Sécurité

RGPD : les sanctions réelles et les cas fréquents

Le RGPD prévoit des amendes jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial, mais ces plafonds ne disent pas ce qu'une petite structure risque en pratique : la CNIL dispose de mesures plus légères, comme la mise en demeure, qui laisse un délai pour se corriger. Ce guide décrit l'échelle réelle des mesures, les situations qui déclenchent un contrôle (cookies, formulaires, sécurité, droits des personnes), ce qui fait varier la sévérité et la marche à suivre si un courrier arrive.

Sécurité · Lecture : 18 min · Agence DYNSEO

Sanctions RGPD : ce que disent les plafonds et ce qu'ils ne disent pas

Le règlement européen fixe deux paliers de plafond : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial, jusqu'à 20 millions d'euros ou 4 %, le montant le plus élevé étant retenu. Le palier inférieur vise notamment les manquements aux obligations du responsable de traitement et du sous-traitant (registre, sécurité, notification d'une fuite). Le palier supérieur vise les principes de base (base légale, consentement, durée de conservation) et les droits des personnes.

Ces chiffres sont ceux que l'on retrouve dans la presse, et ils donnent une image trompeuse. Un plafond est une limite haute que le texte interdit de dépasser ; il ne dit pas ce qu'une autorité demande à un artisan, une association ou une PME dont le site collecte des demandes de contact. Le règlement impose d'ailleurs à l'autorité de rendre chaque sanction « effective, proportionnée et dissuasive » : la proportion est inscrite dans le texte lui-même.

Pour répondre honnêtement à la question « que risque-t-on ? », il faut donc regarder trois choses : la gamme des mesures dont dispose la CNIL, les critères qui font monter ou descendre la sévérité, et les conséquences qui n'ont rien à voir avec une amende. C'est le plan de ce guide, qui ne remplace pas l'avis d'un juriste pour votre situation.

Qui contrôle le RGPD en France et comment un dossier s'ouvre

En France, l'autorité compétente est la CNIL (Commission nationale de l'informatique et des libertés). Elle peut ouvrir un dossier de plusieurs façons : à la suite d'une plainte déposée par une personne concernée, à la suite d'un signalement, dans le cadre de son programme annuel de contrôles thématiques, ou parce qu'un incident rendu public (une fuite de données, par exemple) attire son attention.

Une personne peut saisir la CNIL en ligne, sans avocat et sans frais. C'est ce qui rend la plainte si importante en pratique : un visiteur qui n'obtient pas de réponse à sa demande de suppression, un client qui reçoit des courriels commerciaux qu'il n'a jamais demandés, un salarié dont l'employeur surveille les écrans, peuvent chacun lancer une procédure. Un organisme qui traite correctement les demandes de ses interlocuteurs réduit déjà une grande partie de son exposition.

La CNIL dispose aussi de plusieurs formes de contrôle : un contrôle en ligne (elle consulte votre site comme n'importe quel visiteur et constate les cookies déposés ou les mentions absentes), un contrôle sur pièces (elle vous demande des documents), une audition, ou un contrôle sur place. Le contrôle en ligne ne demande aucun déplacement : c'est l'une des raisons pour lesquelles les sites internet sont directement concernés.

L'échelle des mesures de la CNIL, du simple rappel à l'amende publique

L'amende n'est qu'un cran parmi d'autres. Le tableau ci-dessous présente les principales mesures, de la plus légère à la plus lourde. Leur choix dépend du dossier ; la CNIL n'est pas obligée de les enchaîner dans cet ordre.

Le point utile à retenir est la place de la mise en demeure. Elle laisse un délai pour se conformer, et la CNIL peut clôturer le dossier si les corrections sont faites. Elle ne protège pas pour autant d'une sanction si le manquement est grave ou si la correction n'arrive pas : le chemin vers la sanction existe, il n'est pas systématique.

Ce qui fait varier la sévérité d'une sanction RGPD

Le règlement énumère les éléments que l'autorité doit prendre en compte pour décider d'une amende et de son niveau. Ils parlent plus clairement que les plafonds :

• La nature, la gravité et la durée du manquement : un défaut corrigé en quelques jours n'a pas le même poids qu'une pratique maintenue pendant des années.
• Le caractère intentionnel ou négligent : ignorer volontairement un refus de cookies, ou continuer d'envoyer des courriels après une opposition, pèse plus qu'une erreur de paramétrage.
• Les catégories de données : des données de santé, des données d'enfants ou des données sensibles appellent une vigilance plus forte que des noms et des adresses de contact.
• Le nombre de personnes touchées et le dommage qu'elles ont pu subir.
• Les mesures prises pour limiter le dommage : prévenir les personnes, corriger vite, couper l'accès fautif.
• La coopération avec l'autorité : répondre dans les délais et de façon transparente joue en votre faveur, ne pas répondre joue contre vous.
• Les manquements antérieurs et les éventuels engagements pris, par exemple le respect d'un code de conduite.

La taille de l'organisme et son chiffre d'affaires entrent en compte dans le calcul. Une petite structure qui réagit vite, documente ses démarches et répond à la CNIL se trouve donc dans une situation très différente d'un grand acteur qui exploite massivement des données sans respecter un refus.

Les cas fréquents de manquement au RGPD sur un site ou une application

Les décisions publiques de la CNIL et ses contrôles thématiques tournent autour de quelques situations qui reviennent. Elles concernent des sites très divers, de la vitrine à la plateforme.

Cookies et traceurs : le manquement le plus facile à constater

Les traceurs qui ne sont pas strictement nécessaires au fonctionnement du site, comme la publicité ciblée ou certains outils de statistiques, demandent en principe le consentement préalable du visiteur. Un consentement valable suppose un choix libre : le bouton de refus doit être aussi simple d'accès que celui d'acceptation. La CNIL a sanctionné de très grands acteurs du web, dont Google et Facebook, pour avoir rendu le refus plus compliqué que l'acceptation, ce qui montre que ce point est surveillé et pas seulement théorique.

Sur un site de petite taille, l'erreur la plus courante est de laisser une extension, un widget de réseau social ou une vidéo intégrée déposer des traceurs au chargement de la page, alors que le bandeau de consentement n'agit que sur une partie des outils. Un test simple : ouvrez votre site en navigation privée, refusez tout, puis regardez dans les outils du navigateur quels cookies sont tout de même présents.

Faille de sécurité et fuite de données : l'obligation de notifier

Le RGPD impose une sécurité adaptée aux risques. Une sanction peut viser l'absence de mesures élémentaires (mises à jour, mots de passe robustes, accès limités, sauvegardes protégées), indépendamment du fait qu'une attaque réussisse ou non. Et en cas de violation de données susceptible de présenter un risque pour les personnes, le responsable de traitement doit la notifier à la CNIL dans un délai de 72 heures après en avoir pris connaissance, et informer les personnes concernées si le risque est élevé. Ne pas notifier est un manquement distinct de la fuite elle-même.

Prospection et droits des personnes : le terrain des plaintes

Une personne a le droit d'obtenir une copie de ses données, de les faire corriger, de demander leur effacement dans les cas prévus et de s'opposer à la prospection. La réponse est attendue dans un délai d'un mois, prolongeable dans les cas complexes avec information de la personne. Pour la prospection par courriel auprès de particuliers, l'accord préalable est la règle, avec des exceptions limitées ; pour la prospection entre professionnels, la CNIL admet un régime d'information et d'opposition à condition que le message concerne l'activité de la personne. En cas de doute sur votre cas, faites valider vos pratiques par un juriste.

Durée de conservation et surveillance : deux manquements moins visibles

Conserver indéfiniment les données de contacts, les candidatures ou les anciens comptes clients est un manquement fréquent, parce qu'il ne se voit pas de l'extérieur : il apparaît lors d'un contrôle sur pièces ou après une plainte. Le principe est de ne garder les données que le temps nécessaire à la finalité annoncée, puis de les supprimer ou de les archiver dans un cadre précis.

Autre sujet régulier : la surveillance des salariés (caméras, géolocalisation de véhicules, contrôle des postes informatiques). Elle exige une finalité claire, une information préalable et une proportionnalité que la CNIL examine de près. Si votre projet de site ou d'application intègre de la géolocalisation d'équipes ou du suivi d'activité, ce point doit être traité dès la conception, pas après la livraison.

Au-delà de la CNIL : les conséquences d'un manquement RGPD qui ne passent pas par l'amende

Une personne qui estime avoir subi un dommage matériel ou moral du fait d'une violation du règlement peut en demander réparation devant un tribunal, et une action de groupe est envisageable dans certains cas. Les montants dépendent des juges et du dommage démontré ; la procédure elle-même mobilise du temps et des frais de défense, même lorsque l'issue est favorable.

Il y a ensuite les effets commerciaux, qui peuvent être plus rapides. Des donneurs d'ordre, des collectivités ou de grandes entreprises demandent à leurs fournisseurs, dans les questionnaires d'achat ou les appels d'offres, comment ils protègent les données. Une réponse approximative peut faire perdre un marché sans qu'aucune autorité ne soit intervenue. Enfin, après une fuite, la confiance des clients, des patients ou des adhérents est la ressource la plus difficile à reconstruire.

Trois situations imaginaires de manquement au RGPD, et ce qu'elles entraîneraient

Les trois scénarios suivants sont illustratifs : ils ne décrivent pas des clients réels et ne chiffrent aucune sanction, parce que la décision dépend de chaque dossier. Ils servent à montrer comment les critères de sévérité s'appliquent.

Scénario 1 : un formulaire de contact sans information, une plainte

Un artisan fait créer un site avec un formulaire de devis. Aucune mention n'explique ce que devient le message, et les demandes restent des années dans la boîte mail. Un particulier demande la suppression de son message, sans réponse. Il saisit la CNIL. Le dossier, ici, porte sur l'information absente, la durée de conservation et le droit non honoré. Un échange documenté (mentions ajoutées, demande traitée, règle de suppression mise en place) pourrait suffire à clore la procédure, puisque le manquement est limité et corrigé vite.

Scénario 2 : une boutique en ligne et ses traceurs publicitaires

Une boutique intègre un outil de suivi publicitaire. Le bandeau propose « Tout accepter » en grand et « Paramétrer » en petit, sans bouton de refus immédiat, et l'outil se charge avant tout choix. Le manquement est visible depuis l'extérieur, concerne tous les visiteurs et dure depuis la mise en ligne. Ces éléments (visibilité, durée, nombre de personnes) joueraient contre la boutique. À l'inverse, corriger le bandeau, retirer le traceur fautif et le documenter avant la fin du délai d'une mise en demeure est la façon la plus sûre d'éviter une suite.

Scénario 3 : une extension non mise à jour et une fuite d'adresses

Une association exploite un site WordPress avec une extension d'inscription à des ateliers. L'extension n'est plus mise à jour depuis longtemps, une faille connue est exploitée et la liste des inscrits est copiée. Deux questions se posent : la sécurité était-elle adaptée (une faille connue et non corrigée pèse lourd), et la notification a-t-elle été faite dans les 72 heures, avec information des inscrits ? Une association qui a notifié, informé et corrigé rapidement se présente très différemment de celle qui découvre la fuite par un tiers et se tait.

Prestataire, hébergeur, agence : qui porte la responsabilité RGPD en cas de problème

Le responsable de traitement, c'est vous : l'entreprise, l'association ou la structure qui décide pourquoi et comment les données sont collectées. Votre agence, votre hébergeur, votre outil d'envoi d'e-mails ou votre service de statistiques agissent en général comme sous-traitants. Le règlement exige un contrat qui encadre leur rôle, leurs mesures de sécurité et les conditions d'une éventuelle sous-traitance en cascade.

Concrètement, cela signifie deux choses. D'abord, confier un site à une agence ne vous décharge pas : vous devez pouvoir démontrer que vous avez choisi un prestataire sérieux et encadré sa mission. Ensuite, un sous-traitant a ses propres obligations, et peut aussi être mis en cause s'il ne les respecte pas. Si l'un de vos outils transfère des données hors de l'Union européenne, des garanties supplémentaires sont nécessaires : demandez au fournisseur sur quel mécanisme il s'appuie.

Sur un nouveau site, notre travail est de livrer les réglages techniques (formulaires, cookies, mentions à compléter, accès limités) et de vous dire ce qui reste à décider de votre côté. Nos prix démarrent à 500 € HT pour un site sur modèle, et ces réglages relèvent de la construction du site, pas d'une option. Ce que nous ne faisons pas, c'est rédiger à votre place un avis juridique : la base légale de vos traitements, la durée de conservation de vos données métier ou la rédaction définitive de votre politique de confidentialité doivent être validées par vous, avec un juriste si votre activité le justifie. Pour un projet qui inclut un assistant conversationnel, la question des données saisies par les utilisateurs se pose aussi : voyez notre page intelligence artificielle.

Un courrier de la CNIL ou une fuite de données : la marche à suivre pour votre structure

Ces deux situations n'ont pas la même urgence, mais le réflexe est le même : ne pas rester seul et ne pas laisser le temps courir. Voici l'ordre des gestes dans un cas de fuite probable, qui est le plus pressant ; pour un courrier de la CNIL, répondez dans le délai indiqué, pièces à l'appui, et gardez la trace de vos échanges comme à la dernière étape.

1. 1

   Fermer la brèche

   Changer les mots de passe, désactiver l'extension ou le compte en cause, couper l'accès fautif, sans effacer les journaux de connexion qui serviront à comprendre.

2. 2

   Dater et documenter

   Noter l'heure de la découverte, ce qui est connu, ce qui ne l'est pas, les données concernées. Le délai de 72 heures court à partir du moment où vous en avez connaissance.

3. 3

   Évaluer le risque pour les personnes

   Des adresses e-mail seules ne présentent pas le même risque que des mots de passe, des données de santé ou des pièces d'identité. Cette évaluation décide de la notification et de l'information des personnes.

4. 4

   Notifier la CNIL si nécessaire

   La notification se fait en ligne. Si certaines informations manquent encore, on notifie ce que l'on sait et on complète ensuite.

5. 5

   Informer les personnes concernées si le risque est élevé

   Un message clair : ce qui s'est passé, les données concernées, les conséquences possibles et les précautions à prendre.

6. 6

   Corriger, tracer et garder la preuve

   Conserver une trace écrite de l'incident, des décisions prises et des correctifs. Cette trace compte dans l'appréciation d'une éventuelle sanction.

Réduire votre exposition RGPD : les contrôles à faire sur votre site avant tout courrier

Plutôt que de viser une conformité parfaite et théorique, commencez par les points qu'un visiteur, un plaignant ou un contrôle en ligne verraient en premier. Cette liste correspond aux manquements fréquents décrits plus haut :

1. Tester le bandeau de cookies en navigation privée : refus aussi simple que l'acceptation, aucun traceur non essentiel avant le choix.
2. Lister les formulaires (contact, devis, newsletter, inscription, candidature) et vérifier que chacun explique l'usage des données et renvoie à la politique de confidentialité.
3. Désigner une adresse qui reçoit les demandes de droits, et une personne qui y répond dans le mois.
4. Fixer des durées de conservation par type de données, puis supprimer ce qui les dépasse.
5. Mettre à jour le cœur du site, les thèmes et les extensions, supprimer ceux qui ne servent plus et limiter les comptes d'administration.
6. Tenir un registre des traitements, même simple : quelles données, pour quoi faire, chez quel prestataire.
7. Vérifier les contrats avec l'hébergeur, l'agence et les outils tiers, et la localisation des données.
8. Préparer une procédure de fuite : qui décide, qui prévient, qui contacte la CNIL.

Pour un site WordPress existant, ces contrôles recoupent un travail de maintenance : notre page sur les sites WordPress sur mesure décrit ce que nous mettons en place, et le simulateur de coût de maintenance WordPress aide à estimer le budget correspondant.

Les idées reçues sur les sanctions RGPD qui font prendre de mauvaises décisions

Deux erreurs opposées coexistent. La première consiste à croire qu'aucune structure modeste n'est concernée, ce qui conduit à ignorer des obligations de base : le texte s'applique quelle que soit la taille, et c'est la proportionnalité de la réponse qui varie, pas le principe. La seconde consiste à croire qu'une amende de plusieurs millions menace chaque petit site, ce qui pousse certains à acheter un « pack de mise en conformité » sans vérifier ce qu'il contient.

Quelques raccourcis à éviter : copier la politique de confidentialité d'un concurrent (elle décrit ses traitements, pas les vôtres), considérer qu'un bandeau de cookies suffit sans contrôler ce qui se charge réellement, penser qu'un hébergeur situé en France règle tout, ou attendre un courrier pour commencer. Dans les trois premiers cas, un contrôle en ligne verrait le défaut sans effort.