RGPD : risques et sanctions en cas de non-conformité

Ces conséquences sont loin d’être insignifiantes. Pour la démarche complète, voir notre guide de la conformité RGPD.

Les risques de non-conformité

La non-conformité n’est pas une mince affaire. Elle entraîne d’abord des risques financiers : des amendes qui peuvent atteindre 4 % du chiffre d’affaires total mondial. Mais ce n’est pas tout : les risques opérationnels peuvent perturber vos activités, et l’atteinte à la réputation peut ternir l’image de l’entreprise durablement.

• Risque financier

  Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial, selon le montant le plus élevé.

• Risque opérationnel

  Limitation ou suspension d’un traitement, suspension des flux de données : l’activité peut être directement entravée.

• Risque réputationnel

  Les décisions de sanction peuvent être rendues publiques. L’image de l’entreprise en porte la trace longtemps.

• Risque relationnel

  Perte de confiance des clients et des partenaires, difficultés à remporter des marchés exigeant des garanties.

C’est ce qui rend les contrôles internes décisifs, en particulier pour les entreprises en croissance.

Sanctions et pénalités

La CNIL peut imposer des sanctions en cas de non-respect du RGPD ou de la loi Informatique et Libertés, aussi bien aux responsables de traitement qu’aux sous-traitants. Deux procédures coexistent.

Procédure ordinaire (RGPD)

• Amendes jusqu’à 20 millions d’euros ou, pour une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial.
• Ces sanctions peuvent être rendues publiques.
• Rappel à l’ordre, injonction de mise en conformité (éventuellement sous astreinte), limitation ou suspension d’un traitement, suspension des flux de données, injonction de satisfaire aux demandes d’exercice des droits.

Procédure simplifiée (loi Informatique et Libertés)

• Sanctions moins nombreuses et moins sévères, qui ne peuvent pas être rendues publiques.
• Rappel à l’ordre, injonction de mise en conformité sous astreinte d’un montant maximal de 100 euros par jour de retard.
• Amende administrative d’un montant maximal de 20 000 euros.

Les pouvoirs correctifs de la CNIL

• Rappel à l’ordre

  Une mesure d’avertissement envers l’entité en infraction.

• Injonction de mise en conformité

  Exiger que le traitement soit conforme, ou que les demandes d’exercice des droits soient satisfaites. L’injonction peut être assortie d’une astreinte pouvant aller jusqu’à 100 000 euros par jour de retard.

• Limitation, interdiction ou retrait d’autorisation

  Restrictions temporaires ou permanentes sur le traitement des données.

• Retrait de certification

  Si une entité certifiée ne respecte pas les règles, sa certification peut lui être retirée.

• Suspension des flux de données

  Suspension des transferts vers des destinataires situés hors de l’UE ou vers des organisations internationales.

• Amendes administratives

  Jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les manquements les plus graves ; jusqu’à 10 millions d’euros ou 2 % pour les obligations du responsable de traitement ou du sous-traitant.

• Publicité de la décision

  La CNIL peut rendre publique sa décision et en ordonner l’insertion dans des publications. L’entité mise en cause dispose de deux mois pour former un recours devant le Conseil d’État.

Pour anticiper, l’ évaluation de la maturité et l’ analyse d’impact restent les deux outils les plus efficaces.

Des exemples concrets

Si vous pensez que le RGPD est une affaire de grandes entreprises, détrompez-vous : les PME ne sont pas à l’abri, et les sanctions peuvent être tout aussi lourdes pour elles. Quelques décisions rendues par la CNIL en 2023 :

• Société de conseil en systèmes et logiciels informatiques (23/01/2023) : défaut de coopération avec la CNIL et problèmes de consentement. Amende de 5 000 euros et injonction de mise en conformité.
• Commune (08/02/2023) : absence de délégué à la protection des données. Amende de 5 000 euros.
• Médecin généraliste (08/02/2023) : non-respect du droit d’accès et manque de coopération. Amende de 3 000 euros.
• Société de détail d’habillement (08/02/2023) : manque de coopération. Amende de 10 000 euros.
• Société de sécurité privée (03/03/2023) : non-respect du principe de minimisation des données. Amende de 15 000 euros.
• Société de location de scooters électriques (16/03/2023) : collecte excessive de données et défaut d’information des utilisateurs. Amende de 125 000 euros.
• Société de programmation informatique (28/03/2023) : encadrement défaillant de la relation responsable de traitement / sous-traitant et défaut de sécurité. Amende de 20 000 euros.
• Société de marketing (28/03/2023) : défaut de coopération. Amende de 10 000 euros.
• Société d’aide à domicile (17/04/2023) : injonction pour conformité tardive en matière d’anonymisation des données.

Les géants du web ne sont pas épargnés

Meta a été lourdement sanctionné, avec des amendes totalisant plus de 2,5 milliards d’euros depuis 2018 pour diverses violations. Amazon Europe et Google ont également reçu des amendes substantielles, respectivement de 746 millions d’euros et 150 millions d’euros, pour des pratiques publicitaires non conformes et des problèmes liés aux cookies. Le message est clair : aucune entreprise, quelle que soit sa taille, n’est au-dessus des règles.

Étapes pour assurer la conformité

La conformité n’est pas un produit que l’on saisit en rayon : c’est une démarche qui demande méthode et constance. Elle débute par des évaluations d’impact rigoureuses, sans oublier d’intégrer la confidentialité dès la phase de conception des projets, puis par des mesures techniques et organisationnelles solides.

Conclusion

La non-conformité au RGPD est un pari risqué. Les sanctions sont réelles et leurs effets durables. Mais avec les bonnes informations et une approche proactive, la conformité devient une protection, pour l’entreprise comme pour les personnes dont elle traite les données.