Quelles sont les sanctions prévues par le RGPD ?

Les organisations ont tout intérêt à respecter à la lettre le RGPD car les plafonds des sanctions sont particulièrement élevés : en cas d’infraction, des amendes jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent sont prévues pour l’organisme fautif, sachant que c’est le montant le plus élevé qui est retenu entre les deux cas de figure.

Il faut imaginer ce que cela peut représenter pour des géants du net si une procédure est lancée contre eux. L’amende pourrait atteindre des dizaines ou des centaines de millions de dollars, voire davantage. Il convient aussi de noter qu’une société doit veiller à ce que son sous-traitant reste bien dans les clous de la loi, sous peine d’en subir les conséquences, du fait de sa qualité de responsable du traitement.

Cela étant, les multinationales ne sont pas nécessairement les plus exposées : si ce sont elles qui risquent les amendes les plus fortes, elles ont des détachements de juristes et d’experts qui travaillent déjà à plein temps depuis des mois pour être absolument dans les clous du RGPD. Le risque est en revanche plus grand pour les entités plus petites, comme une TPE, une PME ou une association.

En France, la première sanction remarquable décidée sous l’égide du RGPD a été prise à l’encontre de Google, le 21 janvier 2019. Saisie par deux associations, une française et une autrichienne, la CNIL estime que l’entreprise américaine commet trois manquements (accessibilité et clarté de l’information, et absence de consentement valable pour la publicité personnalisée).

Pour ces erreurs, qui n’ont pas été corrigées depuis, l’autorité administrative a décidé d’infliger une sanction de 50 millions d’euros. La firme de Mountain View a toutefois annoncé un recours devant le Conseil d’État, la plus haute juridiction française de l’ordre administratif. L’association La Quadrature du Net a salué cette sanction, mais regrette la faiblesse du montant de l’amende.

Ailleurs en Europe, des sanctions ont été prononcées dans onze pays : l’Allemagne, l’Italie, la Pologne, l’Autriche, le Danemark, le Portugal, la Norvège, la Lituanie, la Bulgarie, la Hongrie et Chypre, mais les montants sont beaucoup plus modestes. Ils vont de 9 700 euros (en Autriche) à 400 000 euros (au Portugal).