Lorsqu'une entreprise traite mal des données personnelles, le chiffre mis en avant est généralement l'amende maximale. En vertu du RGPD, les amendes peuvent atteindre 17,5 millions de livres sterling ou 4 % du chiffre d'affaires mondial au Royaume-Uni, et 20 millions d'euros ou 4 % du chiffre d'affaires mondial dans l'UE. Ces montants semblent abstraits, mais ils existent pour vous protéger. Ce guide explique ce qu'ils signifient en langage clair.
Les amendes maximales du RGPD au Royaume-Uni et dans l'UE
Les deux régimes suivent la même conception de base. Chacun fixe un plafond dans sa propre devise et un pourcentage du chiffre d'affaires mondial de l'organisation.
- Royaume-Uni : jusqu'à 17,5 millions de livres sterling ou 4 % du chiffre d'affaires mondial
- UE : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires mondial
Le pourcentage compte parce qu'il évolue avec la taille de l'organisation. Une somme fixe serait dérisoire pour une très grande entreprise, c'est pourquoi l'option fondée sur le chiffre d'affaires permet aux autorités de régulation de fixer une sanction qui a réellement un impact. Les guides les mieux classés sur le sujet décrivent la règle comme « le montant le plus élevé » pour le niveau inférieur, et c'est la même logique qui rend le plafond affiché significatif pour les grandes entreprises.
Ce sont des plafonds, pas des sanctions standard. La plupart des amendes se situent bien en dessous du maximum, et une autorité de régulation doit justifier la position d'un cas.
Quelles violations relèvent de chaque niveau
Le RGPD utilise une structure à deux niveaux. Le niveau supérieur, celui qui porte le plafond de 17,5 millions de livres sterling ou 20 millions d'euros, est réservé aux infractions les plus graves. Le niveau inférieur couvre les manquements moins graves et porte un plafond plus bas. Les résumés disponibles publiquement indiquent que le niveau inférieur de l'UE est de 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial.
En termes généraux, le niveau supérieur vise les violations qui touchent au cœur de vos droits, comme le non-respect des principes de base du traitement des données ou le refus d'accorder aux personnes les droits que la loi leur confère. Le niveau inférieur est généralement associé à des obligations plus procédurales ou organisationnelles. Pour une présentation plus approfondie du fonctionnement de cette répartition, consultez notre explication sur le fonctionnement du système de sanctions à deux niveaux du RGPD.
Comment les autorités fixent l'amende réelle
Le maximum n'est que le cadre de départ. Les autorités de régulation pèsent les circonstances de chaque affaire, et le processus n'est pas un simple tableau de correspondance.
Une règle à connaître : lorsque plusieurs violations se produisent ensemble, l'amende totale ne doit pas dépasser le montant prévu pour l'infraction la plus grave. En pratique, cela signifie que le plafond applicable est lié à la violation la plus grave de l'affaire, et non à la somme de tous les plafonds.
La gravité, la taille de l'organisation et la nature du manquement entrent tous en jeu dans le montant final. C'est pourquoi deux entreprises ayant commis des violations similaires peuvent recevoir des sanctions très différentes, et pourquoi les maximums affichés doivent être lus comme une limite supérieure plutôt qu'une prédiction.
Ce que cela signifie pour vous
Les amendes vont aux autorités de régulation, pas aux personnes concernées, donc la sanction elle-même ne vous rapportera pas d'argent. Leur valeur pour vous est indirecte, mais réelle.
- Elles créent un effet dissuasif. Un plafond lié au chiffre d'affaires mondial donne même aux grandes organisations une raison de prendre la protection des données au sérieux.
- Elles soutiennent vos droits. Les sanctions du niveau supérieur sont liées aux violations qui vous importent le plus, notamment la manière dont vos données sont utilisées et si vos droits sont respectés.
- Elles vous donnent une voie d'action. Si vous pensez qu'une organisation a fait un mauvais usage de vos données, vous pouvez d'abord soulever le problème auprès de l'organisation, puis vous adresser à l'autorité de protection des données de votre pays. Au Royaume-Uni, cette autorité est l'ICO.
Il est également utile de garder des attentes réalistes. Un maximum très élevé ne signifie pas que chaque violation produit une amende très élevée. Notre article sur les amendes RGPD et le système à deux niveaux explore pourquoi les chiffres frappants peuvent induire en erreur.
Points clés à retenir
Comprendre les amendes RGPD est surtout utile parce que cela vous montre où se situe votre levier. Quelques étapes mettent ces connaissances à profit :
- Connaissez la différence entre les règles britanniques et celles de l'UE. Le plafond britannique est de 17,5 millions de livres sterling ou 4 %, et le plafond de l'UE est de 20 millions d'euros ou 4 %. Lequel s'applique dépend de l'endroit où l'organisation opère et de l'endroit où vous vous trouvez.
- Conservez des traces. Si vous contactez une entreprise au sujet de vos données, conservez les e-mails, les dates et les réponses. Ils comptent si vous vous plaignez ensuite auprès d'une autorité de régulation.
- Exercez vos droits. Vous pouvez demander aux organisations quelles données elles détiennent sur vous et signaler vos préoccupations lorsque quelque chose semble anormal.
- Escaladez si nécessaire. Si une entreprise ne résout pas votre préoccupation, l'autorité nationale de protection des données est l'étape suivante.
- Réduisez votre exposition. Ne partagez que les données dont un service a réellement besoin, et utilisez des mots de passe forts et uniques ainsi que l'authentification à deux facteurs.
Les amendes RGPD, qu'il s'agisse de 17,5 millions de livres sterling au Royaume-Uni ou de 20 millions d'euros dans l'UE, sont le bord visible d'un système plus large conçu pour garder vos données personnelles sous votre contrôle. Savoir comment ce système fonctionne facilite son utilisation.
