Une sanction RGPD peut aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial (le montant le plus élevé étant retenu) pour les manquements aux principes, aux droits des personnes et aux règles de transfert, et jusqu’à 10 millions d’euros ou 2 % pour les autres obligations, dont la sécurité. En France, la CNIL prononce ces sanctions, soit par sa formation restreinte (procédure ordinaire), soit par son président seul dans une procédure simplifiée plafonnée à 20 000 euros, ou 100 000 euros pour une entreprise qui réalise plus de 50 millions d’euros de chiffre d’affaires.
La CNIL a prononcé 83 sanctions en 2025, pour 486 839 500 euros d’amendes. Puis, en 2026, Free Mobile et Free (42 millions d’euros), France Travail, IQVIA et la Fnac ont suivi. La plupart des décisions visent pourtant des PME, associations, médecins ou communes, pour quelques milliers d’euros.
Qu’est-ce que le pouvoir de sanction de la CNIL ?
La CNIL dispose d’un pouvoir de sanction renforcé depuis l’entrée en vigueur du RGPD en mai 2018. Ainsi, la formation restreinte de la CNIL peut prononcer des sanctions administratives à l’encontre des organismes qui ne respectent pas les règles de protection des données personnelles. Ce pouvoir couvre aussi bien les entreprises privées que les organismes publics.
La CNIL peut notamment prononcer ces sanctions à la suite d’un contrôle, d’une plainte ou du signalement d’une violation de données. La procédure suit alors un cadre contradictoire qui garantit les droits de la défense de l’organisme mis en cause.
La formation restreinte compte cinq membres et un président, distinct du président de la CNIL : celui qui engage les poursuites n’est pas celui qui juge. Par ailleurs, les sanctions RGPD visent les responsables de traitement comme les sous-traitants. En 2025, la CNIL a d’ailleurs mené 323 contrôles (165 sur place, 125 en ligne, 27 sur pièces, 5 sur audition), point de départ de la plupart des dossiers avec les plaintes.
Les différents types de sanctions RGPD de la CNIL
La CNIL dispose de plusieurs niveaux de sanctions RGPD. D’abord, le rappel à l’ordre constitue la mesure la plus légère. Ensuite, la mise en demeure impose à l’organisme de se mettre en conformité dans un délai déterminé. Enfin, l’injonction sous astreinte fixe une pénalité financière par jour de retard.
L’amende administrative représente en revanche la sanction la plus lourde. Elle peut atteindre 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour les manquements les plus graves. Pour les manquements moins importants, le RGPD fixe le plafond à 10 millions d’euros ou 2 % du chiffre d’affaires.
Les plafonds des sanctions RGPD et les autres mesures, en un tableau
Le tableau croise le texte de l’article 83 du RGPD, les pouvoirs que la loi Informatique et Libertés donne à la CNIL et une décision récente pour chaque ligne.
| Régime | Plafond | Manquements visés | Exemple récent |
|---|---|---|---|
| Article 83.5 RGPD | 20 M€ ou 4 % du CA annuel mondial | Principes (art. 5, 6, 7, 9), droits des personnes (art. 12 à 22), transferts hors UE (art. 44 à 49), non-respect d’une injonction | EXTIA, 300 000 € (juillet 2026) : demandes d’effacement non traitées |
| Article 83.4 RGPD | 10 M€ ou 2 % du CA annuel mondial | Obligations des articles 8, 11, 25 à 39, 42 et 43 : sécurité, registre, AIPD, DPO, sous-traitance, violations | Hôpital privé de la Loire, 500 000 € (septembre 2026) : sécurité du dossier patient |
| Cookies (art. 82 LIL) | Mêmes plafonds, fixés par la loi Informatique et Libertés | Dépôt de traceurs sans consentement, refus non respecté | Fnac, 7 M€ (octobre 2026) : traceur dans l’application mobile |
| Procédure simplifiée | 20 000 € (CA inférieur à 50 M€) ou 100 000 € (CA supérieur) ; astreinte de 100 € ou 500 € par jour | Dossiers sans difficulté particulière : droit d’accès, vidéosurveillance, défaut de coopération | Vente à distance, 5 000 € (mars 2026) : droit d’accès |
| Astreinte ordinaire | Jusqu’à 100 000 € par jour de retard | Injonction de mise en conformité ou de répondre aux demandes de droits | France Travail : 5 000 € par jour prévus, non liquidés après mise en conformité |
| Sanction pénale | 5 ans d’emprisonnement et 300 000 € d’amende (personne physique) | Articles 226-16 à 226-24 du code pénal, prononcées par le juge | Entrave à l’action de la CNIL : 1 an et 15 000 € |
Les mesures sans coût immédiat qui pèsent lourd sur l’activité
Une amende se paie une fois. En revanche, certaines mesures de la formation restreinte bloquent l’activité elle-même, et ce sont souvent celles qui inquiètent le plus une direction :
- la limitation temporaire ou définitive du traitement, son interdiction ou le retrait d’une autorisation ;
- le retrait d’une certification ;
- la suspension des flux de données vers un pays tiers ou une organisation internationale ;
- la suspension des règles d’entreprise contraignantes (BCR) ;
- l’ordre de satisfaire aux demandes d’exercice des droits, y compris sous astreinte.
Le cas des organismes publics
L’article 83.7 du RGPD laisse chaque État décider si ses autorités publiques peuvent être frappées d’amendes. En France, elles le peuvent. Le calcul diffère toutefois : pour France Travail, établissement public administratif, la CNIL a raisonné sur une fourchette plafonnée à 10 millions d’euros pour un manquement à la sécurité, sans référence à un chiffre d’affaires. Un ministère a en revanche reçu, en mars 2026, un rappel à l’ordre assorti d’une injonction. Enfin, toutes les amendes, publiques ou privées, vont au budget de l’État.
Procédure ordinaire ou simplifiée : ce qui change pour l’organisme
La présidente de la CNIL choisit le circuit après un contrôle ou une plainte. Toutefois, la procédure simplifiée ne vise que les affaires sans difficulté particulière : jurisprudence établie, décisions antérieures de la formation restreinte, questions de fait et de droit simples. En 2025, 67 des 83 sanctions sont d’ailleurs passées par ce circuit.
Les étapes de la procédure ordinaire
- Désignation d’un rapporteur parmi les membres du collège et saisine de la formation restreinte ; l’organisme en est informé.
- Notification du rapport, qui propose les mesures et, le cas échéant, le montant de l’amende. L’organisme peut alors consulter le dossier et se faire assister par le conseil de son choix.
- Un mois pour répondre par écrit, puis un mois pour la réplique du rapporteur ; des prolongations sont possibles pour les dossiers complexes.
- Convocation au moins quinze jours avant une séance publique (huis clos possible sur demande motivée), où l’organisme parle en dernier, après l’avis éventuel du commissaire du gouvernement.
- Délibéré à huis clos, décision notifiée quelques semaines plus tard, éventuellement rendue publique.
- Recours possible devant le Conseil d’État dans les deux mois suivant la notification.
La procédure simplifiée, écrite et confidentielle
Le rapporteur est cette fois un agent des services de la CNIL. La procédure est écrite, avec le même délai d’un mois pour présenter ses observations, et l’organisme peut demander à être entendu en séance. Ensuite, le président de la formation restreinte, ou un membre qu’il désigne, décide seul et peut à tout moment renvoyer le dossier en procédure ordinaire. Enfin, la CNIL ne publie jamais ces décisions, ce qui explique que sa liste ne nomme pas les organismes concernés.
Par ailleurs, trois mesures seulement sont possibles : rappel à l’ordre, amende, injonction sous astreinte. Les plafonds dépendent désormais de la taille de l’entreprise, selon la CNIL : 20 000 euros et 100 euros par jour en dessous de 50 millions d’euros de chiffre d’affaires, 100 000 euros et 500 euros par jour au-delà. Pourtant, certaines pages d’aide du site de la CNIL et plusieurs guides en ligne ne mentionnent encore que le seuil de 20 000 euros : fiez-vous à la page consacrée à la procédure simplifiée.
Quand la CNIL n’est pas seule à décider
Pour un traitement transfrontalier, la CNIL soumet le projet de décision aux autorités européennes concernées ; en cas d’objections non suivies, le Comité européen de la protection des données (CEPD) tranche. L’amende de 3,5 millions d’euros de fin 2025 sur la publicité ciblée a ainsi été adoptée avec 16 homologues de la CNIL.
Les critères de détermination du montant de l’amende
La CNIL prend en compte plusieurs critères pour fixer le montant de la sanction. La nature, la gravité et la durée de la violation sont évaluées en premier lieu. Le nombre de personnes concernées et l’étendue du dommage subi pèsent également dans la décision.
De même, le caractère intentionnel ou négligent du manquement influence le montant. Elle tient également compte des mesures prises par l’organisme pour atténuer le dommage, tout comme du degré de coopération avec la CNIL. Les antécédents de l’organisme en matière de conformité jouent aussi un rôle déterminant.
Par ailleurs, l’article 83.2 du RGPD ajoute des critères que l’on oublie souvent : les catégories de données concernées, la manière dont l’autorité a appris la violation (l’organisme l’a-t-il notifiée lui-même ?), le respect des mesures déjà ordonnées, l’adhésion à un code de conduite ou une certification, et les avantages financiers tirés du manquement. Enfin, si une même opération de traitement enfreint plusieurs dispositions, le total ne peut dépasser le plafond de la violation la plus grave.
Ce que les sanctions RGPD de 2026 révèlent de ces critères
Les communiqués de 2026 montrent ainsi comment ces critères se traduisent en pratique :
- la taille et les capacités financières : citées pour Free Mobile, Free, IQVIA et l’hôpital privé de la Loire ;
- les antécédents : Google avait déjà été sanctionnée en 2020 et 2021 sur les traceurs, EXTIA avait été rappelée deux fois à ses obligations ;
- l’écart entre l’analyse et l’action : chez France Travail, la plupart des mesures de sécurité adéquates figuraient dans les analyses d’impact sans avoir été mises en œuvre ;
- la réaction en cours de procédure : la formation restreinte a relevé les mesures prises par Free, EXTIA ou l’hôpital, sans faire disparaître l’amende.
En outre, le CEPD a soumis à consultation, le 17 septembre 2026, des lignes directrices 04/2026 sur l’articulation entre l’amende et les autres mesures correctrices. Nous en avons d’ailleurs tiré les conséquences pratiques dans notre article sur la place de la réaction de l’organisme dans les amendes RGPD.
Les exemples de sanctions RGPD de la CNIL en France
La CNIL a prononcé des amendes significatives ces dernières années. Les géants du numérique ont été les premières cibles avec des amendes de plusieurs dizaines de millions d’euros pour des manquements liés au consentement et à la transparence.
Toutefois, la CNIL n’épargne pas les PME et les collectivités. Ainsi, elle a infligé des sanctions RGPD de plusieurs dizaines de milliers d’euros pour des défauts de sécurité, des durées de conservation excessives ou des manquements aux droits des personnes. Elle publie d’ailleurs régulièrement ses décisions pour sensibiliser les organismes.
Les sanctions RGPD de 2025 et 2026 à retenir
Toutes les dates ci-dessous viennent de la liste officielle des sanctions et des communiqués de la CNIL.
- 1er septembre 2025, Google, 325 millions d’euros : publicités entre les courriels Gmail et traceurs sans consentement valable. Le même jour, un vendeur de vêtements en ligne a également reçu 150 millions d’euros pour ses cookies.
- Fin décembre 2025, 3,5 millions d’euros : transmission des données de plus de 10,5 millions de membres d’un programme de fidélité à un réseau social, sans consentement valable.
- Janvier 2026, Free Mobile et Free, 27 et 15 millions d’euros : authentification VPN trop faible, détection inefficace, information incomplète des abonnés, conservation excessive chez Free Mobile.
- 22 janvier 2026, France Travail, 5 millions d’euros : comptes de conseillers usurpés, habilitations trop larges, journalisation insuffisante. La CNIL a ensuite clos l’injonction en septembre 2026 sans liquider l’astreinte.
- 26 mai 2026, IQVIA, 5 millions d’euros : autorisations de ses entrepôts de données de santé non respectées ; données jugées pseudonymes et non anonymes.
- 21 juillet 2026, EXTIA, 300 000 euros : sur 265 demandes d’effacement reçues en 2024, plus des trois quarts mal ou pas traitées.
- 3 septembre 2026, hôpital privé de la Loire, 500 000 euros : dossier patient accessible sans VPN ni double authentification, tiers de confiance non informés.
- 22 octobre 2026, Fnac, 7 millions d’euros : traceur de recommandation dans l’application sans consentement ; nous l’avons détaillé dans notre analyse de la sanction Fnac.
Les petites sanctions de la procédure simplifiée
À l’autre bout de l’échelle, la procédure simplifiée produit chaque mois des décisions de 2 000 à 20 000 euros : un candidat aux législatives pour un droit d’accès ignoré (2 000 euros), une association religieuse pour sa vidéoprotection (10 000 euros), une société d’hébergement touristique pour sa durée de conservation et ses contrats de sous-traitance (3 000 euros). De même, un médecin et un avocat ont vu liquider une astreinte de 1 000 euros pour ne pas avoir répondu à une injonction.
Sanction CNIL : un DPO privé de moyens coûte une amende
La procédure simplifiée vise aussi la place faite au délégué à la protection des données (DPO). Le 12 mars 2024, la CNIL a annoncé quinze sanctions rendues depuis janvier, pour un total de 98 500 euros. L’une d’elles frappe un organisme qui n’associait pas son DPO aux réunions sur la protection des données et la sécurité des systèmes d’information. De plus, les coordonnées et les missions du délégué n’avaient fait l’objet d’aucune communication auprès des salariés depuis plusieurs années. Enfin, le DPO n’avait pas accès à la messagerie du site internet par laquelle les personnes exercent leurs droits.
La CNIL a donc jugé le DPO incapable de remplir ses missions de l’article 39 du RGPD, et elle a prononcé une amende. Le nom de l’organisme reste confidentiel, comme pour toute décision de cette procédure. En pratique, vérifiez avant un contrôle la liste des réunions où votre DPO est convié, la date de la dernière note interne sur son rôle et ses accès à la boîte des demandes de droits. Notre guide du rôle du DPO détaille les moyens à lui garantir.
Les manquements les plus fréquemment sanctionnés
Le défaut de sécurité des données représente le manquement le plus souvent sanctionné. Le non-respect des droits des personnes, notamment le droit d’accès et le droit d’opposition, génère également de nombreuses sanctions RGPD. Enfin, le défaut d’information des personnes et la collecte excessive de données figurent parmi les autres motifs récurrents.
Les records européens
Le record reste l’amende de 1,2 milliard d’euros infligée en 2023 à Meta Ireland par l’autorité irlandaise, après une décision contraignante du CEPD, pour des transferts de données Facebook vers les États-Unis. Pour une PME, en revanche, l’enjeu réel se situe dans la procédure simplifiée et les injonctions.
La publicité des sanctions RGPD
La CNIL peut décider de rendre publiques ses sanctions. Cette publicité constitue alors une sanction complémentaire qui peut causer un préjudice d’image considérable à l’organisme sanctionné. Elle décide de la publication en fonction de la gravité des manquements et de la nécessité d’informer le public.
Les sanctions RGPD publiques sont consultables sur le site de la CNIL et font l’objet de communiqués de presse. Cette transparence vise ainsi à renforcer l’effet dissuasif des sanctions RGPD et à sensibiliser les organismes aux enjeux de la protection des données.
En 2025, la CNIL a rendu publiques dix décisions sur 83. La formation restreinte peut aussi ordonner l’insertion de la décision dans des journaux et supports qu’elle désigne, aux frais de l’organisme. Elle peut enfin publier sans nommer : c’est le choix fait pour l’amende de 3,5 millions d’euros sur la publicité ciblée, jugée utile pour informer le public sur une pratique répandue. En revanche, les décisions de la procédure simplifiée, elles, ne sont jamais publiques.
Sanctions pénales et indemnisation : ce que la CNIL ne fait pas
À côté des amendes administratives, le code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende plusieurs atteintes aux données : traitement sans les mesures des articles 24, 25, 30 et 32 du RGPD, absence de notification d’une violation à la CNIL ou aux personnes, collecte déloyale, conservation au-delà de la durée prévue, détournement de finalité, transfert illicite hors de l’Union. De même, entraver un contrôle de la CNIL coûte jusqu’à un an d’emprisonnement et 15 000 euros d’amende. Ces peines relèvent donc du juge pénal ; le procureur en avise la CNIL.
La CNIL, de son côté, n’indemnise personne. Les amendes vont en effet au Trésor public. Ainsi, une personne qui a subi un dommage matériel ou moral doit agir devant les juridictions, sur le fondement de l’article 82 du RGPD, ou porter plainte auprès de la police ou de la gendarmerie. En outre, une sanction CNIL publique donne souvent des arguments à ces actions.
Comment éviter les sanctions RGPD de la CNIL
La mise en conformité proactive reste la meilleure protection contre les sanctions RGPD. Désignez un DPO, tenez un registre des traitements à jour et réalisez des analyses d’impact lorsque c’est nécessaire. Formez aussi vos collaborateurs et mettez en place des procédures internes claires.
La coopération avec la CNIL en cas de contrôle est essentielle. Répondez donc aux demandes dans les délais impartis, fournissez les documents demandés et montrez votre bonne foi. En effet, un organisme qui démontre sa volonté de se mettre en conformité bénéficie généralement d’une plus grande indulgence.
Les mesures préventives essentielles
D’abord, réalisez un audit de conformité régulier pour identifier les écarts. Documentez ensuite vos traitements et vos mesures de sécurité. Mettez également en place une politique de gestion des violations de données. Vérifiez aussi que vos contrats avec les sous-traitants incluent les clauses RGPD obligatoires. Enfin, assurez-vous que vos mentions d’information sont complètes et accessibles.
Pour la gestion des violations, notre tutoriel pour notifier une violation de données personnelles détaille les délais et le contenu attendu ; l’affaire de l’hôpital privé de la Loire montre que la CNIL sanctionne une information des personnes incomplète au même titre que la faille elle-même.
Ce que nous voyons lors des audits
Les décisions récentes recoupent d’ailleurs ce que nous constatons chez les organismes que nous accompagnons. Les situations ci-dessous reviennent plus que les autres.
- La boîte « contact » qui reçoit des demandes de droits sans que personne ne les identifie. Pourtant, le délai d’un mois court pendant ce temps. La version conforme : un circuit écrit, un registre des demandes avec la date de réception et la date de réponse. Vérifiez donc vous-même : retrouvez les trois dernières demandes d’accès ou d’effacement et la preuve de la réponse.
- Les accès distants ou externes protégés par un simple mot de passe. Télétravail par VPN chez Free, comptes de partenaires chez France Travail, médecins libéraux à l’hôpital privé de la Loire : le point d’entrée était le même. Vérifiez alors la liste des comptes externes et le mode d’authentification de chacun.
- Le courrier de la CNIL resté sans réponse. En 2025, la CNIL a sanctionné quatorze organismes pour ce seul motif, et plusieurs liquidations d’astreinte de 2026 visent des injonctions ignorées. Pourtant, une adresse surveillée et un responsable désigné suffisent souvent.
Si vous recevez un rapport de sanction
- Notez la date de réception : le délai d’un mois pour vos observations écrites part de là.
- Demandez ensuite la copie des pièces du dossier au service des sanctions et faites-vous assister si l’enjeu le justifie.
- Corrigez aussi sans attendre et datez chaque correction : la formation restreinte relève les mesures prises en cours de procédure.
- Discutez également le montant proposé au regard des critères de l’article 83.2, avec des éléments chiffrés (nombre réel de personnes, durée, catégories de données).
- Enfin, préparez la suite : une injonction a un calendrier, et son non-respect déclenche l’astreinte.
Testez vos connaissances sur les sanctions RGPD
Vérifiez que les plafonds et la procédure des sanctions RGPD sont acquis. Ouvrez la réponse qui vous paraît juste.
Plafonds et procédure simplifiée
A. 20 000 euros
B. 100 000 euros
C. 10 millions d’euros
A. 20 millions d’euros ou 4 %
B. 10 millions d’euros ou 2 %
C. 300 000 euros
Mise en demeure et recours contre une sanction
A. Oui, c’est la première sanction
B. Non, c’est une mesure de la présidente avant toute sanction
C. Oui, si elle est publiée
A. Quinze jours devant le tribunal administratif
B. Un mois devant la CNIL
C. Deux mois devant le Conseil d’État
Voir le barème
Pour suivre l’actualité des sanctions RGPD
Sources officielles
- CNIL : Les sanctions prononcées par la CNIL
- CNIL : Sanctions et mesures correctrices : la CNIL présente le bilan 2025
- CNIL : Mission 4 – Contrôler et sanctionner
- CNIL : La procédure de sanction simplifiée
- CNIL : Les étapes de la procédure de sanction ordinaire
- CNIL : Les pouvoirs de la formation restreinte
- CNIL : La coopération avec les autorités de contrôle européennes
- CNIL : Les sanctions pénales
- CNIL : RGPD, chapitre VIII – Voies de recours, responsabilité et sanctions
- CNIL : Publicités insérées entre les courriels et cookies : la CNIL sanctionne GOOGLE d’une amende de 325 millions d’euros
- CNIL : Transmission de données à un réseau social à des fins publicitaires : sanction de 3,5 millions d’euros
- CNIL : Violation de données : sanction de 42 millions d’euros à l’encontre des sociétés FREE MOBILE et FREE
- CNIL : Violation de données : sanction de 5 millions d’euros à l’encontre de FRANCE TRAVAIL
- CNIL : Clôture de l’injonction prononcée à l’encontre de FRANCE TRAVAIL
- CNIL : Données de santé : sanction de 5 millions d’euros à l’encontre de la société IQVIA
- CNIL : Non-respect des droits des personnes : sanction de 300 000 euros à l’encontre de la société EXTIA
- CNIL : Violation de données en matière de santé : sanction de 500 000 euros à l’encontre de l’HÔPITAL PRIVÉ DE LA LOIRE
- CNIL : Cookies et application mobile : sanctions de 7 millions d’euros à l’encontre des sociétés FNAC DARTY PARTICIPATIONS ET SERVICES et FNAC DIRECT
- CEPD : Fines
- CEPD : Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR
- CEPD : Annual Report 2023 (amende de 1,2 milliard d’euros à Meta Ireland)
Le cas du DPO tenu à l’écart figure dans le communiqué La CNIL a prononcé quinze nouvelles sanctions dans le cadre de la procédure simplifiée depuis janvier 2024, CNIL, 12 mars 2024.
