Amende RGPD : réduire le risque avant un contrôle de la CNIL

Une entreprise réduit son risque d’amende RGPD en connaissant ses traitements de données, en corrigeant les manquements qu’elle connaît et en pouvant prouver ces mesures avant un contrôle. L’autorité évalue si la faute est intentionnelle ou commise par négligence, puis les circonstances aggravantes et atténuantes. Le point de départ reste un état des lieux réel.

Cet article reprend la méthode décrite par le Comité européen de la protection des données (CEPD) et les dernières sanctions publiées par la CNIL. Il distingue les faits établis, les points qui dépendent de votre situation et ceux que vous devez confirmer avec votre juriste ou votre délégué à la protection des données.

Comment l’autorité décide-t-elle d’infliger une amende ?

Les autorités de protection des données (APD) suivent une méthode en cinq étapes avant de décider d’une amende administrative. Elles vérifient d’abord que l’infraction peut donner lieu à une amende, sur le fondement du RGPD ou du droit national. La CNIL présente ces lignes directrices dans un retour sur la plénière du CEPD du 17 septembre 2026.

L’APD vérifie ensuite si l’organisme visé peut être sanctionné pour cette infraction, puis si elle a été commise intentionnellement ou par négligence. Sans infraction fautive, il n’y a pas d’amende. Viennent ensuite les circonstances aggravantes et atténuantes, puis la question de savoir si une amende serait effective, proportionnée et dissuasive.

Ces lignes directrices font l’objet d’une consultation publique jusqu’au 13 novembre 2026. Le texte peut donc encore changer d’ici là, et il vaut la peine de relire la version publiée avant de fixer une politique interne.

Un manquement mineur entraîne-t-il toujours une amende ?

Non, pas toujours. Pour une infraction jugée mineure, l’autorité renonce en général à l’amende et peut se contenter d’un blâme. En dehors de ce cas, une amende devient un scénario très sérieux.

Les mesures correctrices vont bien au-delà de l’amende. Elles s’étendent de l’avertissement à l’interdiction d’un traitement, en passant par les injonctions et le retrait d’une certification.

Que disent les sanctions récentes de la CNIL ?

La CNIL publie ses décisions sur une page dédiée aux sanctions. Deux décisions de 2026 montrent le type de reproche retenu : une amende de 300 000 euros visant la société EXTIA, et une amende de 500 000 euros visant l’Hôpital privé de la Loire.

Le 21 juillet 2026, l’autorité a fixé à 300 000 euros l’amende visant EXTIA. Le grief porte sur plusieurs manquements aux droits des personnes, dont le droit à l’effacement.

Le 3 septembre 2026, l’autorité a fixé à 500 000 euros l’amende visant l’Hôpital privé de la Loire. Le dossier porte sur une violation de données de santé, et le grief concerne la sécurité : les mesures prises n’étaient pas jugées assez adaptées pour protéger ces données.

Ces deux cas indiquent où regarder en premier : le traitement des demandes des personnes et la sécurité des données. Ils ne permettent pas d’estimer le montant d’une amende pour votre entreprise, car chaque dossier dépend de ses faits.

Que vérifier avant un contrôle de la CNIL ?

Commencez par une liste de vos traitements : données collectées, finalité, personnes qui y accèdent et lieux d’hébergement. Un service oublié de cette liste devient un angle mort. Pour chaque traitement, vérifiez aussi les services utilisés et les conditions contractuelles, car ces éléments se vérifient projet par projet.

Vérifiez ensuite quatre points :

• les accès : qui voit quelles données, et qui retire ces droits lors d’un départ ou d’un changement de poste ;
• la conservation : durée prévue pour chaque donnée, et suppression réellement effectuée ;
• les demandes des personnes : par où elles arrivent, qui les lit et qui les traite ;
• la preuve : le journal, la décision écrite ou la procédure qui montre que la mesure existe.

La qualification juridique de chaque traitement ne se déduit pas d’une fiche. Elle relève de votre juriste ou de votre délégué à la protection des données.

Comment savoir si vos mesures tiennent sur un cas réel ?

Un document de conformité ne montre pas comment l’information circule. Prenez une demande d’effacement reçue ces derniers mois et suivez-la de bout en bout : réception, outils touchés, exports, sous-traitants, réponse envoyée.

Le test est réussi si chaque copie a été traitée, pas seulement celle de l’outil principal, et si vous pouvez le prouver. Testez aussi les cas qui sortent de la règle : donnée manquante, doublon, outil indisponible, reprise après panne. Une demande reçue deux fois ne doit produire ni deux suppressions ni deux réponses contradictoires.

Qui garde la décision quand une donnée sort du cadre ?

L’équipe garde la décision qui engage l’organisme, par exemple refuser un effacement ou répondre à une personne concernée. Une automatisation peut trier une demande, préparer une réponse ou signaler une anomalie, mais elle ne met pas une entreprise en conformité à elle seule. Chez Blink, le principe est simple : l’IA propose, l’équipe dispose.

Notez qui a validé, quand et sur quelle base. Ce journal reste la preuve la plus directe à présenter si la CNIL pose une question sur un traitement.

Blink peut vous aider à cadrer un audit de processus : on part des flux réels et des décisions à garder humaines, avant de choisir un outil. Pour démarrer dès demain, prenez un seul processus qui traite des données personnelles, suivez-le de bout en bout avec la personne qui valide et notez les points où l’information est recopiée.