Assistance documentaire structurée et sourcée. Ce service ne constitue pas un conseil juridique : le volet juridiquement opposable relève d'un professionnel du droit (avocat, DPO ou auditeur qualifié).
RÈGLEMENT (UE) 2016/679 - RGPD

RGPD-Express
Structurez votre conformité RGPD

Le RGPD s'applique à toute structure qui collecte des données personnelles, sans seuil de taille. SYAGA CONSULTING vous aide à formaliser un registre des traitements, encadrer vos sous-traitants, répondre aux questionnaires RGPD de vos clients et assureurs, et réaliser une analyse d'impact quand elle est nécessaire.

Voir les formules Comment ça marche
4
Piliers de conformité couverts
Art. 30
Registre des traitements
Art. 28
Encadrement des sous-traitants
Art. 83
Sanctions jusqu'à 20 M EUR ou 4% du CA mondial

Le problème

Le RGPD est en vigueur depuis 2018, mais reste largement non formalisé dans les PME

⚠

Le RGPD ne connaît pas de seuil de taille

Dès qu'une structure collecte des données personnelles (clients, salariés, prospects), elle est concernée. Une exception limitée existe pour les structures de moins de 250 salariés dont le traitement est occasionnel, mais elle ne couvre pas une activité commerciale régulière.

📋

Le registre des traitements (art. 30) manque ou est périmé

Beaucoup de PME n'ont jamais formalisé leur registre, ou l'ont rédigé une fois puis jamais mis à jour alors que leurs traitements, sous-traitants et outils ont changé.

📧

Vos clients et assureurs vous envoient des questionnaires RGPD

Un client, une banque ou un assureur cyber demande de plus en plus souvent à ses fournisseurs de répondre à un questionnaire sur la protection des données (art. 28) : sous-traitance, chiffrement, MFA, sauvegardes, journalisation, plan d'incident.

⏰

Vos équipes n'ont pas le temps de se former au RGPD

Rédiger un registre, encadrer des sous-traitants ou monter une analyse d'impact demande une expertise juridique et technique croisée que peu de PME ont en interne.

La démarche RGPD-Express

Une méthode structurée, adaptée à la taille et au contexte réel de votre structure

1
Étape 1 - Cadrage

Entretien et cartographie des traitements

Entretien avec le dirigeant ou le référent RGPD. Identification des traitements de données personnelles (clients, salariés, prospects, fournisseurs), des outils utilisés et des sous-traitants déjà en place.

2
Étape 2 - Registre des traitements

Formalisation du registre (art. 30)

Rédaction du registre des activités de traitement : finalités, bases légales, catégories de données et de personnes concernées, destinataires, durées de conservation, mesures de sécurité.

3
Étape 3 - Sous-traitance et mesures techniques

Contrats de sous-traitance et réponses aux questionnaires

Revue ou rédaction des clauses de sous-traitance (art. 28) avec vos prestataires, et préparation des réponses aux questionnaires RGPD que vous adressent vos clients ou assureurs (mesures techniques et organisationnelles).

4
Étape 4 - Restitution

Livraison et analyse d'impact si nécessaire

Remise des documents et présentation à la direction. Si votre traitement entre dans un des cas prévus par l'art. 35(3) du RGPD (profilage à effet juridique, données sensibles à grande échelle, surveillance systématique d'une zone publique), une analyse d'impact (AIPD) est réalisée ou cadrée avec vous.

Ce que vous recevez

Des documents adaptés à votre structure réelle, pas des templates génériques

📝

Registre des traitements (ROPA)

Registre complet conforme à l'article 30 du RGPD.

  • Fiches par traitement (finalité, base légale)
  • Catégories de données et de personnes concernées
  • Destinataires et sous-traitants identifiés
  • Durées de conservation documentées
  • Volet responsable de traitement et sous-traitant
⚖

Contrats de sous-traitance (DPA)

Encadrement contractuel de vos prestataires au sens de l'article 28.

  • Clauses de sous-traitance à jour
  • Identification des sous-traitants ultérieurs
  • Encadrement des transferts hors UE le cas échéant
  • Obligations de sécurité et de notification
🔍

Analyse d'impact (AIPD)

Réalisée uniquement lorsque l'article 35(3) du RGPD l'impose, ou à titre de précaution sur demande.

  • Analyse de nécessité et de proportionnalité
  • Évaluation des risques pour les personnes concernées
  • Mesures pour atténuer les risques identifiés
  • Méthodologie traçable et sourcée
📧

Réponses à vos questionnaires RGPD

Préparation des réponses aux questionnaires envoyés par vos clients, banques ou assureurs cyber.

  • Trame de réponses sur les thèmes récurrents
  • MFA, chiffrement, sauvegardes, journalisation
  • Plan de réponse à incident
  • Politique de conservation des données
🛡

Mesures techniques et organisationnelles

État des lieux des mesures exigées par l'article 32 du RGPD.

  • Points de contrôle sécurité liés aux données personnelles
  • Recommandations priorisées
  • Passerelle possible avec un audit M365 SYAGA Audit existant
📄

Documents remis

Les livrables vous sont remis dans des formats directement exploitables.

  • Documents Word et PDF
  • Prêt à être signé ou diffusé en interne
  • Support à l'appropriation par vos équipes

Les articles clés du RGPD

Le RGPD (Règlement (UE) 2016/679) structure la démarche RGPD-Express

30

Art. 30 - Registre des activités de traitement

Obligation de tenir un registre, côté responsable de traitement et côté sous-traitant. L'exemption prévue au 30.5 pour les structures de moins de 250 salariés ne s'applique qu'aux traitements occasionnels.

28

Art. 28 - Sous-traitant

Encadrement contractuel de tout sous-traitant traitant des données pour votre compte : garanties suffisantes, clauses obligatoires, sous-traitance ultérieure autorisée par écrit préalable.

32

Art. 32 - Sécurité du traitement

Mesures techniques et organisationnelles appropriées au risque : pseudonymisation, chiffrement, moyens garantissant la confidentialité et la disponibilité, procédure de test et d'évaluation régulière.

35

Art. 35 - Analyse d'impact (AIPD)

Obligatoire uniquement lorsque le traitement est susceptible d'engendrer un risque élevé : évaluation systématique à effet juridique, données sensibles à grande échelle, ou surveillance systématique d'une zone accessible au public.

Des formules sur devis

Chaque structure a un périmètre de traitements différent : le tarif est établi après le cadrage

Essentiel

TPE / PME, périmètre de traitements simple

Devis
sur mesure
  • Registre des traitements (art. 30)
  • Revue des contrats de sous-traitance existants
  • Trame de réponse aux questionnaires simples
  • Document remis en Word et PDF
Demander un devis

Standard

PME avec plusieurs sous-traitants et questionnaires récurrents

Devis
sur mesure
  • Tout Essentiel +
  • Rédaction des contrats de sous-traitance (DPA)
  • Réponses complètes aux questionnaires clients/assureurs
  • État des lieux des mesures techniques (art. 32)
  • Restitution au comité de direction
Demander un devis

Sur mesure

Structure avec traitements sensibles ou réglementation sectorielle

Devis
sur mesure
  • Tout Standard +
  • Analyse d'impact (AIPD) si l'art. 35(3) s'applique
  • Cadrage des transferts hors UE
  • Accompagnement multi-sites ou multi-entités
Demander un devis
Aucun prix fixe n'est affiché car le périmètre réel de vos traitements (nombre de sous-traitants, sensibilité des données, questionnaires à traiter) conditionne la charge de travail. Un devis personnalisé est établi après l'entretien de cadrage, sans engagement.

Questions fréquentes

Mon entreprise est-elle concernée par le RGPD ?
Dès que votre structure collecte des données personnelles (fichier clients, paie, prospection commerciale, vidéosurveillance...), vous êtes concerné, quelle que soit votre taille. Une exemption limitée existe à l'article 30.5 pour les structures de moins de 250 salariés dont le traitement est occasionnel : elle ne s'applique généralement pas dès qu'il y a une activité commerciale régulière.
Dois-je obligatoirement réaliser une analyse d'impact (AIPD) ?
Non. L'article 35(3) du RGPD ne l'impose que dans des cas précis : décision automatisée à effet juridique ou similaire sur une personne, traitement à grande échelle de données sensibles, ou surveillance systématique à grande échelle d'une zone accessible au public. Hors de ces cas, une AIPD peut être menée par précaution mais n'est pas une obligation légale.
Un de mes clients ou mon assureur cyber m'envoie un questionnaire RGPD, que faire ?
C'est une démarche de plus en plus fréquente au titre de l'article 28 (votre client vérifie les garanties de ses propres sous-traitants ou fournisseurs). SYAGA vous aide à structurer des réponses cohérentes et documentées sur les thèmes récurrents : sous-traitance, MFA, chiffrement, sauvegardes, journalisation et plan de réponse à incident.
Le registre des traitements suffit-il à être "conforme RGPD" ?
Non, c'est une brique parmi d'autres. Le RGPD couvre aussi la base légale de chaque traitement, l'information des personnes concernées, l'exercice de leurs droits, la sécurité des traitements (art. 32) et, le cas échéant, l'encadrement de la sous-traitance et des transferts hors UE. RGPD-Express traite ces briques selon le périmètre réel de votre structure, défini lors du cadrage.
RGPD-Express remplace-t-il un avis juridique ?
Non. RGPD-Express est un outil d'accompagnement opérationnel qui vous aide à formaliser votre documentation RGPD. Il ne constitue pas un avis juridique et ne remplace pas la consultation d'un avocat ou d'un délégué à la protection des données pour les situations complexes ou contentieuses.
En quoi SYAGA est légitime pour m'accompagner sur le RGPD ?
SYAGA CONSULTING réalise des audits de sécurité et de conformité des systèmes d'information depuis 2009. Cette activité nous a conduits à documenter nous-mêmes, pour notre propre offre d'audit M365, un registre des traitements, des contrats de sous-traitance et une analyse d'impact complets et sourcés. RGPD-Express met cette même méthodologie au service de votre structure.

Veille réglementaire - sources officielles

Ce que dit vraiment le texte, traduit en langage simple. Chaque point renvoie au texte officiel.

Le RGPD, c'est quoi au juste ?

C'est le texte européen qui encadre la collecte et l'utilisation des données personnelles (clients, salariés, prospects...). Il a été adopté le 27 avril 2016 et publié au Journal officiel de l'Union européenne le 4 mai 2016.

Source : EUR-Lex, texte officiel (CELEX 32016R0679)

Depuis quand il s'applique

Le règlement est entré en vigueur vingt jours après sa publication, mais il n'est réellement applicable que depuis le 25 mai 2018. C'est cette date qui compte pour vos obligations concrètes.

Source : CNIL, article 99 du RGPD

Le registre des traitements : le document de base

Vous devez tenir la liste de ce que vous faites avec les données personnelles : pour quoi, avec qui, combien de temps vous les gardez, comment vous les protégez. Une exception existe pour les structures de moins de 250 salariés, mais seulement si le traitement est occasionnel, une activité commerciale régulière n'en bénéficie pas.

Source : CNIL, article 30 du RGPD

Faut-il nommer un délégué à la protection des données (DPO) ?

Ce n'est obligatoire que dans trois situations précises : vous êtes un organisme public, ou votre activité principale consiste à surveiller des personnes de façon régulière et à grande échelle, ou à traiter à grande échelle des données sensibles. En dehors de ces cas, nommer un DPO reste facultatif.

Source : CNIL, article 37 du RGPD

En cas de fuite de données : 72 heures pour prévenir l'autorité

Si des données personnelles sont perdues, volées ou exposées, vous devez en informer la CNIL (ou l'autorité compétente) au plus tard 72 heures après en avoir eu connaissance, sauf si le risque pour les personnes est négligeable. Vous devez aussi garder une trace écrite de chaque incident.

Source : CNIL, article 33 du RGPD

Si le risque est élevé, vos clients ou salariés doivent aussi être prévenus

Quand une fuite de données fait courir un risque élevé aux personnes concernées, vous devez les informer directement, en langage clair et simple. Vous pouvez être dispensé de cette communication si les données étaient chiffrées ou si vous avez déjà neutralisé le risque.

Source : CNIL, article 34 du RGPD

Les sanctions en clair

En cas de manquement, l'amende peut aller jusqu'à 10 millions d'euros (ou 2% du chiffre d'affaires mondial de l'entreprise) pour les manquements les plus courants, et jusqu'à 20 millions d'euros (ou 4% du chiffre d'affaires mondial) pour les atteintes les plus graves aux droits des personnes, c'est toujours le montant le plus élevé qui est retenu. Le montant réel dépend de la gravité, de la bonne foi et de la coopération avec l'autorité.

Source : CNIL, article 83 du RGPD
Cette veille est une synthèse pédagogique établie à partir des textes officiels cités ci-dessus (EUR-Lex et CNIL). Elle ne remplace pas une lecture juridique du texte et ne constitue pas un avis juridique.

Qui est concerné par le RGPD ?

La question qu'on nous pose le plus souvent : "Est-ce que ça me concerne vraiment, moi, petite structure ?" Réponse courte et sourcée : oui, presque toujours.

La taille de l'entreprise ne change rien à l'obligation

La CNIL est explicite : "comme toutes les entreprises, les TPE et PME doivent respecter la réglementation sur la protection des données personnelles." Il n'existe aucun seuil d'effectif ou de chiffre d'affaires qui exempte une structure du RGPD.

Source : CNIL, RGPD et TPE-PME

Le vrai déclencheur : traiter une donnée personnelle

Le RGPD s'applique dès qu'une organisation traite, même partiellement de façon automatisée, ou dans un fichier structuré, une information qui se rapporte à une personne identifiée ou identifiable : nom, email, téléphone, adresse IP, données de localisation...

Concrètement, cela couvre un fichier clients, la paie des salariés, les CV reçus, une caméra de vidéosurveillance, une newsletter, un CRM ou des cookies de mesure d'audience.

Source : CNIL, article 2 du RGPD

Les rares exceptions

Le RGPD ne s'applique pas dans quatre cas précis :

  • un usage strictement personnel ou domestique (votre carnet d'adresses privé, par exemple)
  • les activités hors du champ du droit de l'Union européenne
  • les activités des États membres relevant de la politique étrangère commune
  • les traitements des autorités pour la prévention d'infractions pénales (régime à part)
Source : CNIL, article 2 du RGPD

Peu importe où vous êtes installé

Le RGPD s'applique dès que votre entreprise a un établissement dans l'Union européenne, ou dès que vous visez des personnes qui s'y trouvent : en leur proposant des biens ou services (même gratuits), ou en suivant leur comportement (profilage, cookies de suivi).

La CNIL cite deux exemples parlants : une entreprise française qui exporte uniquement vers le Maroc reste soumise au RGPD dès qu'elle traite des données de personnes dans l'UE ; un site e-commerce chinois qui livre en France doit lui aussi le respecter.

Source : CNIL, article 3 du RGPD • CNIL, "RGPD, de quoi parle-t-on ?"

Deux rôles possibles, deux niveaux d'obligations

Responsable de traitement : l'organisme qui décide pourquoi et comment on utilise les données (votre entreprise, une commune, une association). C'est en général vous.

Sous-traitant : le prestataire qui traite ces données sur vos instructions (hébergeur, logiciel de paie, agence marketing...). Il a lui aussi ses propres obligations, distinctes des vôtres.

Source : CNIL, article 4, points 7 et 8 du RGPD
🏢

Entreprises privées
de la TPE au grand groupe, dès le premier fichier client ou la première fiche de paie

🏛️

Secteur public
communes, collectivités, administrations, établissements de santé

🤝

Associations, artisans, indépendants
professions libérales, commerçants, startups : aucune exemption liée au statut

Cette section est une synthèse pédagogique établie à partir des textes et pages officiels cités ci-dessus (CNIL, articles 2, 3 et 4 du RGPD). Elle ne remplace pas une lecture juridique du texte et ne constitue pas un avis juridique.

Les questions qu'un dirigeant se pose vraiment

Pas de jargon juridique : les 7 questions les plus courantes, une réponse simple, et le texte officiel derrière chaque réponse.

Cliquez sur une question pour voir la réponse et sa source.

Dois-je toujours demander le consentement de mes clients pour utiliser leurs données ?

Non. Le consentement n'est qu'une option parmi six. Le RGPD (article 6) autorise aussi le traitement quand il est nécessaire à l'exécution d'un contrat, au respect d'une obligation légale, à la sauvegarde d'intérêts vitaux, à une mission d'intérêt public, ou à l'intérêt légitime de votre entreprise (par exemple gérer la relation avec un client existant), tant que les droits de la personne ne prévalent pas.

Source : CNIL, article 6 du RGPD
Puis-je démarcher mes clients et prospects par email ?

Ça dépend de qui vous contactez :

  • Particuliers (B2C) : accord préalable obligatoire (case à cocher, jamais pré-cochée), sauf pour reproposer un produit similaire à un client déjà existant.
  • Professionnels (B2B) : possible sans accord préalable si le message concerne leur activité, à condition de les avoir informés et de leur laisser un moyen simple de refuser.

Dans tous les cas : expéditeur identifiable et lien de désinscription facile.

Source : CNIL, la prospection commerciale par courrier électronique (page mise à jour 10/06/2026)
Un client me demande de supprimer ses données, suis-je obligé d'accepter ?

En général oui, notamment si les données ne servent plus à rien, si la personne retire son consentement, ou si elle s'y oppose sans motif légitime contraire de votre part. Vous pouvez en revanche refuser si vous devez conserver ces données pour une obligation légale, par exemple une facture à garder 10 ans pour la comptabilité, ou pour vous défendre en justice.

Source : CNIL, article 17 du RGPD (droit à l'effacement)
Combien de temps ai-je pour répondre à une demande d'un client (accès, suppression...) ?

1 mois à compter de la réception de la demande. Ce délai peut être prolongé de 2 mois si la demande est complexe ou si vous en recevez beaucoup, mais vous devez prévenir la personne de cette prolongation dans le mois initial.

Source : CNIL, article 12 du RGPD
Puis-je stocker les données de mes clients chez un prestataire cloud américain ?

Oui, mais pas sans précaution. Trois cas possibles : le pays bénéficie d'une décision officielle de la Commission européenne reconnaissant un niveau de protection adéquat ; à défaut, votre prestataire doit offrir des garanties appropriées (clauses contractuelles types le plus souvent) ; ou, pour des cas ponctuels seulement, une dérogation précise s'applique (consentement explicite, exécution d'un contrat...).

Source : CNIL, chapitre 5 du RGPD (transferts hors UE, art. 44 à 49)
Les cookies de mon site web sont-ils concernés par le RGPD ?

Oui. La plupart des cookies (publicité personnalisée, boutons de réseaux sociaux...) nécessitent un accord préalable de votre visiteur, donné librement, aussi facile à retirer qu'à donner. Accepter des conditions générales ne compte pas comme un accord valable. Quelques cookies techniques (panier d'achat, authentification, préférence de langue) sont dispensés de cet accord.

Source : CNIL, cookies et traceurs : que dit la loi
Que risque concrètement mon entreprise en cas de contrôle de la CNIL ?

La CNIL commence en général par un contrôle (sur place ou en ligne) puis une mise en demeure de vous mettre en conformité dans un délai donné. Les sanctions financières existent mais restent proportionnées à la taille de la structure : la CNIL a par exemple sanctionné de petites entreprises entre 2 000 et 20 000 euros pour des manquements sur la sécurité, les cookies ou le droit d'accès, bien loin des plafonds maximaux (jusqu'à 20 millions d'euros ou 4% du chiffre d'affaires mondial pour les manquements les plus graves).

Source : CNIL, sanctions prononcées par la CNIL
Cette FAQ est une synthèse pédagogique établie à partir des textes et pages officiels cités ci-dessus (CNIL). Elle ne remplace pas une lecture juridique du texte et ne constitue pas un avis juridique.

Le calendrier RGPD, en clair

Le RGPD n'est pas né en 2018 et n'est pas figé depuis. Voici, dans l'ordre, ce qui s'est déjà passé (et qui reste la règle du jeu aujourd'hui) et ce qui est encore en discussion à Bruxelles - avec, pour chaque étape, le texte officiel qui le prouve.

Déjà en vigueur aujourd'hui

  • Le RGPD s'applique pleinement depuis le 25 mai 2018 - c'est LA date qui compte pour vos obligations.
  • La loi française "Informatique et Libertés" a été mise à jour en conséquence (2018).
  • Les nouvelles clauses contractuelles types pour les transferts hors UE sont en place depuis fin 2022.
  • Le cadre de transfert des données vers les États-Unis (Data Privacy Framework) est en vigueur depuis juillet 2023.

Encore en discussion, pas encore obligatoire

  • Un allègement du registre des traitements (art. 30) pour les structures de moins de 750 salariés, proposé par la Commission en mai 2025 - pas encore un texte en vigueur.
  • Un règlement pour harmoniser les procédures entre autorités de contrôle nationales lors d'enquêtes transfrontalières - accord politique en juin 2025, adoption formelle non confirmée à ce jour.
  • Ne vous fiez pas à ces annonces pour repousser votre mise en conformité : le socle de 2018 reste la règle tant que rien n'est publié au Journal officiel.
1
27 avril 2016

Le texte est adopté

Le Parlement européen et le Conseil adoptent le Règlement (UE) 2016/679, le RGPD. source EUR-Lex ↗

2
4 mai 2016

Publication officielle

Le texte est publié au Journal officiel de l'Union européenne (JO L 119, pages 1 à 88). source EUR-Lex ↗

3
24 mai 2016

Entrée en vigueur juridique

Le règlement "entre en vigueur le vingtième jour suivant celui de sa publication" (art. 99). Il existe juridiquement, mais son application effective aux entreprises est encore différée de deux ans - le temps de s'organiser. source CNIL, art. 99 ↗

★
25 mai 2018 - DATE CLÉ

Le RGPD s'applique pleinement

À partir de cette date, toutes les organisations qui traitent des données personnelles de résidents européens doivent être en conformité réelle, pas seulement "sur le papier". C'est la date qu'il faut retenir. source CNIL, art. 99 ↗

4
20 juin 2018 (France)

La loi française est mise à jour

La loi n° 2018-493 adapte le droit français au RGPD et transpose la directive "police-justice" (2016/680), en s'appuyant sur la loi Informatique et Libertés de 1978. source Légifrance ↗

5
12 décembre 2018 (France)

La loi de 1978 est réécrite entièrement

L'ordonnance n° 2018-1125 achève la mise en cohérence de la loi Informatique et Libertés avec le RGPD et la directive 2016/680. source Légifrance ↗

6
24 juin 2020

1er bilan de la Commission européenne

Deux ans après son entrée en application, la Commission publie son premier rapport : le RGPD atteint ses objectifs, mais des améliorations sont nécessaires (harmonisation entre pays, coopération entre autorités). source EUR-Lex (COM 2020) ↗

7
16 juillet 2020

Arrêt "Schrems II"

La Cour de justice de l'Union européenne invalide le "Privacy Shield" qui encadrait les transferts de données vers les États-Unis : les garanties américaines sur l'accès des autorités publiques aux données ne sont pas jugées suffisantes. source EUR-Lex ↗

8
27 juin 2021 → 27 décembre 2022

Nouvelles clauses contractuelles types

De nouveaux modèles de clauses pour encadrer les transferts de données hors UE entrent en vigueur, avec une période de transition de 15 mois pour remplacer les anciens contrats déjà signés. source EUR-Lex (2021/914) ↗

9
10 juillet 2023

Nouveau cadre UE - États-Unis

La Commission adopte la décision d'adéquation "EU-US Data Privacy Framework", qui remplace le Privacy Shield invalidé en 2020 et sécurise à nouveau les transferts vers les entreprises américaines certifiées. source EUR-Lex (2023/1795) ↗

10
25 juillet 2024

2e bilan de la Commission européenne

Nette hausse des sanctions envers les grandes entreprises technologiques, mais des divergences persistent entre autorités nationales. La Commission recommande de mieux accompagner les PME. source EUR-Lex (COM 2024) ↗

⏳
21 mai 2025 (en cours)

Proposition d'allègement pour les PME

La Commission propose, dans son paquet de simplification du marché unique, d'étendre à 750 salariés (au lieu de 250) la dérogation à la tenue complète du registre des traitements (art. 30), limitée aux traitements "à haut risque". C'est une proposition, pas encore un texte en vigueur. source Commission européenne ↗

⏳
16 juin 2025 (en cours)

Accord sur des règles procédurales communes

Le Conseil et le Parlement européen s'accordent politiquement sur des règles procédurales supplémentaires pour harmoniser la façon dont les autorités de contrôle nationales coopèrent lors d'enquêtes transfrontalières. L'adoption formelle et la publication au Journal officiel restent à confirmer. source Commission européenne ↗

Calendrier établi à partir de sources officielles (EUR-Lex, CNIL, Légifrance, Commission européenne) consultées le 18 juillet 2026. Les deux dernières étapes sont des propositions ou accords politiques en cours - nous les mettrons à jour dès leur adoption formelle et leur publication au Journal officiel. Ceci est une synthèse pédagogique et ne constitue pas un avis juridique.

Les sanctions RGPD, en clair

Le chiffre qui fait peur - « 20 millions d'euros » - circule partout, mais il ne dit pas comment ça marche vraiment. Voici, sources officielles à l'appui, qui sanctionne, comment, et pour quels montants réels.

L'amende maximale n'est ni automatique, ni la norme

La CNIL dispose d'une échelle complète de mesures avant d'en arriver à l'amende, et le montant réel dépend toujours de la gravité, de la taille de la structure et de sa bonne foi. Les exemples officiels plus bas le montrent : de 5 000 € pour une petite structure à plusieurs dizaines de millions pour un grand groupe récidiviste.

Jusqu'à 10 M €

ou jusqu'à 2 % du chiffre d'affaires annuel mondial de l'entreprise (le montant le plus élevé des deux est retenu).

Palier applicable aux manquements « courants » : registre des traitements, sécurité des données, obligations du sous-traitant, défaut d'analyse d'impact...

Jusqu'à 20 M €

ou jusqu'à 4 % du chiffre d'affaires annuel mondial (idem, le montant le plus élevé des deux est retenu).

Palier applicable aux manquements les plus graves : absence de base légale, atteinte aux droits des personnes, transferts illégaux hors UE...

Source : CNIL, article 83 du RGPD

Qui décide ? La formation restreinte de la CNIL

Ce n'est pas la CNIL « générale » qui sanctionne, mais un organe distinct et indépendant : la formation restreinte, composée de 5 membres et d'un président différent du président de la CNIL. C'est elle seule qui instruit les dossiers et prononce les sanctions. Les décisions les plus importantes sont rendues publiques.

Source : CNIL, définition « formation restreinte »

Ce qui fait varier le montant réel

L'article 83 du RGPD impose à la CNIL de tenir compte de plusieurs critères avant de fixer une amende, notamment :

  • la gravité, la nature et la durée du manquement
  • le caractère intentionnel ou la simple négligence
  • les mesures déjà prises pour réduire le dommage
  • la coopération avec la CNIL et les manquements antérieurs
  • les catégories de données concernées
Source : CNIL, article 83 du RGPD

Avant l'amende : une réponse graduée (article 58 du RGPD)

  1. Avertissement
  2. Rappel à l'ordre
  3. Mise en demeure
  4. Injonction de mise en conformité
  5. Amende administrative (art. 83)
Source : CNIL, article 58 du RGPD (échelle complète des mesures correctrices)
Exemples réels de sanctions CNIL (grands groupes, pour donner un ordre de grandeur)
DateOrganismeMontantMotif
21/01/2019Google LLC50 M €Manque de transparence, absence de consentement valable pour la publicité personnalisée
07/12/2020Amazon Europe Core35 M €Cookies déposés sans consentement préalable
31/12/2021Google LLC / Google Ireland150 M €Refuser les cookies plus compliqué que les accepter
31/12/2021Facebook Ireland (Meta)60 M €Même motif : refus des cookies rendu trop difficile
17/10/2022Clearview AI20 M €Reconnaissance faciale sans base légale, refus de coopérer
10/11/2022Discord Inc.800 000 €Conservation excessive des données, sécurité et information insuffisantes
15/06/2023Criteo40 M €Manquements au consentement cookies et aux droits des personnes
Source : CNIL, liste des sanctions prononcées

Et pour une structure plus modeste ? Des montants proportionnés

La CNIL sanctionne aussi des petites et moyennes structures, mais avec des montants sans commune mesure avec les groupes internationaux. Sur les seules délibérations de décembre 2025, on trouve par exemple : 5 000 € pour une société de gestion hôtelière (vidéoprotection non conforme), 7 000 € et 5 000 € pour deux sociétés d'édition de journaux (cookies non valides), 10 000 € pour une société de fret aéroportuaire (vidéoprotection illicite), ou encore 20 000 € pour une université (finalités non respectées). À l'autre bout de l'échelle, une société du secteur tertiaire a été sanctionnée à hauteur de 3,5 M € le même mois pour un cumul de manquements graves (sécurité, transparence, cookies). Le montant suit la gravité et la taille, pas l'inverse.

Source : CNIL, liste des sanctions prononcées (délibérations décembre 2025)
Cette section est une synthèse pédagogique établie à partir des textes et pages officiels cités ci-dessus (CNIL, articles 58 et 83 du RGPD, liste officielle des sanctions prononcées). Les noms cités pour les grandes sanctions sont ceux publiés par la CNIL elle-même dans ses communiqués. Elle ne remplace pas une lecture juridique du texte et ne constitue pas un avis juridique.

Votre autorité de contrôle, selon votre pays

En Europe, chaque pays a ses propres autorités. Voici, pour les 30 pays de l'Espace économique européen, l'autorité de protection des données (votre interlocuteur RGPD) et l'autorité nationale de cybersécurité. Chaque nom renvoie au site officiel.

PaysProtection des donnéesCybersécurité
AllemagneBfDI - Die Bundesbeauftragte für den Datenschutz und die InformationsfreiheitBSI - Bundesamt für Sicherheit in der Informationstechnik (Federal Office for Information Security)
AutricheOsterreichische Datenschutzbehorde (DSB)CERT.at
BelgiqueAutorite de la protection des donnees - Gegevensbeschermingsautoriteit (APD-GBA)Centre for Cybersecurity Belgium (CCB)
BulgarieCommission for Personal Data Protection (CPDP)CERT Bulgaria (National Cybersecurity Incident Response Team, State e-Government Agency)
ChypreOffice of the Commissioner for Personal Data Protection (Cyprus Data Protection Authority)Digital Security Authority (DSA)
CroatieAgencija za zastitu osobnih podataka (AZOP) - Croatian Personal Data Protection AgencyNational Cyber Security Centre (NCSC-HR), operating under the Security and Intelligence Agency (SOA)
DanemarkDatatilsynetForsvarets Efterretningstjeneste (FE) - Cybersituationscenter, national CSIRT (Danish Defence Intelligence Service)
EspagneAgencia Espanola de Proteccion de Datos (AEPD)INCIBE - Instituto Nacional de Ciberseguridad (Spanish National Cybersecurity Institute)
EstonieEstonian Data Protection Inspectorate (Andmekaitse Inspektsioon)Information System Authority (RIA) - National Cyber Security Centre of Estonia (NCSC-EE), heberge CERT-EE
FinlandeOffice of the Data Protection Ombudsman (Tietosuojavaltuutetun toimisto)National Cyber Security Centre Finland (NCSC-FI)
FranceCNIL (Commission Nationale de l'Informatique et des Libertes)ANSSI (Agence Nationale de la Securite des Systemes d'Information)
GrèceHellenic Data Protection Authority (HDPA) - Arkhi Prostasias Dedomenon Prosopikou KharaktiraNational Cybersecurity Authority (NCSA) - Ethniki Arkhi Kyvernoasfaleias
HongrieNemzeti Adatvedelmi es Informacioszabadsag Hatosag (NAIH) - Hungarian National Authority for Data Protection and Freedom of InformationNational Cyber Security Center of Hungary (NCSC-HU / NKI), operant au sein du Special Service for National Security (SSNS)
IrlandeData Protection Commission (DPC)National Cyber Security Centre (NCSC-IE), incluant le CSIRT-IE
IslandePersonuvernd (Icelandic Data Protection Authority)CERT-IS
ItalieGarante per la protezione dei dati personaliAgenzia per la Cybersicurezza Nazionale (ACN)
LettonieData State Inspectorate (Datu valsts inspekcija)CERT.LV - Cyber Incident Response Institution of the Republic of Latvia
LiechtensteinDatenschutzstelle Fürstentum LiechtensteinCSIRT.LI (Computer Security Incident Response Team Liechtenstein / National Cyber Security Unit)
LituanieState Data Protection Inspectorate (Valstybine duomenu apsaugos inspekcija - VDAI)National Cyber Security Centre (Nacionalinis kibernetinio saugumo centras - NKSC)
LuxembourgCommission Nationale pour la Protection des Données (CNPD)Agence nationale de la sécurité des systèmes d'information (ANSSI Luxembourg), sous le Haut-Commissariat à la protection nationale (HCPN)
MalteOffice of the Information and Data Protection Commissioner (IDPC)CSIRTMalta (Critical Information Infrastructure Protection Unit, Ministry for Home Affairs and National Security)
NorvegeDatatilsynetNSM (Nasjonal sikkerhetsmyndighet / National Security Authority) (à confirmer)
Pays-BasAutoriteit Persoonsgegevens (AP)National Cyber Security Centre (NCSC-NL)
PologneUrząd Ochrony Danych Osobowych (UODO)CSIRT NASK (CERT Polska)
PortugalComissão Nacional de Proteção de Dados (CNPD)Centro Nacional de Cibersegurança (CNCS)
RoumanieANSPDCP - Autoritatea Nationala de Supraveghere a Prelucrarii Datelor cu Caracter Personal (National Supervisory Authority for Personal Data Processing)à confirmer
SlovaquieUrad na ochranu osobnych udajov Slovenskej republikyNarodny bezpecnostny urad (National Security Authority) - SK-CERT / National Cyber Security Centre
SlovénieInformation Commissioner of the Republic of Slovenia (Informacijski pooblascenec)Government Information Security Office (GISO / URSIV - Urad Vlade RS za Informacijsko Varnost)
SuedeIntegritetsskyddsmyndigheten (IMY) - Swedish Authority for Privacy ProtectionNationellt cybersakerhetscenter (NCSC-SE), rattache a FRA, integre CERT-SE (CSIRT national)
TchéquieUrad pro ochranu osobnich udaju (UOOU) - Office for Personal Data ProtectionNarodni urad pro kybernetickou a informacni bezpecnost (NUKIB) - National Cyber and Information Security Agency

Sources : sites officiels des autorités et liste des membres de l'EDPB (edpb.europa.eu), consultés le 18 juillet 2026. Autorités de protection des données confirmées : 30/30. Autorités de cybersécurité confirmées : 28/30. Les mentions « à confirmer » signalent une source officielle non stabilisée à ce jour.

Veille réglementaire RGPD

Les nouveautés officielles, digérées en clair. La plus récente en haut.

22 juillet 2026 · CNIL

La CNIL publie ses questions-réponses sur les pixels de suivi dans les e-mails

La CNIL avait publié en avril 2026 une recommandation qualifiant les pixels de suivi (petites images invisibles insérées dans un e-mail pour savoir s'il a été ouvert) de traceurs soumis en principe au consentement préalable du destinataire. Elle publie maintenant un document de questions-réponses qui précise concrètement les obligations : cas d'exemption de consentement (par exemple la mesure individuelle de la délivrabilité d'un envoi), responsabilités respectives de l'entreprise et de son prestataire technique, et modalités pratiques pour recueillir l'autorisation.

Ce que ça change pour vous aujourd'hui : ce n'est pas une nouvelle obligation, mais un rappel utile. Si vos e-mails (newsletters, campagnes commerciales) contiennent des pixels de suivi, la CNIL demandait déjà, pour les adresses collectées avant avril 2026, d'informer clairement les destinataires et de leur permettre de s'y opposer facilement dans un délai de trois mois (échéance mi-juillet 2026 déjà passée). Si ce n'est pas encore fait, c'est le moment de vérifier votre conformité.

Source officielle : CNIL (cnil.fr)

20 juillet 2026 · CNIL

La CNIL publie une note exploratoire sur l'IA agentique et les données personnelles

La CNIL et le Conseil de l'IA et du Numérique (CIANum) ont publié une note conjointe sur les enjeux de protection des données que pose l'« IA agentique » : des intelligences artificielles capables d'agir de façon autonome pour le compte d'un utilisateur, connectées à plusieurs services à la fois. La note souligne que ces agents font circuler davantage de données personnelles entre services, conservent l'historique des échanges et construisent une mémoire persistante, ce qui favorise des profils utilisateurs très détaillés.

Ce que ça change pour vous aujourd'hui : rien d'obligatoire, il s'agit d'une note de réflexion, pas d'une nouvelle règle. Mais si vous envisagez de déployer des agents IA autonomes connectés à vos outils (messagerie, CRM, agenda...), la CNIL identifie déjà ce sujet comme sensible : c'est le bon moment pour anticiper la question du RGPD dès la conception plutôt qu'après coup.

Source officielle : CNIL (cnil.fr)

14 juillet 2026 · EDPB

L'EDPB tranche en faveur de l'association Noyb dans un litige sur les bandeaux de cookies

Le Comité européen de la protection des données (EDPB) a rendu une décision contraignante demandant à l'autorité belge de protection des données (APD) de réexaminer sur le fond une plainte de l'association Noyb contre le diffuseur public belge VRT, à propos de son bandeau de consentement aux cookies. L'autorité belge avait tenté d'écarter la plainte pour un motif de procédure ; l'EDPB a jugé que l'association n'avait pas abusé de ses droits de plainte et renvoie donc le dossier pour un examen complet.

Ce que ça change pour vous aujourd'hui : rien d'obligatoire dans l'immédiat, cette décision concerne une procédure entre une association et l'autorité belge. Mais elle confirme que les bandeaux de consentement aux cookies restent une priorité de contrôle en Europe : c'est l'occasion de vérifier que le vôtre permet de refuser aussi simplement que d'accepter.

Source officielle : EDPB (edpb.europa.eu)

17 juillet 2026 · EDPB

L’EDPB réclame une base légale pour le partage d’informations entre régulateurs

Le comité européen qui coordonne toutes les CNIL de l’Union (l’EDPB) a publié une déclaration demandant à la Commission européenne de créer une base légale permettant aux autorités (protection des données, concurrence, régulateurs du numérique…) d’échanger entre elles des informations confidentielles sur les entreprises contrôlées. Motif avancé : l’explosion des plaintes, notamment liées à l’IA.

Ce que ça change pour vous aujourd’hui : rien d’obligatoire dans l’immédiat. C’est une demande politique, pas un texte de loi. À retenir comme signal : les autorités européennes veulent mieux se coordonner, ce qui peut annoncer des contrôles croisés plus fréquents à l’avenir.

Source officielle : EDPB (edpb.europa.eu)

Prêt à structurer votre conformité RGPD ?

Écrivez-nous pour un cadrage initial et un devis personnalisé, sans engagement.

Démarrer mon diagnostic gratuit

Gratuit: votre score + vos écarts. Le rapport détaillé et l'attestation : 499 € HT, seulement si vous le décidez.

contact@syaga.eu
RGPD-Express est un outil d'accompagnement opérationnel. Il ne constitue pas un avis juridique et ne se substitue pas à la consultation d'un avocat ou d'un délégué à la protection des données.