Lorsqu'une entreprise traite mal des données personnelles en Europe, les conséquences sont fixées par un cadre assez simple. Comprendre les sanctions RGPD et les paliers d'amendes aide à expliquer pourquoi les régulateurs agissent comme ils le font, et cela montre aussi aux citoyens ordinaires quels outils ils possèdent lorsqu'une entreprise commet une faute. Ce guide, fondé sur une récente synthèse de LegalHelp, détaille la structure des amendes, le fonctionnement de l'application des règles, et les options qui existent au-delà des sanctions propres au régulateur.

Comment fonctionnent les sanctions RGPD et les paliers d'amendes

Le Règlement général sur la protection des données répartit ses amendes administratives maximales en deux paliers, définis à l'article 83.

  • Palier inférieur : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial total d'une entreprise, le montant le plus élevé étant retenu.
  • Palier supérieur : jusqu'à 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.

Deux détails comptent ici. Premièrement, ce sont des plafonds, pas des tarifs fixes. Les régulateurs calculent le montant réel au cas par cas, de sorte qu'une amende peut être bien inférieure au maximum. Deuxièmement, la formulation « le montant le plus élevé étant retenu » signifie que le pourcentage peut dépasser le montant forfaitaire en euros pour les grandes multinationales. Un plafond fixe seul serait une erreur d'arrondi pour une entreprise au chiffre d'affaires énorme, et l'option fondée sur le chiffre d'affaires est ce qui donne aux règles leur véritable poids à cette échelle.

Le palier supérieur est généralement réservé aux infractions les plus graves. Le palier inférieur couvre les manquements moins sérieux. En pratique, le palier dans lequel une affaire s'inscrit indique le degré de gravité que le régulateur accorde à la conduite.

Ce que les grandes affaires répressives révèlent sur la mauvaise gestion des données

Les paliers d'amendes paraissent abstraits tant qu'on ne les voit pas appliqués. Les affaires répressives montrent quels types de manquements attirent le plus l'attention et comment les régulateurs pèsent les circonstances au moment de fixer un montant.

Notre couverture de l'amende RGPD de 825 M€ infligée à Uber est un exemple utile de la manière dont une sanction au sommet de l'échelle se construit et de ce qu'elle signale aux autres entreprises traitant des données au-delà des frontières. Les données des enfants constituent un autre domaine soumis à un examen minutieux. Notre article expliquant pourquoi la conformité par case à cocher échoue face aux règles du RGPD sur les données des enfants montre que les régulateurs regardent de plus en plus au-delà des documents pour examiner ce que les organisations font réellement des informations personnelles.

Le fil conducteur est que les régulateurs se concentrent sur la pratique réelle. Une politique de confidentialité qui n'existe que sur le papier ne protège pas une entreprise si sa gestion effective des données est défaillante.

Comment déposer une plainte auprès de votre autorité de protection des données

Les amendes sont imposées par les régulateurs, mais ceux-ci découvrent souvent les problèmes parce que des individus les signalent. Si vous estimez qu'une organisation a fait un usage abusif de vos données, vous avez généralement le droit de déposer une plainte auprès d'une autorité de protection des données (APD). La procédure exacte varie selon les pays, le meilleur point de départ étant le site web de l'APD de votre propre État membre de l'UE.

Quelques étapes pratiques tendent à renforcer une plainte :

  1. Commencez par l'entreprise. Envoyez une demande écrite demandant quelles données elle détient à votre sujet, comment elles sont utilisées et avec qui elles sont partagées. Conservez une copie et la date d'envoi.
  2. Rassemblez des preuves. Conservez les courriels, captures d'écran, pages de compte et toute réponse reçue, y compris l'absence de réponse.
  3. Soyez précis. Décrivez ce qui s'est passé, quand cela s'est produit et lesquelles de vos données étaient concernées.
  4. Soumettez à la bonne autorité. Utilisez le formulaire de plainte ou le canal de contact de votre APD nationale, et joignez vos documents.

Une plainte ne garantit pas une amende. Le régulateur décide s'il faut enquêter et quelle mesure, le cas échéant, prendre. Mais les plaintes font partie de la manière dont les schémas de mauvaise conduite sont mis au jour.

Au-delà des amendes : poursuites privées et recours des entreprises

Les amendes administratives ne sont qu'une partie du tableau. La synthèse de LegalHelp couvre aussi les pouvoirs répressifs au-delà des amendes, les poursuites privées et les options de recours.

Du côté individuel, les personnes lésées par une violation peuvent être en mesure d'intenter des actions en réparation devant les tribunaux. Cette voie est distincte de l'amende du régulateur : l'argent d'une sanction administrative ne va pas à l'individu affecté. Si vous envisagez une action en justice, il est sage de consulter un avocat qualifié dans votre juridiction, car les règles et procédures diffèrent.

Du côté des entreprises, les organisations qui reçoivent une sanction peuvent généralement la contester. Cela signifie qu'une amende médiatisée n'est pas toujours le dernier mot, et que les montants ou les conclusions peuvent être contestés. Les lecteurs qui suivent une affaire majeure doivent considérer la première annonce comme une étape d'un processus plus long.

Ce que cela signifie pour vous

La structure à deux paliers peut sembler être l'affaire des équipes de conformité des entreprises, mais elle façonne votre levier en tant qu'individu. Parce que les sanctions peuvent atteindre 2 % ou 4 % du chiffre d'affaires mondial, les entreprises ont une forte raison financière de réagir lorsque les autorités de protection des données s'en mêlent. Votre plainte ou votre demande d'accès alimente ce système.

Cela s'applique même si vous ne vivez pas dans l'UE au quotidien. De nombreux services mondiaux traitent les données de résidents européens, et les règles sont conçues pour suivre les données. Un VPN ou d'autres outils de confidentialité peuvent réduire la quantité d'informations que vous exposez, mais les droits légaux couvrent ce qui arrive aux données une fois qu'une entreprise les détient déjà. Les deux approches fonctionnent mieux ensemble.

Points clés à retenir

  • Les sanctions RGPD et les paliers d'amendes sont plafonnés à 10 millions d'euros ou 2 % du chiffre d'affaires mondial (palier inférieur) et 20 millions d'euros ou 4 % (palier supérieur), le montant le plus élevé étant retenu.
  • Ces chiffres sont des maximums. Les régulateurs fixent les amendes réelles en fonction des spécificités de chaque affaire.
  • Vous pouvez envoyer une demande d'accès à une entreprise et, si nécessaire, déposer une plainte auprès de votre autorité nationale de protection des données.
  • Les demandes d'indemnisation devant les tribunaux sont distinctes des amendes réglementaires, et les entreprises peuvent contester les sanctions.

Si une organisation a mal géré vos données, exercez ces droits. Envoyez la demande d'accès, documentez la réponse, et déposez une plainte si elle est insuffisante. Pour voir comment l'application des règles se déroule en pratique, lisez notre analyse de l'amende Uber et notre rapport sur les règles relatives aux données des enfants.