// ACTUALITÉS
Risque non-conformité RGPD : ce que tout dirigeant doit comprendre avant 2026
Le règlement général sur la protection des données (RGPD) est une réglementation européenne qui vise à protéger les données personnelles des citoyens de l’Union européenne. Son non-respect peut entraîner de graves conséquences pour les entreprises et organisations. Quels sont les risques encourus ? Voyons cela en détail.
Beaucoup de dirigeants de PME et d’ETI continuent pourtant de penser que la CNIL ne s’intéresse qu’aux géants du numérique. Les chiffres racontent l’inverse : en 2024, près de 8 sanctions sur 10 ont visé des TPE et PME. Cet article fait le point, sans jargon, sur les vrais risques encourus, les zones de fragilité les plus fréquentes et les leviers concrets pour s’en prémunir.
Autre évolution majeure, souvent sous-estimée par les dirigeants : la CNIL a profondément modernisé sa capacité de détection. L’autorité est désormais en mesure d’évaluer le niveau de maturité RGPD d’une organisation en scannant directement ses sites, à des degrés de profondeur variables. Bandeaux cookies, traceurs déposés, mentions légales, formulaires de collecte, politiques de confidentialité, sécurité des protocoles : tout cela peut être analysé à distance, sans préavis, et constituer le point de départ d’un contrôle formel.
Cette industrialisation s’appuie sur l’intelligence artificielle, qui permet à la CNIL de mener ces audits en ligne de façon massive et automatisée. Là où un agent humain examinait quelques dizaines de sites par an, des outils algorithmiques peuvent en analyser des milliers en un jour, repérer les manquements récurrents et cibler précisément les organisations les plus exposées. Pour une PME, le « bruit de fond » de la régulation a donc fondamentalement changé : ne plus être visible ne suffit plus à ne pas être détecté.
Ce qu’il faut retenir
- Sanctions financières lourdes : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, le montant le plus élevé étant retenu.
- Cible élargie : les TPE et PME représentent désormais l’essentiel des sanctions prononcées par la CNIL.
- Multiplicité des conséquences : amendes, sanctions pénales, atteinte à la réputation, perte de contrats, actions en réparation.
- Levier principal : une démarche structurée de mise en conformité RGPD, portée par la direction et appuyée sur un DPO, réduit drastiquement le risque.
- Tendance 2025-2026 : Free et Free Mobile sanctionnés à 42 millions d’euros, France Travail à 5 millions, Shein à 150 millions. Moins d’amendes mais beaucoup plus élevées.
Comprendre le risque non-conformité RGPD pour une entreprise
De quoi parle-t-on exactement ?
Le Règlement général sur la protection des données encadre depuis mai 2018 toute opération réalisée sur des données personnelles : collecte, stockage, transmission, profilage, suppression. Toute organisation qui traite ces données — clients, prospects, salariés, fournisseurs — entre dans son périmètre, indépendamment de sa taille ou de son secteur.
Le non-respect du RGPD ne se résume pas à une faute administrative. Il engage la responsabilité civile, administrative et parfois pénale du responsable de traitement, c’est-à-dire le plus souvent l’entreprise elle-même et son représentant légal.
Qui est concerné, vraiment ?
La règle est large : si votre entreprise traite des données personnelles de personnes résidant dans l’Union européenne, vous êtes concerné. Cela vaut pour le commerçant local qui gère un fichier de fidélité comme pour la holding qui pilote un groupe international.
Trois acteurs sont en première ligne : les responsables de traitement, les sous-traitants (prestataires informatiques, agences marketing, hébergeurs) et les éventuels co-responsables. Chacun peut être sanctionné de façon autonome, ce que beaucoup d’entreprises ignorent.
Pourquoi le sujet redevient brûlant ?
Pendant longtemps, l’application du RGPD a paru inégale. Cette époque est révolue. La CNIL a généralisé en 2022 une procédure de sanction simplifiée qui lui permet de sanctionner rapidement, jusqu’à 20 000 euros, sans rendre publique l’identité de l’organisme. Résultat : 69 sanctions simplifiées en 2024, près de trois fois plus qu’en 2023.
Côté grandes affaires, les montants explosent. En 2025, deux décisions sur les cookies ont représenté à elles seules 475 millions d’euros, dont 325 millions pour Google et 150 millions pour Shein. Le message est clair : moins de dossiers, mais des sanctions exemplaires.
Quelle sanction RGPD pour une entreprise non-conforme ?
Les amendes administratives prononcées par la CNIL
Le RGPD prévoit deux plafonds. Le premier, jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial, vise des manquements comme l’absence de registre des traitements ou de tenue d’analyse d’impact. Le second, jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial, sanctionne les violations les plus graves : défaut de base légale, atteinte aux droits des personnes, transferts internationaux non encadrés.
L’amende CNIL la plus parlante de ces dernières années n’est pas une condamnation à plusieurs millions, mais celle infligée en décembre 2024 à Amazon France Logistique : 32 millions d’euros pour une surveillance jugée disproportionnée des préparateurs de commandes. Le signal envoyé est limpide : même un dispositif présenté comme « productif » peut basculer dans l’illicite s’il porte atteinte à la vie privée des salariés.
Les sanctions pénales RGPD
Au-delà du volet administratif, le code pénal français prévoit des sanctions pénales RGPD pouvant aller jusqu’à cinq ans d’emprisonnement et 300 000 euros d’amende pour les personnes physiques, et 1,5 million pour les personnes morales. Sont concernées la collecte frauduleuse, le traitement de données sensibles sans base légale ou le détournement de finalité. Ces poursuites restent rares mais peuvent venir s’ajouter à une procédure CNIL.
Les conséquences indirectes, souvent les plus coûteuses
Une sanction RGPD a un coût qui dépasse largement l’amende : atteinte d’image, surtout sur les marchés B2B où la conformité est devenue un critère d’achat ; perte de contrats, certains clients exigeant désormais une preuve formelle de conformité dans leurs appels d’offres ; actions en réparation des personnes concernées, individuellement ou via des actions de groupe ; coût interne de remédiation souvent supérieur à l’amende elle-même.
Comment se déclenche un contrôle CNIL ?
Les sources et les formes du contrôle
Un contrôle CNIL peut être déclenché par une plainte (la CNIL en a reçu près de 17 800 en 2024), une notification de violation envoyée par l’entreprise, une thématique prioritaire annuelle ou une couverture médiatique défavorable. Quatre formats coexistent : le contrôle sur place, l’audition, le contrôle en ligne et le contrôle sur pièces. Ce dernier, par questionnaire détaillé, est le plus fréquent et le plus sous-estimé.
Le déroulement de la procédure
Si des manquements sont relevés, la CNIL adresse d’abord une mise en demeure assortie d’un délai. En 2024, 180 mises en demeure ont été prononcées. C’est souvent la dernière fenêtre pour éviter une sanction publique. À défaut, la formation restreinte ouvre une procédure qui peut durer entre six et dix-huit mois. Pour aller plus loin, vous pouvez consulter le guide Viqtor sur l’audit de conformité RGPD.
Les zones de fragilité les plus fréquentes en entreprise
Une gouvernance des données défaillante
C’est le premier facteur de risque. Beaucoup d’entreprises ont rédigé une politique RGPD en 2018, l’ont déposée dans un classeur et n’y sont jamais revenues. Or, les outils, les prestataires et les flux évoluent sans cesse. Sans pilotage continu, l’écart avec la réalité se creuse. Le sujet relève directement du dirigeant : le principe d’accountability inscrit à l’article 5.2 du RGPD impose de démontrer sa conformité à tout moment. Ce n’est pas une obligation de moyens, c’est une obligation de preuve.
L’absence ou le mauvais positionnement du DPO
La désignation d’un DPO est obligatoire pour les autorités publiques, les organismes traitant des données sensibles à grande échelle ou ceux pratiquant un suivi systématique des personnes. En pratique, beaucoup d’entreprises gagnent à en désigner un même sans obligation formelle, car il sécurise la chaîne de responsabilité. Encore faut-il que le DPO ait les moyens d’agir : accès direct à la direction, budget, indépendance, association aux projets. Plusieurs sanctions récentes ont visé précisément des entreprises ayant désigné un DPO purement formel.
La sécurité technique sous-dimensionnée
C’est devenu le motif numéro un des sanctions importantes. En 2025, 29 % des amendes européennes concernaient des mesures techniques et organisationnelles insuffisantes. Le cas Free et Free Mobile, sanctionné en janvier 2026 à hauteur de 42 millions d’euros au total, illustre parfaitement ce point : l’absence d’authentification multi-facteurs sur les accès VPN et l’inefficacité des systèmes de détection d’exfiltration ont été retenues comme des fautes lourdes après une intrusion ayant compromis 24 millions de contrats.
Pour structurer cette dimension, le module de gouvernance RGPD de Viqtor offre un cadre opérationnel directement utilisable, d’une simplicité biblique.
Vous souhaitez évaluer concrètement votre niveau d’exposition ? L’équipe Viqtor peut vous accompagner dans un diagnostic adapté à votre activité.
Construire une démarche de mise en conformité RGPD efficace
Cartographier avant de corriger
Aucune mise en conformité RGPD sérieuse ne commence sans une cartographie exhaustive des traitements. Cette étape conditionne tout le reste : identifier les flux, les finalités, les destinataires, les durées de conservation, les bases légales. Le résultat alimente le registre des traitements, document obligatoire et premier élément réclamé en cas de contrôle CNIL.
Sécuriser les contrats et la chaîne de sous-traitance
Chaque prestataire qui traite des données pour votre compte doit être encadré par un contrat conforme à l’article 28 du RGPD : hébergeur, éditeur SaaS, agence marketing, cabinet de paie. Une clause manquante peut suffire à engager votre responsabilité en cas de fuite chez le sous-traitant. Ce point est d’autant plus sensible que de nombreux outils transfèrent des données hors Union européenne, ce qui exige des garanties spécifiques rarement formalisées.
Mettre en place un pilotage durable
La conformité n’est pas un projet, c’est un processus. Cela implique une revue annuelle des traitements, une procédure documentée de gestion des violations (notification dans les 72 heures), un plan de formation, un suivi des demandes d’exercice des droits et un tableau de bord synthétique pour le dirigeant. Le guide Viqtor de la donnée personnelle détaille ces bonnes pratiques.
En conclusion
Le risque non-conformité RGPD a changé de nature en deux ans. Il est devenu plus probable, parce que les contrôles s’industrialisent. Plus coûteux, parce que les autorités assument une stratégie d’amendes exemplaires. Plus visible, parce que la conformité s’impose comme un standard contractuel attendu par vos clients et partenaires.
Pour un dirigeant, la question n’est plus de savoir si l’effort en vaut la peine, mais comment le structurer efficacement. Une démarche bien menée — cartographie, gouvernance, sécurité, pilotage — coûte toujours moins cher qu’une sanction et constitue, dans la durée, un véritable atout commercial.
Vous souhaitez sécuriser votre conformité ? Échangez avec un expert Viqtor pour structurer votre démarche dans la durée.
FAQ — Vos questions de dirigeant
Quelles entreprises sont concernées par les risques de non-conformité RGPD ?
Toutes. Dès qu’une entreprise traite des données de personnes physiques résidant dans l’Union européenne — clients, prospects, salariés, fournisseurs — elle entre dans le périmètre du RGPD. La taille, le statut et le secteur ne changent rien. En 2024, près de 8 sanctions sur 10 prononcées par la CNIL ont visé des TPE et PME.
Que se passe-t-il si la CNIL ouvre un contrôle ?
La CNIL adresse d’abord une notification, par courrier, convocation ou visite sur place. L’entreprise dispose alors d’un délai pour fournir les documents demandés : registre des traitements, politique de confidentialité, contrats de sous-traitance, mesures de sécurité. Si des manquements sont relevés, une mise en demeure ouvre un délai de mise en conformité. À défaut de régularisation, une procédure de sanction est engagée.
Un sous-traitant peut-il être sanctionné en cas de non-conformité RGPD ?
Oui, et cela arrive régulièrement. Le RGPD impose au sous-traitant des obligations propres : sécurité, registre, notification des violations, respect des instructions documentées. Une amende CNIL peut viser le sous-traitant seul, le responsable de traitement seul, ou les deux. Les contrats article 28 sont donc essentiels pour clarifier qui répond de quoi.
Comment réduire rapidement ses risques de non-conformité au RGPD ?
Trois actions à fort impact peuvent être engagées sous 90 jours : auditer le registre des traitements et le mettre à jour ; vérifier que tous les contrats de sous-traitance comportent les clauses obligatoires de l’article 28 ; renforcer la sécurité technique de base (authentification multifacteur, chiffrement, gestion stricte des accès). Ces trois leviers couvrent la majorité des motifs de sanction récents.
Quelles sont les amendes maximales en cas de non-conformité RGPD ?
Le RGPD prévoit deux plafonds : jusqu’à 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial pour les manquements de premier niveau, et jusqu’à 20 millions ou 4 % du chiffre d’affaires mondial pour les manquements graves (défaut de base légale, atteinte aux droits, transferts non encadrés). À ces sanctions administratives s’ajoutent les sanctions pénales prévues par le code pénal français.
Exemples de violations RGPD ayant entraîné des sanctions importantes ?
Plusieurs dossiers font référence : Meta sanctionnée à 1,2 milliard d’euros en 2023 pour des transferts vers les États-Unis ; Uber à 290 millions en 2024 pour des transferts non sécurisés ; Amazon France Logistique à 32 millions en 2024 pour une surveillance disproportionnée des salariés ; Google à 325 millions et Shein à 150 millions en 2025 pour des manquements sur les cookies. Ces affaires illustrent l’ampleur des risques et la diversité des fautes sanctionnées.
FR 