Les amendes RGPD bondissent de 230 % au deuxième trimestre 2026

Le montant néerlandais s’explique presque entièrement par une amende de 100 millions d’euros infligée à MLU B.V., l’opérateur de l’application de VTC Yango et successeur de Ridetech International B.V. L’Autorité néerlandaise de protection des données a estimé que des données personnelles d’utilisateurs et de chauffeurs en Finlande et en Norvège avaient été transférées vers la Russie sans garanties suffisantes. Elle a ordonné la suspension de ces transferts tant que des mesures conformes au RGPD ne seraient pas en place.

Ce que l’affaire Yango change pour les transferts internationaux

L’affaire illustre un point essentiel pour les entreprises opérant à l’international : le recours à des clauses contractuelles types ne suffit pas automatiquement à sécuriser un transfert de données.

D’après les informations disponibles, l’autorité néerlandaise a notamment pris en compte la possibilité d’un accès russe aux clés de chiffrement ainsi que l’existence d’une direction commune néerlando-russe. Ces éléments pouvaient accroître les risques d’accès aux données et de réidentification des personnes concernées.

Les recommandations de l’autorité néerlandaise rappellent qu’un transfert vers un pays tiers — c’est-à-dire un pays situé hors de l’Espace économique européen — doit reposer sur un niveau de protection adéquat, des garanties appropriées ou une exception précise. Les clauses contractuelles types constituent l’une de ces garanties, mais l’organisation doit encore vérifier que la protection reste réellement efficace dans le contexte du transfert.

En France, les principales sanctions concernent la sécurité des données

Les 52 millions d’euros d’amendes recensés en France comprennent plusieurs dossiers importants. FREE MOBILE a reçu une sanction de 27 millions d’euros, tandis que sa maison mère FREE a été condamnée à 15 millions d’euros après une violation majeure de données. IQVIA Operations France a également écopé d’une amende de 15 millions d’euros pour des manquements liés à des données de santé.

Ces affaires montrent le coût potentiel d’une protection insuffisante des informations sensibles ou de contrôles de sécurité inefficaces. Elles soulignent aussi que les sanctions peuvent viser plusieurs sociétés d’un même groupe lorsque les responsabilités en matière de traitement et de sécurité sont réparties entre différentes entités.

L’Italie sanctionne principalement la protection des données bancaires

L’Italie a enregistré 45,50 millions d’euros d’amendes. La sanction la plus élevée est celle de 31,8 millions d’euros infligée à Intesa Sanpaolo pour des lacunes dans la protection des données bancaires de ses clients. Poste Italiane et PostePay ont également été condamnées à payer respectivement 6,62 millions et 5,88 millions d’euros pour des manquements concernant la gestion d’applications bancaires.

Ces dossiers placent les établissements financiers parmi les secteurs les plus exposés lorsque les contrôles d’accès, la gouvernance des données ou les processus liés aux services numériques ne protègent pas suffisamment les informations des clients.

Reddit sanctionné pour une vérification de l’âge insuffisante

L’Information Commissioner’s Office (ICO), l’autorité britannique chargée de la protection des données, a infligé à Reddit une amende de 14,47 millions de livres sterling (16,61 millions d’euros) pour une vérification de l’âge jugée insuffisante et le traitement illicite de données concernant des enfants.

Cette affaire élargit le champ des risques au-delà des fuites de données et des transferts internationaux. Les plateformes qui traitent des informations relatives à des mineurs doivent également pouvoir démontrer que leurs mécanismes de vérification de l’âge et leurs pratiques de traitement reposent sur une base légale et offrent une protection adaptée.

Quels manquements et quels secteurs reviennent le plus souvent ?

L’analyse de Finbold constate que les défaillances de sécurité et l’absence de base légale pour le traitement représentent la quasi-totalité des principales sanctions étudiées au deuxième trimestre.

Parmi les dix amendes les plus élevées, les secteurs des médias et de la finance apparaissent chacun à trois reprises. Les transports et l’énergie comptent chacun deux sanctions parmi les dix premières, dont le dossier Yango, qui constitue la plus importante affaire néerlandaise.

Cette tendance rappelle que le risque RGPD ne se limite pas à la cybersécurité. Les autorités examinent aussi les fondements de l’utilisation des données personnelles : le traitement est-il licite ? Les garanties fonctionnent-elles réellement ? Les transferts vers l’étranger peuvent-ils être justifiés ? L’entreprise contrôle-t-elle correctement ses partenaires et les différentes entités de son groupe ?

Ce que ces chiffres impliquent pour les entreprises

La hausse spectaculaire du deuxième trimestre ne signifie pas que toutes les organisations présentent le même niveau de risque. L’étude constitue une compilation des sanctions rendues publiques, et non une prévision des futures amendes. Elle envoie néanmoins un signal clair : les sanctions les plus lourdes peuvent découler de faiblesses à la fois juridiques, opérationnelles, techniques et organisationnelles.

Les entreprises qui traitent des données personnelles devraient notamment revoir les points suivants :

• Base légale : documenter la raison pour laquelle chaque grande activité de traitement est autorisée et vérifier que la base invoquée correspond à l’usage réel des données.
• Contrôles de sécurité : tester l’efficacité concrète des mesures d’accès, de chiffrement, de surveillance et de réponse aux incidents.
• Transferts internationaux : évaluer l’environnement juridique et technique réel du pays destinataire, plutôt que de s’appuyer uniquement sur des clauses contractuelles.
• Surveillance des tiers : prévoir des accords de traitement clairs, une répartition précise des responsabilités et des procédures de vérification pour les fournisseurs et les sociétés affiliées.
• Données des mineurs et assurance de l’âge : s’assurer que les mécanismes de vérification de l’âge permettent un traitement licite, proportionné et suffisamment protecteur.

La principale conclusion de l’analyse de Finbold est que l’application du RGPD représente un risque financier concret pour les organisations dont la gouvernance des données est fragile. Les affaires les plus lourdes ne relèvent pas uniquement d’incidents techniques isolés : elles mettent en évidence des défaillances structurelles concernant la licéité des traitements, la sécurité, les transferts internationaux et la supervision des partenaires.