Amendes RGPD : ce que risque vraiment une petite équipe (cas réels)

Le chiffre que tout le monde cite, c’est 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. C’est le plafond des amendes du RGPD, et il ne dit presque rien de ce que risque une équipe de six personnes.

Une sanction RGPD pour une PME ou une petite équipe se calcule en fonction de la taille, des finances et du comportement de l’entreprise. En France, les dossiers simples passent par une procédure où l’amende ne peut pas dépasser 20 000 €. Dans les cas publiés plus bas, l’amende a été de 3 000 € et 6 000 € pour deux médecins libéraux, de 20 000 € pour une société de traduction de neuf salariés et de 92 000 livres sterling, après recours, pour une pharmacie britannique.

Ce guide couvre le RGPD, sa version britannique (UK GDPR) et les règles britanniques de prospection (PECR), pour les entreprises de l’UE comme pour celles qui, ailleurs, y ont des clients. Pour la vue d’ensemble, commencez par mon guide du RGPD pour les petites équipes.

Ce que dit le RGPD sur les amendes

L’article 83 du RGPD fixe deux plafonds, que le RGPD britannique reprend en livres :

Le plus élevé des deux montants s’applique : le pourcentage ne joue que pour les grands groupes. Pour 2 millions d’euros de chiffre d’affaires, 4 % font 80 000 €, et le plafond reste à 20 millions. C’est un maximum, pas un point de départ.

Ce que l’autorité prend en compte

L’article 83.2 liste ce qui fixe le montant :

• la gravité, la durée et le nombre de personnes concernées ;
• le caractère délibéré ou négligent ;
• ce que vous avez fait pour limiter les dégâts, et vos mesures de sécurité ;
• les manquements antérieurs et le respect des mesures déjà ordonnées ;
• votre coopération, et la façon dont l’autorité a été informée (par exemple par votre propre notification) ;
• la nature des données (la santé pèse plus lourd) et le profit tiré.

La taille et les finances interviennent par la proportionnalité : dans deux des cas plus bas, l’autorité a fixé ou réduit le montant après avoir regardé les comptes de l’entreprise.

L’amende n’est qu’un outil parmi d’autres

L’article 58.2 permet aussi à l’autorité d’adresser un avertissement ou un rappel à l’ordre, d’ordonner une mise en conformité dans un délai donné, ou de limiter, voire d’interdire, un traitement. Pour une petite équipe, une injonction sous astreinte ou l’interdiction d’utiliser un fichier de prospects peut coûter plus cher que l’amende.

Sanction RGPD en PME : ce que font vraiment la CNIL et l’ICO

En France : la procédure de sanction simplifiée

Depuis la loi du 24 janvier 2022, la CNIL peut traiter les dossiers simples par une procédure de sanction simplifiée. Le président de la formation restreinte (l’organe de sanction de la CNIL), ou un membre qu’il désigne, statue seul, sans séance publique. Les mesures possibles se limitent au rappel à l’ordre, à une amende de 20 000 € au maximum et à une injonction assortie d’une astreinte plafonnée à 100 € par jour de retard.

C’est désormais sa voie principale. En 2025, la CNIL a prononcé 83 sanctions : 67 en procédure simplifiée, donc plafonnées à 20 000 € chacune, et 16 en procédure ordinaire, selon son bilan des sanctions 2025. Le total, 486,8 millions d’euros, vient presque entièrement de deux décisions sur les cookies, contre Google (325 millions) et Shein (150 millions). Les principaux thèmes de l’année : les cookies, la surveillance des salariés et la sécurité des données.

Au Royaume-Uni : l’ICO et les PECR

L’ICO, devenu l’Information Commission le 30 septembre 2026, applique le UK GDPR et les PECR, les règles britanniques sur la prospection et les cookies. Beaucoup de ses amendes visent des entreprises qui démarchent par téléphone ou par SMS : en 2023, par exemple, 130 000 livres pour Crown Glazing, qui appelait des numéros inscrits sur la liste d’opposition TPS. Depuis février 2026, avec le Data (Use and Access) Act 2025, les amendes PECR peuvent atteindre 17,5 millions de livres ou 4 %, contre 500 000 livres auparavant.

Un dossier UK GDPR peut aussi finir en rappel à l’ordre (reprimand) ou en injonction (enforcement notice), à consulter sur la page des mesures de l’ICO.

Cas réels : ce qui a valu une amende à de petites structures

UNIONTRAD COMPANY. Une caméra filmait les traducteurs à leur poste toute la journée, les ordinateurs n’avaient pas de mot de passe et un seul mot de passe servait à tous pour la messagerie commune. Des salariés ont saisi la CNIL, dont la mise en demeure de juillet 2018 est restée sans effet. Le montant (délibération SAN-2019-006 du 13 juin 2019) tient compte de la taille de la société, neuf salariés, et de la perte qu’elle avait enregistrée en 2017.

Deux médecins libéraux. Lors d’un contrôle en ligne en septembre 2019, la CNIL a trouvé en accès libre sur internet des milliers d’IRM, de scanners et de radiographies stockés sur les serveurs des deux médecins, pas toujours chiffrés, avec les noms et dates de naissance des patients. L’un d’eux avait ouvert les ports de sa box internet pour consulter les images à distance. La CNIL a aussi retenu un défaut de notification de la violation (délibérations SAN-2020-014 et SAN-2020-015 du 7 décembre 2020) et n’a pas publié leurs noms.

Doorstep Dispensaree. L’autorité du médicament, la MHRA, a alerté l’ICO après avoir trouvé les documents sensibles de cette pharmacie dans des conteneurs non fermés à clé, à portée du public. L’avis d’intention de l’ICO annonçait 400 000 livres ; la sanction du 17 décembre 2019 en a retenu 275 000, après des observations sur les finances de la pharmacie. En août 2021, le First-tier Tribunal a ramené l’amende à 92 000 livres, estimant que moins de données personnelles étaient en cause que ne l’avait retenu l’ICO ; la Cour d’appel a rejeté le dernier recours le 9 décembre 2024.

Aucune de ces amendes ne portait sur la rédaction d’une politique de confidentialité, mais sur des raccourcis du quotidien, mis au jour par une plainte, un contrôle ou une autre autorité.

Ce qui attire l’attention d’une autorité sur une petite équipe

Une plainte. Les plaintes reçues par la CNIL ont fortement augmenté en 2025, selon son rapport annuel. Une plainte peut venir d’un client dont la demande d’accès est restée sans réponse, d’une personne qui reçoit encore vos messages commerciaux après avoir dit stop, ou d’un salarié qui se sent surveillé, comme chez UNIONTRAD. Voici comment répondre à une demande de droit d’accès.

Une violation de données. Une violation qui présente un risque pour les personnes doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures (article 33), et ne pas la notifier est un manquement en soi, comme pour les deux médecins. Deux de mes clients ont fait appel à moi après le piratage de leur site ; la question RGPD est alors de savoir quelles données personnelles l’attaquant pouvait atteindre. Voir que faire dans les 72 heures.

La prospection. Une objection que j’entends sur le cold emailing : ce serait illégal. En B2B, ce n’est pas le cas, en France comme au Royaume-Uni, tant que vous respectez les règles de chaque pays, que je détaille dans mon article sur le cold emailing et le RGPD. L’amende de Crown Glazing citée plus haut visait, elle, des appels vers des numéros inscrits sur la liste d’opposition TPS.

Les contrôles de l’autorité. Les cookies sont ce qu’il y a de plus facile à vérifier de l’extérieur : n’importe qui peut ouvrir votre site et voir ce qui se charge avant le consentement. Voir ce qu’exige vraiment un bandeau cookies.

Un client. Si vous traitez des données personnelles pour le compte de clients, l’article 28 impose un contrat de sous-traitance avec chacun d’eux, et un incident de données peut vous coûter ce client bien avant que la CNIL n’intervienne.

Si votre entreprise est hors de l’UE

Le RGPD s’applique à une entreprise située hors de l’UE qui propose des biens ou des services à des personnes dans l’UE ou suit leur comportement (article 3.2) : une boutique en ligne suisse qui livre en France, une application canadienne utilisée en Belgique, un organisme de formation marocain qui vend des cours à des Parisiens. Ces entreprises doivent en général désigner un représentant dans l’UE (article 27). En mai 2021, l’autorité néerlandaise a annoncé une amende de 525 000 € contre Locatefamily.com, un site sans établissement dans l’UE, pour ne pas l’avoir fait. Mon guide du représentant dans l’UE explique qui doit en désigner un.

Dans l’autre sens, une entreprise française qui vend à des clients britanniques relève aussi du UK GDPR.

Réduire le risque, et quand appeler un avocat

Pour l’essentiel de cette liste, vous n’avez pas besoin d’un consultant :

1. Répondez aux demandes d’accès, d’effacement et d’opposition sous un mois (article 12.3), et gardez une trace de votre réponse.
2. Arrêtez tout de suite la prospection envers une personne qui s’y oppose et, au Royaume-Uni, filtrez vos listes d’appels avec la TPS et la CTPS.
3. Rendez le refus des cookies aussi simple que l’acceptation, et ne déposez aucun cookie publicitaire avant le consentement. Le bandeau cookies, la politique de confidentialité et les mentions légales font partie des sites que je crée, mais vous pouvez vérifier les vôtres dès aujourd’hui.
4. Ne filmez pas vos salariés à leur poste en continu, et expliquez-leur par écrit ce que couvre chaque caméra et pourquoi.
5. Donnez à chacun son propre mot de passe, activez la double authentification et ne laissez aucun fichier de clients ou de patients accessible sur internet sans protection.
6. Écrivez votre procédure en cas de violation, y compris qui décide, pour que les 72 heures ne commencent pas par la recherche de la bonne personne.
7. Signez des contrats de sous-traitance avec les outils qui détiennent les données de vos clients : hébergeur, CRM, outil d’emailing.
8. Si une autorité vous écrit, répondez dans le délai et faites ce que demande le courrier : la coopération et le respect des mesures déjà ordonnées comptent dans le calcul de l’amende.

Cet article explique les règles et des décisions publiées ; ce n’est pas un conseil juridique. Faites appel à un avocat spécialisé en protection des données dès qu’une autorité ouvre une procédure (mise en demeure, avis d’intention de l’ICO, contrôle), quand une violation touche des données de santé ou beaucoup de personnes, ou quand un litige avec un salarié porte sur sa surveillance. Un délégué à la protection des données (DPO) est obligatoire si vos activités de base consistent en un suivi régulier et systématique de personnes à grande échelle, ou en un traitement à grande échelle de données sensibles (article 37).