{
    "slug": "sanctions-rgpd-amendes-administratives",
    "titre": "Sanctions RGPD : plafonds des amendes, critères de modulation et procédure CNIL",
    "domaine": "protection-donnees",
    "statut_juridique": "in_force",
    "niveau_autorite": "A",
    "description": "Amendes RGPD : plafonds de 10 M€ ou 2 % du chiffre d\u0027affaires mondial et 20 M€ ou 4 %, critères de modulation de l\u0027article 83.2, procédure de sanction de la CNIL, procédure simplifiée plafonnée à 20 000 €.",
    "resume_court": "L\u0027article 83 du RGPD prévoit deux niveaux d\u0027amende administrative. Le premier, jusqu\u0027à 10 millions d\u0027euros ou 2 % du chiffre d\u0027affaires annuel mondial total de l\u0027exercice précédent, sanctionne notamment les manquements à la sécurité, au registre des traitements, à l\u0027analyse d\u0027impact, à la désignation du DPO et à la notification des violations. Le second, jusqu\u0027à 20 millions d\u0027euros ou 4 %, vise les principes de base du traitement, le consentement, les droits des personnes et les transferts hors Union européenne. Le montant le plus élevé est retenu. En France, la formation restreinte de la CNIL prononce ces amendes après une procédure contradictoire fondée sur un rapport, et peut rendre sa décision publique. Une procédure simplifiée, réservée aux dossiers sans difficulté particulière, permet à un membre statuant seul d\u0027infliger une amende plafonnée à 20 000 €, sans publicité. En 2025, la CNIL a prononcé 83 sanctions pour un total de 486 839 500 €.",
    "faits": [
        {
            "point": "Plafond de premier niveau",
            "valeur": "10 000 000 € ou 2 % du chiffre d\u0027affaires annuel mondial total de l\u0027exercice précédent, le montant le plus élevé étant retenu",
            "autorite": "A",
            "source": "RGPD, art. 83.4"
        },
        {
            "point": "Manquements relevant du premier niveau",
            "valeur": "Articles 8, 11, 25 à 39, 42 et 43 du RGPD (sécurité, registre, AIPD, DPO, notification de violation, protection dès la conception)",
            "autorite": "A",
            "source": "RGPD, art. 83.4"
        },
        {
            "point": "Plafond de second niveau",
            "valeur": "20 000 000 € ou 4 % du chiffre d\u0027affaires annuel mondial total de l\u0027exercice précédent, le montant le plus élevé étant retenu",
            "autorite": "A",
            "source": "RGPD, art. 83.5"
        },
        {
            "point": "Manquements relevant du second niveau",
            "valeur": "Principes de base et consentement (art. 5, 6, 7, 9), droits des personnes (art. 12 à 22), transferts hors UE (art. 44 à 49), non-respect d\u0027une injonction",
            "autorite": "A",
            "source": "RGPD, art. 83.5 et 83.6"
        },
        {
            "point": "Cumul de manquements",
            "valeur": "Le montant total ne peut excéder le montant fixé pour la violation la plus grave",
            "autorite": "A",
            "source": "RGPD, art. 83.3"
        },
        {
            "point": "Critères de modulation",
            "valeur": "Onze éléments, dont la nature, la gravité et la durée, le caractère délibéré ou négligent, la coopération et les avantages financiers obtenus",
            "autorite": "A",
            "source": "RGPD, art. 83.2"
        },
        {
            "point": "Astreinte de la formation restreinte",
            "valeur": "Jusqu\u0027à 100 000 € par jour de retard",
            "autorite": "B",
            "source": "Loi n° 78-17, art. 20 IV 2° (CNIL)"
        },
        {
            "point": "Exclusion de l\u0027État",
            "valeur": "L\u0027État ne peut pas faire l\u0027objet d\u0027une amende administrative",
            "autorite": "B",
            "source": "Loi n° 78-17, art. 20 IV 7° (CNIL)"
        },
        {
            "point": "Délai d\u0027urgence de mise en demeure",
            "valeur": "Le délai de justification peut être de vingt-quatre heures en cas d\u0027urgence",
            "autorite": "B",
            "source": "Loi n° 78-17, art. 20 III (CNIL)"
        },
        {
            "point": "Publicité de la sanction",
            "valeur": "La formation restreinte peut rendre publiques ses décisions et ordonner leur insertion dans des publications aux frais des personnes sanctionnées",
            "autorite": "B",
            "source": "Loi n° 78-17, art. 22 (CNIL)"
        },
        {
            "point": "Procédure simplifiée – texte créateur",
            "valeur": "Loi n° 2022-52 du 24 janvier 2022 et décret n° 2022-517 du 8 avril 2022",
            "autorite": "B",
            "source": "CNIL"
        },
        {
            "point": "Procédure simplifiée – plafond d\u0027amende",
            "valeur": "20 000 €",
            "autorite": "B",
            "source": "Loi n° 78-17, art. 22-1 (CNIL)"
        },
        {
            "point": "Procédure simplifiée – astreinte",
            "valeur": "100 € par jour de retard maximum",
            "autorite": "B",
            "source": "Loi n° 78-17, art. 22-1 (CNIL)"
        },
        {
            "point": "Procédure simplifiée – publicité",
            "valeur": "Les décisions ne peuvent pas être rendues publiques",
            "autorite": "B",
            "source": "Loi n° 78-17, art. 22-1 (CNIL)"
        },
        {
            "point": "Sanctions pénales principales",
            "valeur": "5 ans d\u0027emprisonnement et 300 000 € d\u0027amende (art. 226-16 à 226-22-1 du code pénal)",
            "autorite": "B",
            "source": "CNIL – Les sanctions pénales"
        },
        {
            "point": "Entrave à l\u0027action de la CNIL",
            "valeur": "1 an d\u0027emprisonnement et 15 000 € d\u0027amende",
            "autorite": "B",
            "source": "Code pénal, art. 226-22-2 (CNIL)"
        },
        {
            "point": "Montant cumulé des amendes CNIL en 2025",
            "valeur": "486 839 500 €",
            "autorite": "B",
            "source": "CNIL – Bilan des sanctions 2025 (9 février 2026)"
        },
        {
            "point": "Nombre de sanctions CNIL en 2025",
            "valeur": "83 (dont 16 en formation restreinte et 67 en procédure simplifiée)",
            "autorite": "B",
            "source": "CNIL – Bilan des sanctions 2025"
        },
        {
            "point": "Sanctions simplifiées en 2026 (au 6 juillet)",
            "valeur": "23 sanctions pour 133 750 € cumulés",
            "autorite": "B",
            "source": "CNIL (6 juillet 2026)"
        }
    ],
    "sources": [
        {
            "titre": "EUR-Lex – Règlement (UE) 2016/679 (RGPD), article 83",
            "url": "https://eur-lex.europa.eu/legal-content/FR/TXT/HTML/?uri=CELEX%3A32016R0679",
            "autorite": "A"
        },
        {
            "titre": "Légifrance – Loi n° 78-17 du 6 janvier 1978, section « Mesures correctrices et sanctions » (art. 20 à 23)",
            "url": "https://www.legifrance.gouv.fr/codes/section_lc/JORFTEXT000000886460/LEGISCTA000037804143/2025-01-11",
            "autorite": "A"
        },
        {
            "titre": "CNIL – Le cadre national : loi Informatique et Libertés consolidée",
            "url": "https://www.cnil.fr/fr/le-cadre-national/la-loi-informatique-et-libertes",
            "autorite": "B"
        },
        {
            "titre": "CNIL – La procédure de sanction simplifiée",
            "url": "https://www.cnil.fr/fr/la-procedure-de-sanction-simplifiee",
            "autorite": "B"
        },
        {
            "titre": "CNIL – Les sanctions pénales",
            "url": "https://www.cnil.fr/fr/les-sanctions-penales",
            "autorite": "B"
        },
        {
            "titre": "CNIL – Sanctions et mesures correctrices : bilan 2025 (9 février 2026)",
            "url": "https://www.cnil.fr/fr/bilan-sanctions-2025",
            "autorite": "B"
        },
        {
            "titre": "CEPD – Lignes directrices 04/2022 sur le calcul des amendes administratives",
            "url": "https://www.edpb.europa.eu/our-work-tools/our-documents/guidelines/guidelines-042022-calculation-administrative-fines-under_en",
            "autorite": "B"
        }
    ],
    "faq": [
        {
            "question": "Quel est le montant maximal d\u0027une amende RGPD ?",
            "reponse": "20 millions d\u0027euros ou 4 % du chiffre d\u0027affaires annuel mondial total de l\u0027exercice précédent, le montant le plus élevé étant retenu, pour les manquements les plus graves : principes de base, consentement, droits des personnes, transferts hors Union européenne, non-respect d\u0027une injonction."
        },
        {
            "question": "Quels manquements relèvent du plafond de 10 M€ ou 2 % ?",
            "reponse": "Ceux visés à l\u0027article 83.4 du RGPD : obligations des articles 8, 11, 25 à 39, 42 et 43, c\u0027est-à-dire notamment la sécurité des traitements, le registre, l\u0027analyse d\u0027impact, la désignation du délégué à la protection des données et la notification des violations de données."
        },
        {
            "question": "Comment le montant de l\u0027amende est-il fixé ?",
            "reponse": "Selon les onze critères de l\u0027article 83.2 du RGPD : nature, gravité et durée de la violation, nombre de personnes affectées, caractère délibéré ou négligent, mesures d\u0027atténuation, degré de responsabilité, antécédents, coopération avec l\u0027autorité, catégories de données, manière dont l\u0027autorité a eu connaissance de la violation, codes de conduite et certifications, avantages financiers obtenus."
        },
        {
            "question": "Qu\u0027est-ce que la procédure de sanction simplifiée de la CNIL ?",
            "reponse": "Créée par la loi du 24 janvier 2022 et le décret du 8 avril 2022, elle permet au président de la formation restreinte ou à un membre désigné de statuer seul sur un dossier sans difficulté particulière. L\u0027amende est plafonnée à 20 000 € et l\u0027astreinte à 100 € par jour. La procédure est écrite et la décision ne peut pas être rendue publique."
        },
        {
            "question": "Une sanction de la CNIL est-elle toujours publique ?",
            "reponse": "Non. La formation restreinte peut décider de rendre publique sa décision et d\u0027en ordonner l\u0027insertion dans des publications aux frais de l\u0027organisme sanctionné, mais ce n\u0027est pas automatique. En procédure simplifiée, la publicité est en revanche exclue. En 2025, 10 décisions ont été rendues publiques sur 83 sanctions."
        },
        {
            "question": "Une amende RGPD peut-elle se cumuler avec une sanction pénale ?",
            "reponse": "Les articles 226-16 et suivants du code pénal prévoient des peines pouvant atteindre 5 ans d\u0027emprisonnement et 300 000 € d\u0027amende. Lorsqu\u0027une sanction pécuniaire administrative est devenue définitive avant que le juge pénal ait statué sur les mêmes faits, celui-ci peut ordonner que l\u0027amende administrative s\u0027impute sur l\u0027amende pénale."
        }
    ],
    "wikidata": [
        {
            "qid": "Q1172506",
            "label": "RGPD"
        }
    ],
    "valid_from": "2018-05-25",
    "valid_to": null,
    "derniere_revision": "2026-08-16",
    "derniere_verification": "2026-08-16",
    "statut_factcheck": "ok",
    "url": "https://nexvyra.fr/fait/sanctions-rgpd-amendes-administratives"
}