Les amendes et sanctions RGPD 2026 sont un sujet plus vaste que ne le suggèrent les plafonds maximaux annoncés. Un nouveau guide de Venvera parcourt les deux niveaux d'amendes, le chiffre d'affaires pris en compte, pourquoi la faute est désormais requise, comment le Comité européen de la protection des données (CEPD) fixe le montant, ainsi que les amendes et les changements de règles de 2026. Cet article résume ces thèmes et ajoute du contexte sur ce qu'ils signifient pour les personnes qui utilisent des VPN et d'autres services de confidentialité.

Une mise en garde d'abord : le résumé du guide énumère ces sujets, mais nous ne reproduisons pas de détails au-delà de ce que lui et d'autres références publiques indiquent. Là où le tableau est incomplet, nous le disons.

Comment fonctionnent les deux niveaux d'amendes du RGPD

Le RGPD divise les amendes administratives en deux niveaux, selon la gravité de l'infraction.

  • Niveau inférieur : jusqu'à 10 millions d'euros, ou jusqu'à 2 % du chiffre d'affaires annuel mondial total d'une entreprise pour l'exercice précédent, le montant le plus élevé étant retenu.
  • Niveau supérieur : jusqu'à 20 millions d'euros, ou jusqu'à 4 % du chiffre d'affaires annuel mondial, là encore le montant le plus élevé étant retenu.

La formulation « le montant le plus élevé étant retenu » est importante. Pour une petite entreprise, le montant fixe en euros est le plafond applicable. Pour une grande multinationale, le pourcentage peut largement dépasser la somme fixe. Les amendes ne sont pas non plus le seul outil : les autorités de contrôle peuvent ordonner des interdictions temporaires ou permanentes de traitement des données.

Ces chiffres sont des maximums, pas des sanctions standard. Selon un rapport d'application couvrant 2018 à 2026, l'amende moyenne dans tous les pays était d'environ 2,28 millions d'euros, bien en dessous des plafonds annoncés.

Quel chiffre d'affaires compte et pourquoi la faute est désormais requise

Deux questions déterminent l'ampleur qu'une amende peut atteindre : qui est sanctionné, et s'il y a eu faute.

Concernant le chiffre d'affaires, le texte du RGPD fait référence à une « entreprise » et à l'ensemble de son chiffre d'affaires mondial de l'exercice précédent. C'est pourquoi le chiffre d'affaires mondial d'une entreprise, et non seulement son chiffre d'affaires européen, sert de référence pour le plafond en pourcentage. Le guide de Venvera signale que le chiffre d'affaires à prendre en compte est une question centrale, et il vaut la peine de consulter le guide lui-même si vous avez besoin des règles précises pour les groupes d'entreprises.

Concernant la faute, le guide indique que la faute est désormais requise avant qu'une amende puisse être imposée. En termes simples, une autorité de contrôle doit démontrer plus que la simple survenance d'une violation. Elle doit établir que l'organisation était en faute, c'est-à-dire que la défaillance n'était pas simplement un accident inévitable. Nous n'avons pas vérifié de manière indépendante les détails de la manière dont cette norme est appliquée, alors considérez-la comme une évolution à surveiller dans les décisions individuelles plutôt que comme une formule établie.

Comment le CEPD fixe le montant de l'amende

Le CEPD est l'organe qui coordonne la manière dont les autorités européennes appliquent le RGPD, et le guide couvre la façon dont il fixe le montant d'une amende. Les maximums des deux niveaux ne sont que les limites supérieures. À l'intérieur de celles-ci, le montant réel dépend des circonstances de l'affaire et des orientations que suivent les autorités de contrôle lors du calcul des sanctions.

Cela explique pourquoi les amendes varient autant. Les observateurs publics montrent l'ampleur de l'application : le GDPR Enforcement Tracker recense plus de 3 000 affaires et un total cumulé d'environ 7,5 milliards d'euros d'amendes, avec des centaines d'affaires déjà enregistrées en 2026. Une analyse distincte situait les amendes au-dessus de 7,1 milliards d'euros en mars 2026, dont environ 1,2 milliard d'euros pour la seule année 2025. Les décomptes diffèrent entre les sources en raison des dates limites et de la méthodologie, alors utilisez ces chiffres comme un ordre de grandeur approximatif, et non comme un décompte exact.

Ce que l'application de 2026 signifie pour les utilisateurs et les fournisseurs de VPN

L'exemple le plus clair d'application à grande échelle cette année est l'action du régulateur néerlandais contre Uber. Le 21 août 2026, l'Autorité néerlandaise de protection des données a annoncé une amende de 825 millions d'euros, soit environ 966 millions de dollars. Notre couverture de l'amende de 825 M€ de l'APD néerlandaise contre Uber pour une violation des données de conducteurs montre comment une affaire située au sommet de la fourchette se déroule en pratique.

Pour les services de VPN et de confidentialité, la leçon est simple. Tout fournisseur qui traite des données personnelles de personnes dans l'UE, telles que des détails de compte, des informations de paiement ou des métadonnées de connexion, relève des mêmes règles qu'un géant du transport à la demande. Les niveaux et les plafonds fondés sur le chiffre d'affaires s'appliquent quel que soit le secteur. Une exigence de faute et une approche structurée de la fixation des montants devraient rendre les décisions plus prévisibles, mais elles ne suppriment pas l'obligation de protéger les données des utilisateurs.

Ce que cela signifie pour vous

Vous n'avez pas besoin de comprendre les calculs d'amendes pour en bénéficier. Des sanctions fortes sont censées pousser les entreprises vers une meilleure gestion des données, et le RGPD vous donne aussi des droits que vous pouvez exercer directement.

  • Lisez la politique de confidentialité. Regardez ce qu'un VPN ou un autre service collecte, combien de temps il le conserve et avec qui il le partage.
  • Utilisez vos droits d'accès. En vertu du RGPD, vous pouvez demander à une entreprise quelles données personnelles elle détient à votre sujet.
  • Demandez la suppression lorsque cela est approprié. Si vous cessez d'utiliser un service, demandez que vos données soient effacées.
  • Sachez où porter plainte. Si une entreprise ne répond pas, vous pouvez contacter votre autorité nationale de protection des données.
  • Privilégiez la collecte minimale de données. Les services qui collectent moins ont moins à perdre en cas de violation.

Points clés à retenir

Les amendes et sanctions RGPD 2026 suivent une structure à deux niveaux : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires, et jusqu'à 20 millions d'euros ou 4 %, le montant le plus élevé étant retenu. Le chiffre d'affaires mondial, l'exigence de faute et l'approche du CEPD en matière de fixation des montants façonnent tous ce qu'une entreprise paie réellement. L'amende de 825 millions d'euros infligée à Uber par l'APD néerlandaise, détaillée dans notre rapport sur la décision, montre que les régulateurs utiliseront ce cadre à grande échelle.

Votre prochaine étape est simple : vérifiez comment les services sur lesquels vous comptez traitent vos données personnelles, et exercez vos droits RGPD là où ils font défaut.