte par la CNIL. En cas d'urgence, l'article 21 de la loi Informatique et Libertés permet aussi à la formation restreinte d'interrompre provisoirement un traitement pour trois mois au plus.

Comment fonctionne la procédure de sanction simplifiée ?

Pour les dossiers sans difficulté particulière, la loi Informatique et Libertés prévoit une procédure simplifiée, conduite par le président de la formation restreinte ou un membre désigné, qui statue seul après avoir recueilli les observations de l'organisme. Elle vise les affaires relevant d'une jurisprudence établie ou de questions simples.

Les décisions prises selon cette voie ne peuvent pas être rendues publiques. Le texte de l'article 22-1 sur Légifrance précise aussi que le président de la formation restreinte peut refuser ou interrompre cette procédure pour tout motif. Pour une PME, une sanction RGPD peut ainsi être prononcée selon cette voie, après un contrôle CNIL ou une plainte.

Exemples de sanctions prononcées par la CNIL en 2026

Trois décisions publiées sur cnil.fr montrent comment la formation restreinte motive le montant.

Pour la FNAC, la CNIL retient le nombre d'utilisateurs et sa doctrine constante sur les cookies et traceurs, et assortit l'amende d'une injonction sous astreinte de 10 000 euros par jour (communiqué CNIL, décision sur Légifrance). Pour EXTIA, le montant tient compte de deux rappels antérieurs à ses obligations (communiqué CNIL, décision sur Légifrance). Pour l'Hôpital privé de la Loire, la nature des données, le nombre de personnes et les capacités financières ont pesé (communiqué CNIL, décision sur Légifrance).

Une sanction est-elle publique et peut-on la contester ?

En procédure ordinaire, la formation restreinte peut rendre sa décision publique et en ordonner la publication aux frais de l'organisme. L'organisme sanctionné dispose de deux mois pour former un recours devant le Conseil d'État, selon la CNIL.

La publicité n'est pas automatique : pour la FNAC, la CNIL la justifie par la gravité du manquement. Une sanction RGPD publiée reste consultable sur Légifrance et sur cnil.fr.

À retenir

• Deux plafonds : 10 M€ ou 2 % du CA mondial, et 20 M€ ou 4 % pour les principes, les droits et les transferts.
• Le montant dépend des critères de l'article 83, paragraphe 2 : gravité, durée, antécédents, coopération.
• L'injonction sous astreinte et la limitation du traitement complètent l'amende.
• Procédure simplifiée : 20 000 € (100 000 € au-delà de 50 M€ de CA), sans publication.
• Recours devant le Conseil d'État dans un délai de deux mois.