Quelles sont les sanctions en cas de non-respect du RGPD ?

En cas de non respect du RGPD, comme la divulgation des données personnelles d’une personne, les sanctions peuvent prendre différentes formes. En fonction de la gravité de la violation, la CNIL (Commission nationale de l’informatique et des libertés) peut avertir la société ou lui infliger une amende. Cette amende peut aller jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial s’il s’agit d’une entreprise. La CNIL en tant qu’autorité de contrôle peut imposer des interdictions d’utilisation des données personnelles. Elle accompagne aussi les professionnels dans leur mise en conformité et aide les particuliers à contrôler leurs données personnelles et à exercer leurs droits.

En cas de manquement au RGPD suite à des contrôles ou des plaintes, la formation restreinte de la CNIL peut, dans le cadre d’une procédure ordinaire, prononcer les sanctions suivantes :

• prononcer un rappel à l’ordre ;
• enjoindre de mettre le traitement en conformité, y compris sous astreinte ;
• limiter temporairement ou définitivement un traitement ;
• suspendre les flux de données ;
• ordonner de satisfaire aux demandes d’exercice des droits des personnes, y compris sous astreinte ;
• prononcer une amende administrative

Concernant une procédure ordinaire, les sanctions peuvent être rendues publiques.

A noter que depuis le début 2022,  une procédure de sanction simplifiée peut être engagée pour les dossiers peu complexes ou de faible gravité. Les sanctions sont, dans ce cas, moins nombreuses et moins sévères. Par exemple, le montant maximal de l’amende est de 20 000 €.