Sanction RGPD : définition
Rédigé et vérifié par Sonia Di Pasqua, DPO sénior
Mis à jour le
En bref
Une sanction RGPD est une mesure prononcée par une autorité de contrôle, en France la formation restreinte de la CNIL, contre un organisme qui ne respecte pas le règlement. Elle peut aller jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial.
Ce qu'il faut comprendre
Le RGPD prévoit deux plafonds. Jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour certains manquements, comme la sécurité, le registre ou la notification des violations. Jusqu'à 20 millions d'euros ou 4 % pour les manquements les plus graves : principes, bases légales, droits des personnes, transferts hors UE. Le montant le plus élevé s'applique.
L'amende n'est pas la seule sanction. La CNIL peut prononcer un rappel à l'ordre, une injonction de mise en conformité sous astreinte, une limitation ou une interdiction du traitement. Elle peut aussi rendre sa décision publique, ce qui pèse souvent autant que l'amende. Une procédure simplifiée existe pour les dossiers les moins complexes.
Le montant tient compte de la gravité, de la durée, du nombre de personnes concernées, de la coopération et des mesures déjà prises. Pour les collectivités, la France a choisi de permettre les amendes. Il ne faut pas confondre sanction de la CNIL et action civile : une personne lésée peut en plus demander réparation devant le juge.
Exemple concret
Une PME de vente à distance conserve depuis des années les données de clients inactifs et stocke les mots de passe en clair. Après un contrôle, la formation restreinte de la CNIL lui inflige une amende, assortie d'une injonction de fixer des durées de conservation sous astreinte. La décision est publiée, ce qui alerte ses clients et ses partenaires.
Textes de référence
- RGPD, art. 83
- RGPD, art. 58, 2
- RGPD, art. 82
Le texte intégral du règlement : où lire le RGPD et comment s'y repérer.
