Guide pratique — RGPD et sanctions
10 millions d'euros ou 2 % du chiffre d'affaires, 20 millions ou 4 % : les plafonds de l'article 83 du RGPD impressionnent, mais ils ne disent rien de la pratique réelle de la CNIL — graduée, individualisée, et rarement brutale pour une TPE de bonne foi. Montants, critères de calcul, exemples réels et cas des mentions légales.
L'article 83 du RGPD prévoit deux plafonds d'amende administrative : 10 millions d'euros ou 2 % du chiffre d'affaires mondial (article 83.4 : registre, sécurité, notification des violations, contrats de sous-traitance, DPO…) et 20 millions d'euros ou 4 % (article 83.5 : principes de base, consentement, droits des personnes, transferts hors UE) — dans les deux cas, c'est le montant le plus élevé qui s'applique. La CNIL fixe le montant au cas par cas selon les critères de l'article 83.2 (gravité, durée, nombre de personnes, coopération, mesures prises…). En pratique, la procédure est graduée : rappel à l'ordre, mise en demeure avec délai, sanction seulement en cas de persistance ou de gravité. Les amendes contre de petites structures existent (20 000 € pour une TPE qui filmait ses salariés en continu ; 250 000 € pour le e-commerçant Spartoo), mais concernent des manquements sérieux. Hors RGPD, l'absence de mentions légales est un délit LCEN : jusqu'à 75 000 € d'amende et un an d'emprisonnement pour une personne physique, 375 000 € pour une personne morale.
Le RGPD (règlement européen 2016/679) prévoit deux niveaux d'amende administrative, selon la nature du manquement. Point de méthode important : dans chaque niveau, on retient le montant le plus élevé des deux — la somme fixe ou le pourcentage du chiffre d'affaires mondial annuel de l'exercice précédent. Pour un groupe, le pourcentage peut donc dépasser la somme fixe ; pour une TPE, c'est presque toujours la somme fixe qui fait office de plafond.
Ce niveau couvre les manquements aux obligations du responsable de traitement et du sous-traitant. Concrètement pour une TPE, il vise notamment :
Ce niveau, le plus élevé, couvre les manquements aux principes fondamentaux du règlement :
À retenir : le plafond exprime le maximum légal, pas la sanction habituelle. Le montant effectivement prononcé dépend des circonstances, comme le montre la section suivante.
Une amende n'est jamais automatique ni forfaitaire : l'article 83.2 impose à la CNIL de individualiser chaque sanction en fonction d'une liste de critères qu'elle doit examiner concrètement dans chaque cas. Les principaux :
La lecture pratique pour une TPE est rassurante : une petite structure de bonne foi, qui a fait des efforts documentés, qui coopère et qui corrige rapidement, cumule les circonstances atténuantes. À l'inverse, la mauvaise foi (dissimulation, refus de coopérer, manquement rentable et poursuivi après alerte) aggrave mécaniquement la sanction. Le dossier de conformité — politique de confidentialité, registre, contrats sous-traitants — n'est donc pas qu'une formalité : c'est la preuve tangible de vos efforts, qui joue directement sur le montant.
Contrairement à l'image véhiculée par les gros titres, la CNIL ne tombe pas sur une entreprise avec une amende au premier contact. Sa boîte à outils (article 20 de la loi Informatique et Libertés) est graduée :
L'amende arrive donc presque toujours en bout de course : manquement grave, persistance après mise en demeure, ou mauvaise foi. Chaque année, les mises en demeure et rappels à l'ordre sont beaucoup plus nombreux que les amendes — et une part importante des contrôles de la CNIL vise précisément les sites web, sur des sujets aussi simples que les cookies ou l'information des personnes.
Autre réalité à connaître : la plupart des contrôles ne tombent pas du ciel. Ils suivent le plus souvent une plainte (d'un client, d'un salarié, d'un concurrent), un signalement, une actualité ou un programme thématique de contrôles. Le premier réflexe protecteur est donc simple : traiter sérieusement les demandes d'exercice de droits et les réclamations, avant qu'elles ne remontent à la CNIL.
Les amendes contre les géants du numérique font la une, mais la formation restreinte de la CNIL sanctionne aussi des structures de taille modeste. Deux exemples documentés, tirés de délibérations publiques :
En juin 2019 (délibération SAN-2019-006), la CNIL a condamné à 20 000 euros d'amende une très petite entreprise de traduction d'une dizaine de salariés, à la suite de plaintes de salariés. Le grief principal : un dispositif de vidéosurveillance qui braquait en permanence des caméras sur les postes de travail, plaçant les salariés sous surveillance constante et disproportionnée, sans information adéquate. Le contrôle a aussi révélé des manquements de sécurité (traçabilité insuffisante des accès à une messagerie partagée). La leçon pour une TPE : la vidéosurveillance est licite pour protéger les biens et les personnes, mais filmer les salariés à leur poste en continu est presque toujours excessif — et une plainte de salarié suffit à déclencher le contrôle.
En juillet 2021, la CNIL a sanctionné le e-commerçant grenoblois Spartoo à hauteur de 250 000 euros, avec une injonction de mise en conformité assortie d'une astreinte de 250 euros par jour de retard. Parmi les manquements retenus : des données de clients inactifs conservées sans limitation de durée (comptes jamais utilisés depuis des années), l'enregistrement d'appels téléphoniques avec une information incomplète des salariés et des clients, une politique de confidentialité inexacte sur les bases légales, et des mesures de sécurité insuffisantes (politique de mots de passe trop faible, données bancaires mal protégées). C'est une entreprise plus grosse qu'une TPE, mais les griefs — conserver trop longtemps, mal informer, mal sécuriser — sont exactement ceux que l'on trouve sur des sites de petites structures.
Le point commun de ces décisions : les sanctions tombent sur des manquements caractérisés et durables, souvent révélés par une plainte, et le montant reste très éloigné des plafonds théoriques de l'article 83.
On les confond souvent, mais les mentions légales ne relèvent pas du RGPD : elles sont imposées par la LCEN (loi n° 2004-575 pour la confiance dans l'économie numérique), avec un régime de sanctions distinct — et pénal, pas administratif.
Le défaut de mentions d'identification (identité de l'éditeur, hébergeur, coordonnées…) est un délit puni par l'article 1-2 de la LCEN (ex-article 6 VI, renuméroté par la loi SREN de 2024) :
Gardons la mesure : les poursuites pénales pour un simple oubli de mentions légales sont rares, et les plafonds ne sont presque jamais atteints. Mais le manquement est d'une simplicité désarmante à constater — il suffit d'ouvrir le site —, ce qui en fait un point faible facilement exploité par un client mécontent, un concurrent, ou lors d'un contrôle de la DGCCRF. Autant le corriger une fois pour toutes : c'est gratuit avec notre modèle commenté.
Lors d'un contrôle de site web, les agents de la CNIL commencent par ce qui se voit sans même entrer dans vos locaux : les mentions légales, la politique de confidentialité, le bandeau cookies et le comportement réel des traceurs, les formulaires. Viennent ensuite les pièces documentaires : le registre des traitements, les contrats avec les sous-traitants, les preuves de réponse aux demandes de droits. C'est cette conformité documentaire qui fait la première impression — et, rappelons-le, les efforts déjà accomplis sont un critère d'atténuation expressément prévu par l'article 83.2.
La stratégie la plus sûre pour une TPE tient en trois réflexes :
Pour y voir clair sur votre site, commencez par le scan gratuit MonKitLégal : il contrôle en 2 minutes les points que la CNIL regarde en premier (mentions légales, politique de confidentialité, traceurs, formulaires), avec un rapport PDF offert. Le kit à 9 € génère ensuite toute la documentation — mentions légales, politique de confidentialité, registre des traitements pré-rempli, CGU/CGV, bandeau cookies configuré —, pré-remplie avec les informations officielles de votre entreprise.
Il existe deux plafonds, fixés par l'article 83 du RGPD. Pour les manquements aux obligations du responsable de traitement et du sous-traitant (registre des traitements, sécurité, notification des violations, contrats de sous-traitance…), le plafond est de 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel (article 83.4). Pour les manquements aux principes de base, au consentement, aux droits des personnes et aux transferts hors Union européenne, il est de 20 millions d'euros ou 4 % du chiffre d'affaires (article 83.5). Dans les deux cas, c'est le montant le plus élevé qui s'applique.
L'article 83.2 du RGPD impose une décision individualisée, fondée sur une liste de critères : la gravité du manquement (nature, portée, finalité du traitement), sa durée, le nombre de personnes concernées et l'ampleur des dommages subis, le caractère intentionnel ou négligent, les mesures prises pour atténuer le dommage, le degré de coopération avec la CNIL, le fait d'avoir spontanément signalé le manquement, les infractions antérieures, et tout avantage financier retiré. Une TPE de bonne foi, qui coopère et corrige vite, n'est pas traitée comme un acteur qui tire profit d'une pratique délibérée.
Oui, mais l'amende n'arrive presque jamais en premier. La procédure de la CNIL est graduée : rappel à l'ordre (mesure non publique, la plus fréquente), puis mise en demeure avec un délai pour se conformer, et la sanction pécuniaire seulement en cas de persistance ou de gravité particulière. Les amendes contre de petites structures existent — une TPE de neuf salariés a ainsi été condamnée à 20 000 euros en 2019 pour des caméras braquées en permanence sur ses salariés — mais elles concernent des manquements sérieux, souvent délibérés ou répétés. La meilleure protection reste une conformité documentaire à jour et une coopération active en cas de contrôle.
Les mentions légales ne relèvent pas du RGPD mais de la LCEN (loi pour la confiance dans l'économie numérique), avec un régime de sanctions distinct. Le défaut de mentions d'identification est un délit (article 1-2 de la LCEN, ex-article 6 VI) : jusqu'à un an d'emprisonnement et 75 000 euros d'amende pour une personne physique, et jusqu'à 375 000 euros d'amende pour une personne morale (le quintuple, selon l'article 131-38 du code pénal). En pratique, les poursuites pénales sont rares pour un simple oubli, mais l'absence de mentions légales se constate en quelques secondes — y compris par un client mécontent, un concurrent ou un agent de la DGCCRF.
Oui. Une sanction de la formation restreinte de la CNIL (amende, mise en demeure publique, injonction sous astreinte) peut faire l'objet d'un recours en annulation devant le Conseil d'État, dans un délai de deux mois à compter de sa notification. Le recours permet de contester la qualification des faits, la proportionnalité du montant ou la procédure suivie. Avant d'en arriver là, il est aussi possible de présenter des observations écrites et d'être entendu pendant la procédure — et dans les dossiers simples, un plan de mise en conformité crédible et documenté pèse souvent plus lourd qu'une argumentation juridique.
Le scan gratuit contrôle les points que la CNIL regarde en premier : mentions légales, politique de confidentialité, cookies, formulaires. Le kit à 9 € génère ensuite toute la documentation — registre des traitements inclus — pré-remplie avec les informations officielles de votre entreprise.
Analyser mon site gratuitement