Sanctions RGPD : plafonds des amendes, critères de modulation et procédure CNIL En vigueur

Faits essentiels

Les deux plafonds de l'article 83 du RGPD

Les amendes administratives doivent être « effectives, proportionnées et dissuasives » (art. 83.1). Pour chaque niveau, le montant le plus élevé entre la somme forfaitaire et le pourcentage est retenu.

Premier niveau : 10 M€ ou 2 % du chiffre d'affaires (art. 83.4)

Sont visés :

• les obligations du responsable de traitement et du sous-traitant au titre des articles 8, 11, 25 à 39, 42 et 43 — notamment la protection dès la conception (art. 25), le registre des activités de traitement (art. 30), la sécurité (art. 32), la notification des violations (art. 33 et 34), l'analyse d'impact (art. 35) et le délégué à la protection des données (art. 37 à 39) ;
• les obligations de l'organisme de certification (art. 42 et 43) ;
• les obligations de l'organisme de suivi des codes de conduite (art. 41.4).

Second niveau : 20 M€ ou 4 % du chiffre d'affaires (art. 83.5)

Sont visés :

• les principes de base du traitement, y compris les conditions du consentement (art. 5, 6, 7 et 9) ;
• les droits des personnes concernées (art. 12 à 22) ;
• les transferts vers un pays tiers ou une organisation internationale (art. 44 à 49) ;
• les obligations issues du droit national adopté au titre du chapitre IX ;
• le non-respect d'une injonction, d'une limitation du traitement ou d'une suspension des flux ordonnée au titre de l'article 58.2, ou le refus d'accès en violation de l'article 58.1.

Le non-respect d'une injonction de l'autorité de contrôle relève également du plafond de 20 M€ / 4 % (art. 83.6).

Cumul de manquements

En cas de violations multiples dans le cadre de la même opération de traitement ou d'opérations liées, le montant total ne peut excéder le montant fixé pour la violation la plus grave (art. 83.3).

Les critères de modulation (art. 83.2)

L'amende peut être imposée en complément ou à la place des mesures correctrices de l'article 58.2. Il est dûment tenu compte :

1. de la nature, de la gravité et de la durée de la violation, du nombre de personnes concernées affectées et du niveau de dommage subi ;
2. du caractère délibéré ou négligent de la violation ;
3. des mesures prises pour atténuer le dommage ;
4. du degré de responsabilité, au regard des mesures techniques et organisationnelles mises en œuvre (art. 25 et 32) ;
5. des violations pertinentes commises précédemment ;
6. du degré de coopération avec l'autorité de contrôle ;
7. des catégories de données concernées ;
8. de la manière dont l'autorité a eu connaissance de la violation, notamment si elle a été notifiée ;
9. du respect de mesures précédemment ordonnées pour le même objet ;
10. de l'application de codes de conduite (art. 40) ou de mécanismes de certification (art. 42) ;
11. de toute autre circonstance aggravante ou atténuante, notamment les avantages financiers obtenus ou les pertes évitées.

Le Comité européen de la protection des données a adopté des lignes directrices 04/2022 sur le calcul des amendes administratives.

La procédure de sanction de la CNIL

La loi n° 78-17 du 6 janvier 1978 organise la procédure française.

Mesures du président de la CNIL (art. 20)

• Avertissement lorsque les traitements envisagés sont susceptibles de violer le RGPD ou la loi ;
• rappel aux obligations légales ou mise en demeure dans un délai fixé par le président, lorsque le manquement est susceptible de mise en conformité. Ce délai peut être de vingt-quatre heures en cas d'urgence ;
• la mise en demeure peut être rendue publique sur décision du bureau ; la décision de clôture fait alors l'objet de la même publicité.

Mesures de la formation restreinte (art. 20 IV)

Après procédure contradictoire, elle peut prononcer : rappel à l'ordre ; injonction de mise en conformité, assortie le cas échéant d'une astreinte pouvant atteindre 100 000 € par jour de retard ; limitation temporaire ou définitive du traitement, interdiction ou retrait d'autorisation ; retrait ou refus de certification ; suspension des flux de données ; suspension de l'approbation de règles d'entreprise contraignantes ; amende administrative.

Les plafonds de l'amende reprennent ceux du RGPD : 10 M€ ou 2 %, portés à 20 M€ ou 4 % dans les hypothèses des paragraphes 5 et 6 de l'article 83. L'État est exclu du champ de l'amende. La formation restreinte applique les critères de l'article 83 pour en déterminer le montant.

Rapport, publicité et articulation avec le pénal (art. 22)

Les mesures sont prononcées sur la base d'un rapport établi par un membre de la CNIL désigné par le président parmi les membres n'appartenant pas à la formation restreinte. Le rapport est notifié ; l'organisme peut déposer des observations, se faire représenter ou assister. Le rapporteur peut présenter des observations orales mais ne prend pas part aux délibérations.

La formation restreinte peut rendre publiques ses décisions et ordonner leur insertion dans des publications, journaux et supports qu'elle désigne, aux frais des personnes sanctionnées. Elle peut aussi ordonner que l'organisme informe individuellement, à ses frais, chacune des personnes concernées.

Si une sanction pécuniaire est devenue définitive avant que le juge pénal ait statué sur les mêmes faits, celui-ci peut ordonner que l'amende administrative s'impute sur l'amende pénale.

Les sanctions pécuniaires et astreintes sont recouvrées comme les créances de l'État étrangères à l'impôt et au domaine, et versées au budget de l'État.

Procédure d'urgence (art. 21)

La formation restreinte peut notamment ordonner l'interruption provisoire du traitement ou sa limitation pour une durée maximale de trois mois, suspendre provisoirement une certification, un agrément ou une autorisation, ou enjoindre la mise en conformité sous astreinte pouvant atteindre 100 000 € par jour.

La procédure de sanction simplifiée (art. 22-1)

Créée par la loi n° 2022-52 du 24 janvier 2022 et précisée par le décret n° 2022-517 du 8 avril 2022, elle est réservée aux dossiers ne présentant pas de difficulté particulière, eu égard à l'existence d'une jurisprudence établie, de décisions déjà rendues par la formation restreinte, ou de la simplicité des questions de fait et de droit.

• Le président de la formation restreinte ou un membre désigné statue seul.
• Mesures possibles : rappel à l'ordre, injonction de mise en conformité et amende administrative.
• Plafond de l'amende : 20 000 €. Astreinte maximale : 100 € par jour de retard.
• Le rapport est établi par un agent des services de la CNIL.
• Procédure écrite : un mois pour présenter des observations écrites, le rapporteur pouvant répondre dans le même délai ; une séance n'est organisée que si le mis en cause demande à être entendu, et jamais en séance publique.
• Les décisions ne peuvent pas être rendues publiques : le nom de l'organisme sanctionné n'est pas divulgué.
• Le décideur peut, pour tout motif, refuser d'y recourir ou l'interrompre ; le dossier repasse alors en procédure ordinaire.

Sanctions pénales

Indépendamment des amendes administratives, les articles 226-16 et suivants du code pénal répriment notamment le traitement sans respect des formalités préalables, le manquement aux obligations de sécurité, le défaut de notification d'une violation, la collecte frauduleuse ou déloyale, le traitement malgré l'opposition de la personne, le traitement de données sensibles sans consentement exprès, la conservation au-delà de la durée prévue, le détournement de finalité et les transferts illicites hors de l'Union : cinq ans d'emprisonnement et 300 000 € d'amende.

La divulgation portant atteinte à la considération ou à l'intimité de la vie privée est punie des mêmes peines, ramenées à trois ans et 100 000 € lorsqu'elle est commise par imprudence ou négligence ; la poursuite suppose une plainte de la victime, de son représentant légal ou de ses ayants droit. L'entrave à l'action de la CNIL est punie d'un an d'emprisonnement et 15 000 € d'amende. L'effacement de tout ou partie des données peut être ordonné à titre de peine complémentaire.

Chiffres officiels

Selon le bilan publié par la CNIL le 9 février 2026 :

• 83 sanctions prononcées en 2025, pour un montant cumulé de 486 839 500 € ;
• 16 décisions de la formation restreinte et 67 en procédure simplifiée ;
• 78 amendes (dont 27 assorties d'injonctions sous astreinte), 3 liquidations d'astreinte, 2 rappels à l'ordre, 10 décisions rendues publiques ;
• 259 décisions au total, dont 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements ;
• deux amendes majeures en matière de cookies, de 325 millions d'euros et 150 millions d'euros ;
• thèmes dominants : cookies (21 organismes), vidéosurveillance des salariés (16), sécurité des données.

Au 6 juillet 2026, la CNIL indique avoir prononcé 23 sanctions en procédure simplifiée depuis janvier 2026, pour un montant cumulé de 133 750 €, dont 19 issues de plaintes.

Sources

• EUR-Lex – Règlement (UE) 2016/679 (RGPD), article 83: https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX%3A32016R0679 A
• Légifrance – Loi n° 78-17 du 6 janvier 1978, section « Mesures correctrices et sanctions » (art. 20 à 23): https://www.legifrance.gouv.fr/codes/section_lc/JORFTEXT000000886460/LEGISCTA000037804143/2025-01-11 A
• CNIL – Le cadre national : loi Informatique et Libertés consolidée: https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes B
• CNIL – La procédure de sanction simplifiée: https://www.cnil.fr/fr/la-procedure-de-sanction-simplifiee B
• CNIL – Les sanctions pénales: https://www.cnil.fr/fr/les-sanctions-penales B
• CNIL – Sanctions et mesures correctrices : bilan 2025 (9 février 2026): https://www.cnil.fr/fr/bilan-sanctions-2025 B
• CEPD – Lignes directrices 04/2022 sur le calcul des amendes administratives: https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-calculation-administrative-fines-under_en B