Le RGPD passe à la vitesse supérieure : 225,9 millions d’euros d’amendes en trois mois

L’application du règlement général sur la protection des données (RGPD) s’est nettement intensifiée au printemps 2026. Selon une étude de Finbold publiée le 20 août, les autorités de protection des données ont infligé 225 879 175 € d’amendes au deuxième trimestre, soit environ 260,59 millions de dollars.

Réparti sur les trois mois du trimestre, ce montant représente environ 2,48 millions d’euros par jour, ou 17,36 millions d’euros par semaine.

La hausse est particulièrement marquée par rapport au premier trimestre : les amendes étaient alors évaluées à 68,18 millions d’euros. Le total du deuxième trimestre est donc supérieur d’environ 230 % à celui du trimestre précédent et porte le cumul du premier semestre 2026 à près de 295 millions d’euros, soit environ 340,5 millions de dollars.

Les sanctions les plus lourdes

Les chiffres du trimestre sont largement tirés vers le haut par plusieurs procédures majeures :

• Pays-Bas : Yango. La sanction individuelle la plus importante concerne Ridetech International B.V., l’opérateur de l’application de taxi Yango, avec une amende d’environ 100 millions d’euros — 100,25 millions selon un récapitulatif secondaire.
  • L’autorité néerlandaise a reproché à l’entreprise de ne pas avoir mis en place des garanties suffisantes pour les transferts de données vers des pays tiers. Elle a également ordonné l’arrêt des transferts vers la Russie lorsque les exigences du RGPD n’étaient pas respectées.
• France : Free Mobile et Free. Les deux opérateurs télécoms ont écopé au total de 42 millions d’euros, dont 27 millions d’euros pour Free Mobile.
• Italie : Intesa Sanpaolo. La banque a été condamnée à une amende de 31,8 millions d’euros pour des lacunes dans la protection des données de ses clients.
• Royaume-Uni : Reddit. L’Information Commissioner’s Office (ICO), le régulateur britannique de la protection des données, a infligé au réseau social une amende de 14,47 millions de livres sterling, présentée comme équivalant à environ 16,61 millions d’euros. Le dossier concernait notamment la protection insuffisante des mineurs, l’absence de mesures efficaces de vérification de l’âge et l’utilisation illicite de données personnelles d’enfants. Reddit a fait appel de la sanction financière.

Les manquements qui reviennent le plus souvent

Les principales causes de sanction restent les défaillances de sécurité et les traitements de données effectués sans base légale suffisante. Le dossier Yango rappelle toutefois qu’un dispositif insuffisant pour encadrer les transferts internationaux peut lui aussi entraîner une sanction exceptionnelle.

Les secteurs des médias et de la finance représentent à eux seuls six des dix amendes les plus élevées du trimestre. Cette concentration souligne l’exposition particulière des activités qui traitent de grandes quantités de données, s’adressent directement aux consommateurs ou sont déjà soumises à une forte surveillance réglementaire.

Un risque financier et opérationnel, pas seulement juridique

Le bilan du deuxième trimestre montre que le RGPD ne relève pas uniquement de la conformité administrative. Une seule affaire liée à un transfert transfrontalier de données représente près de la moitié du montant total des amendes recensées sur la période.

Les entreprises actives en Europe ont donc intérêt à donner la priorité à plusieurs chantiers :

• documenter la base légale de chaque activité de traitement, notamment le consentement lorsqu’il est requis ;
• renforcer les mesures techniques et organisationnelles de sécurité ;
• déployer des dispositifs efficaces d’assurance de l’âge et une protection renforcée pour les données des enfants ;
• encadrer les transferts vers des pays tiers au moyen de mécanismes juridiquement défendables, d’analyses des risques et de garanties adaptées, en particulier pour les transferts vers des juridictions comme la Russie ;
• assurer une supervision au niveau de la direction et du conseil d’administration pour les traitements à haut risque dans les médias, la technologie, les services financiers et les télécommunications.

Les montants attribués à chaque entreprise reposent en partie sur un récapitulatif publié sur un réseau social et doivent donc être considérés avec une certaine prudence. En revanche, le total du deuxième trimestre et la progression par rapport au premier trimestre sont directement attribués à l’étude Finbold du 20 août.