Les 5 plus grosses amendes CNIL depuis le RGPD — et ce qu'il faut en retenir

Depuis le 25 mai 2018, date d'entrée en application du Règlement Général sur la Protection des Données (RGPD), la Commission Nationale de l'Informatique et des Libertés a prononcé plusieurs centaines de sanctions. Certaines ont marqué l'histoire de la régulation du numérique en Europe — autant par leur montant que par les principes qu'elles ont posés.

Ces décisions ne concernent pas uniquement les géants du web. Elles posent des règles qui s'imposent à toute organisation traitant des données personnelles, y compris les PME et ETI. En voici cinq à connaître, avec à chaque fois ce qu'il faut en retenir concrètement pour son activité.

1. Google — 50 millions d'euros (janvier 2019)

Cette décision a marqué les esprits car il s'agissait de la première grande sanction RGPD en France. La CNIL a notamment reproché à Google une information éclatée sur plusieurs documents obligeant l'utilisateur à effectuer de nombreux clics pour comprendre ce à quoi il consentait.

2. Google + Amazon — 135 millions d'euros cumulés (décembre 2020)

Cette double sanction a posé une règle devenue standard : pour tous les cookies non strictement nécessaires (publicitaires, analytiques, personnalisation), le consentement doit être obtenu avant dépôt, via une action positive de l'utilisateur. Refuser doit être aussi simple qu'accepter.

3. Clearview AI — 20 millions d'euros (octobre 2022)

La CNIL a sanctionné Clearview, société américaine de reconnaissance faciale, pour avoir aspiré des milliards de photos sur internet afin de constituer une base biométrique. L'entreprise n'avait aucune relation contractuelle avec les personnes concernées et a refusé de répondre aux demandes d'exercice des droits.

4. Criteo — 40 millions d'euros (juin 2023)

Criteo, acteur français du retargeting publicitaire, ne pouvait pas démontrer de manière probante que les personnes concernées avaient consenti à l'utilisation de leurs données. La CNIL a également relevé des défaillances dans l'information des personnes et dans la mise en œuvre du droit d'accès.

5. Dedalus Biologie — 1,5 million d'euros (avril 2022)

Ce dossier est emblématique à deux titres : c'est l'une des plus grosses sanctions prononcées contre un sous-traitant (au sens RGPD), et elle rappelle que la sécurité technique n'est pas une option. Des dossiers médicaux ont été exposés sur un serveur accessible publiquement pendant une migration mal sécurisée.

Ce que ces sanctions nous apprennent en pratique

Au-delà des montants, ces décisions dessinent quelques principes opérationnels applicables à toute PME :

1. Le consentement doit être actif, spécifique et documenté. Pas de case pré-cochée, pas de "qui ne dit mot consent", et surtout pas de consentement impossible à prouver a posteriori.
2. La sécurité technique est une obligation, pas un "bon à avoir". Article 32 RGPD : mesures proportionnées au risque.
3. Les sous-traitants sont co-responsables. Auditez vos fournisseurs, exigez des clauses contractuelles conformes, et gardez une trace.
4. La notification d'une violation est obligatoire dans les 72h. Ne pas notifier quand on aurait dû est une circonstance aggravante.
5. La CNIL s'intéresse de plus en plus aux PME — la mode n'est plus aux seules sanctions spectaculaires contre les géants du web.