Ce que les textes permettent
Règlement Amende maximale Qui décide RGPD 4 % du chiffre d'affaires mondial ou 20 M€, le plus élevé des deux art. 83(5) Autorité nationale de protection des données (CNPD au Luxembourg) Data Act Fixée par chaque État membre ; amendes de niveau RGPD pour les données personnelles, chapitres II, III et V art. 40 Autorités nationales compétentes Digital Markets Act 10 %, 20 % en cas de récidive art. 30 Commission européenne Digital Services Act 6 % art. 74 Commission européenne, pour les très grandes plateformes AI Act 7 % ou 35 M€ pour les pratiques interdites art. 99 Surveillance nationale du marché ; Commission pour les modèles à usage général Concurrence 10 % règl. 1/2003 art. 23 Commission européenne
Le plafond se calcule au niveau du groupe , sur le chiffre d'affaires mondial.
Six régimes qu'une plateforme de données rencontre, avec l'amende maximale de chacun. Le RGPD plafonne les amendes à 4 % du chiffre d'affaires annuel mondial total ou 20 millions d'euros, le montant le plus élevé étant retenu, pour les violations les plus graves (article 83(5)). Le Data Act laisse les sanctions aux États membres (article 40), mais permet aux autorités de protection des données d'imposer des amendes de niveau RGPD pour les violations des chapitres II, III et V lorsque des données personnelles sont en jeu. Le DMA va jusqu'à 10 % du chiffre d'affaires mondial et 20 % en cas de récidive (article 30) ; le DSA jusqu'à 6 % (article 74) ; l'AI Act jusqu'à 7 % ou 35 millions d'euros pour les pratiques interdites (article 99) ; le droit de la concurrence jusqu'à 10 % (règlement 1/2003, article 23).
Le point d'ingénierie : le plafond se calcule sur le chiffre d'affaires de l'entreprise au sens du droit de l'UE, c'est-à-dire, pour un groupe, le groupe entier. Une filiale luxembourgeoise d'un grand groupe est exposée à l'échelle du groupe.
Qu'est-ce qu'une grosse amende ?
Didi · CAC 2022 Meta · DPC 2023 Google · Commission 2025
Uber · AP néerlandaise 2024 Amazon · CNPD 2021 Apple · Commission 2025
≈ 4,6 % ≈ 1,1 % ≈ 1,0 %
≈ 0,9 % ≈ 0,2 % ≈ 0,1 %
4 % : plafond RGPD · Didi relevait de la PIPL (5 %)
Une seule a approché son plafond légal, et ce n'était pas en Europe.
Amende ÷ chiffre d'affaires annuel : Amazon 10-K 2021 Meta 10-K 2022 Alphabet 10-K 2024 Uber 10-K 2023 Apple 10-K FY2024 Didi, CA 2021
Chaque barre est une amende divisée par le chiffre d'affaires annuel de l'entreprise, avec un seul taux de change à la date de la décision ; lire les valeurs comme des ordres de grandeur. Amazon : 746 millions d'euros, environ 880 millions de dollars, contre 469,8 milliards de dollars de ventes nettes en 2021, soit environ 0,19 %, ou environ 1,9 % de ses 46,3 milliards de dollars de flux de trésorerie d'exploitation. Meta : 1,2 milliard d'euros contre 116,6 milliards de dollars de chiffre d'affaires en 2022, environ 1,1 %. Google : 2,95 milliards d'euros contre 350 milliards de dollars en 2024, environ 1 %. Uber : 290 millions d'euros contre 37,3 milliards de dollars en 2023, environ 0,9 %. Apple : 500 millions d'euros contre 391 milliards de dollars sur l'exercice 2024, environ 0,14 %. Didi : 8,026 milliards de yuans contre 173,8 milliards de yuans de chiffre d'affaires en 2021, environ 4,6 %.
La seule amende proche de son plafond a été imposée en Chine, par l'Administration du cyberespace, en droit chinois. Les amendes européennes contre les plus grands groupes tournent autour de 1 % ou moins. Elles ne sont pas indolores pour autant : les injonctions qui les accompagnent (arrêter un transfert, changer un produit) coûtent en général plus cher que l'amende.
Entreprises américaines
Amazon au Luxembourg, Meta et Uber sur les transferts, la Commission face aux contrôleurs d'accès.
Quatre cas avec des groupes américains. Deux portent sur des transferts de données personnelles vers les États-Unis, le pendant RGPD de l'article 32 du Data Act. Un se passe au Luxembourg. Un montre les instruments propres de la Commission.
Amazon, Luxembourg : 746 M€, puis annulée
La décision CNPD, 2021
Amazon Europe Core, établie au Luxembourg, reçoit une amende de 746 millions d'euros pour un traitement de données à des fins de publicité ciblée sans base légale valable.
En mars 2025, le tribunal administratif confirme l'amende. En mars 2026, la Cour administrative l'annule pour des raisons de procédure et renvoie le dossier à la CNPD.
Ce que cela dit à une équipe 3 points
La Cour a gardé les constats sur le fond Elle annule faute d'analyse de l'intention ou de la négligence Cinq ans après, rien n'est payé et le dossier est rouvert
Une amende est une décision, pas un flux de trésorerie .
CNPD, 2021-07-16 · Chronicle.lu et Reuters, 2026-03-13 · CMS Enforcement Tracker, Luxembourg
La plus grosse amende RGPD à l'époque, et une affaire luxembourgeoise. Le 16 juillet 2021, la CNPD inflige 746 millions d'euros à Amazon Europe Core pour de la publicité comportementale en ligne. Amazon fait appel. En mars 2025, le tribunal administratif confirme la décision. Le 12 mars 2026 (certaines sources disent le 13), la Cour administrative, en appel, annule l'amende et renvoie l'ensemble du dossier à la CNPD. La Cour ne blanchit pas Amazon : elle confirme le fond des manquements mais relève deux vices de procédure, notamment que la CNPD n'a pas déterminé si les manquements étaient intentionnels ou dus à une négligence, ce que le RGPD exige pour fixer une amende.
Pour l'échelle : l'amende représentait environ 0,19 % des ventes nettes 2021 d'Amazon et environ 1,9 % de son flux de trésorerie d'exploitation. La leçon pour une équipe conformité est autant procédurale que juridique : le dossier que l'on tient, et que l'autorité tient, décide de l'issue des années plus tard.
Meta et Uber : le transfert est la violation
Entreprise Amende Ce qui n'allait pas Où en est-on Meta 1,2 Md€ Données Facebook envoyées aux États-Unis sous des clauses contractuelles types qui ne répondaient pas au droit américain du renseignement Appel ; suspension par la High Court irlandaise Uber 290 M€ Données de chauffeurs, dont pièces d'identité et données de santé, envoyées aux États-Unis pendant plus de deux ans sans outil de transfert Appel
Même question que l'art. 32 du Data Act : quel droit peut atteindre les données ?
dataprotection.ie, 2023-05-22 · Meta 10-Q, T1 2026 · autoriteitpersoonsgegevens.nl, 2024-08-26
Meta : le 22 mai 2023, la Data Protection Commission irlandaise inflige 1,2 milliard d'euros à Meta Platforms Ireland et lui ordonne de suspendre les transferts de données des utilisateurs de Facebook vers les États-Unis, car les clauses contractuelles types ne répondaient pas aux risques identifiés par la Cour de justice dans l'arrêt Schrems II. Meta a fait appel ; son rapport trimestriel du premier trimestre 2026 indique que la décision est toujours en appel et suspendue par la High Court irlandaise.
Uber : le 26 août 2024, l'Autoriteit Persoonsgegevens néerlandaise inflige 290 millions d'euros à Uber pour avoir envoyé à son siège américain, pendant plus de deux ans et sans mécanisme de transfert valable, des données de chauffeurs européens : licences, localisation, données de paiement, pièces d'identité et, dans certains cas, données médicales et pénales. Cela couvre la période entre la fin du Privacy Shield et la certification d'Uber au Data Privacy Framework. Uber a fait appel. L'affaire est partie des plaintes de plus de 170 chauffeurs français.
Lien avec le cours : l'article 32 du Data Act pose la même question pour les données non personnelles détenues par les fournisseurs cloud. Sous le RGPD, elle a déjà produit les deux plus grosses amendes de cette slide.
La Commission face aux plateformes américaines
Date Entreprise Amende Base et motif 2025-04-23 Apple 500 M€ DMA : règles anti-orientation de l'App Store 2025-04-23 Meta 200 M€ DMA : modèle publicitaire « consentir ou payer » 2025-09-05 Google 2,95 Md€ Art. 102 TFUE : autopréférence dans les technologies publicitaires 2025-12-05 X 120 M€ DSA, première amende : coche bleue, registre publicitaire, accès des chercheurs
Les premières amendes DMA et DSA sont venues avec des injonctions et des délais.
communiqués ec.europa.eu · Law Society Gazette, 2025-12 · Tribunal de l'UE, X c. Commission, recours du 2026-02-16
Le 23 avril 2025, la Commission adopte les deux premières décisions de non-conformité au titre du Digital Markets Act : 500 millions d'euros pour Apple, dont les règles de l'App Store empêchaient les développeurs d'orienter les utilisateurs vers des offres moins chères hors de la boutique, et 200 millions d'euros pour Meta, qui n'offrait qu'un choix binaire entre consentir à la publicité personnalisée et payer. Les deux avaient 60 jours pour se mettre en conformité, sous peine d'astreintes.
En septembre 2025, la Commission inflige 2,95 milliards d'euros à Google au titre de l'article 102 TFUE pour avoir favorisé sa propre plateforme d'échange publicitaire, AdX, depuis au moins 2014, et lui ordonne de proposer comment mettre fin aux conflits d'intérêts. Le 5 décembre 2025, elle adopte sa première décision de non-conformité au DSA, 120 millions d'euros contre X, pour la coche bleue payante trompeuse, le registre des publicités et l'absence d'accès aux données pour les chercheurs ; X a formé un recours devant le Tribunal de l'UE le 16 février 2026.
Pour des ingénieurs, ces décisions sont des spécifications : liens d'orientation, écrans de consentement, registre publicitaire et API pour chercheurs sont des fonctionnalités qu'un régulateur a inscrites dans un délai.
Entreprises européennes
Les règles ne sont pas un droit de douane sur les plateformes étrangères.
Une lecture courante veut que le droit européen des données ne vise que les plateformes américaines. La slide suivante liste quatre entreprises européennes sanctionnées au titre du RGPD, pour des défaillances opérationnelles ordinaires.
Les entreprises européennes aussi
Entreprise Amende Autorité, année Ce qui a failli Vodafone (DE)45 M€ BfDI, 2025 Contrôle des agences partenaires de vente ; authentification faible autour de l'eSIM Criteo (FR)40 M€ CNIL, 2023 Preuve du consentement au pistage publicitaire recueilli par ses partenaires H&M (SE)35,3 M€ Autorité de Hambourg, 2020 Fichiers détaillés sur la vie privée de salariés à Nuremberg Spotify (SE)58 M SEK IMY, 2023 Réponses incomplètes aux demandes d'accès des utilisateurs
Prestataires, consentement, fichiers RH, demandes d'accès : les parties ennuyeuses .
bfdi.bund.de, 2025-06 · cnil.fr, 2023-06 · Autorité de Hambourg, 2020-10 · imy.se, 2023-06
Quatre entreprises européennes. En juin 2025, le commissaire fédéral allemand, le BfDI, inflige deux amendes d'un total de 45 millions d'euros à Vodafone GmbH : l'une pour défaut de contrôle des agences partenaires qui vendaient des contrats en son nom, où des employés ont commis des fraudes, l'autre pour des faiblesses d'authentification qui permettaient à des tiers d'obtenir les profils eSIM de clients. En juin 2023, la CNIL inflige 40 millions d'euros à Criteo, l'entreprise française de publicité en ligne, principalement pour ne pas avoir pu démontrer le consentement des personnes dont elle traitait les données. En octobre 2020, l'autorité de Hambourg inflige 35,3 millions d'euros à H&M pour avoir tenu des fichiers détaillés sur la vie privée de salariés de son centre de services de Nuremberg. En juin 2023, l'autorité suédoise IMY inflige 58 millions de couronnes suédoises à Spotify pour des réponses incomplètes aux demandes d'accès.
Aucun de ces cas ne porte sur l'intelligence artificielle ou une technologie nouvelle. Ils portent sur la gestion des prestataires, les preuves de consentement, les données RH et le droit d'accès : les systèmes qu'une équipe plateforme fait déjà tourner. Le Data Act ajoute un nouveau droit d'accès aux données des produits, et les mêmes défaillances y apparaîtront.
Entreprises chinoises
TikTok en Irlande, Didi chez lui.
Deux cas. L'un est un régulateur européen qui agit sur un accès depuis la Chine. L'autre est le régulateur chinois qui agit sur une entreprise chinoise : un autre modèle de gouvernance des données, celui que le groupe 4 a comparé sur sa slide 40.
TikTok : l'accès à distance depuis la Chine est un transfert
La décision 530 M€
Des données d'utilisateurs de l'EEE étaient consultées à distance par du personnel en Chine. TikTok n'a pas démontré une protection équivalente, ni évalué l'accès des autorités chinoises au titre du droit chinois.
Injonction : se mettre en conformité sous six mois, ou suspendre les transferts vers la Chine.
Ce que cela dit à une équipe 3 points
Le stockage en Europe n'a pas suffi : l'accès à distance a compté L'évaluation du droit étranger est un livrable L'injonction de suspension mord avant la fin de tout appel
L'emplacement n'est pas le contrôle : c'est le chemin d'accès qui est jugé.
dataprotection.ie, 2025-05-02 · Law Society Gazette, 2025-05
Le 2 mai 2025, la Data Protection Commission irlandaise inflige 530 millions d'euros à TikTok : environ 485 millions pour transferts illicites et 45 millions pour manque de transparence. Du personnel en Chine avait un accès à distance aux données personnelles des utilisateurs de l'Espace économique européen. TikTok n'avait pas vérifié que ces données bénéficiaient d'une protection essentiellement équivalente à celle de l'UE, ni traité l'accès possible des autorités chinoises au titre des lois chinoises antiterroriste, de contre-espionnage et autres. La DPC a ordonné à TikTok de se mettre en conformité sous six mois, faute de quoi les transferts seraient suspendus. C'était la première décision de transfert concernant la Chine, et la première sur l'accès à distance plutôt que sur le stockage. TikTok a fait appel.
C'est le raisonnement du cas 02 du cours, vu de l'autre côté : l'endroit où se trouvent les données compte moins que la question de savoir qui peut les atteindre, et l'opérateur doit documenter pourquoi le droit étranger ne pose pas problème. En avril 2025, TikTok a aussi indiqué à la DPC que certaines données de l'EEE avaient été stockées en Chine, contrairement à ce qu'elle avait dit pendant l'enquête ; ce point est traité à part.
Didi : le régulateur chinois, à 4,6 % du chiffre d'affaires
La décision 8,026 Md¥
Après un examen de cybersécurité ouvert quelques jours après l'introduction en bourse de Didi à New York en 2021, la CAC inflige 8,026 milliards de yuans au titre de la loi sur la cybersécurité, de la loi sur la sécurité des données et de la loi sur la protection des informations personnelles.
L'autre modèle piloté par l'État
Environ 4,6 % du CA 2021, près du plafond légal Applications retirées des boutiques pendant l'examen La sécurité des données traitée comme sécurité nationale
Le même vocabulaire qu'à Bruxelles, une autre finalité .
CAC, 2022-07-21 · The Standard (HK), 2022-07 · Bamboo Works, 2022-07
Le 21 juillet 2022, l'Administration du cyberespace de Chine inflige à Didi Global 8,026 milliards de yuans, environ 1,2 milliard de dollars, et sanctionne personnellement deux de ses dirigeants. L'examen avait commencé en juillet 2021, quelques jours après l'introduction en bourse de Didi à New York, et ses applications avaient été retirées des boutiques chinoises pendant l'examen. L'amende représentait environ 4,6 % du chiffre d'affaires 2021 de Didi, 173,8 milliards de yuans. La PIPL permet des amendes jusqu'à 5 % du chiffre d'affaires de l'année précédente dans les cas graves.
La comparaison est utile parce que les mots semblent familiers : informations personnelles, sécurité des données, transfert transfrontalier. La finalité diffère. Dans l'UE, le cadre est celui des droits fondamentaux et des marchés équitables ; en Chine, l'État traite la donnée comme un facteur de production et la sécurité des données comme une affaire de sécurité nationale. Le groupe 4 a fait la même distinction sur sa slide 40.
Et le Data Act ?
Applicable depuis le 12 septembre 2025. Aucune amende publiée à ce jour.
La question évidente après ces exemples : où sont les amendes Data Act ? La slide suivante répond honnêtement : nous n'en avons trouvé aucune, et la raison est structurelle.
Pas encore d'amende Data Act, et pourquoi
Autorités encore en cours de désignation Allemagne : la Bundesnetzagentur pilote, le BfDI pour les données personnelles ; loi adoptée par le Bundestag le 26 mars 2026. Luxembourg : projet de loi 8809, ILR en tête, en attente.
Premières plaintes transfrontalières Le Traficom finlandais a reçu une plainte contre un détenteur de données suédois refusant un accès gratuit, et l'a transmise à l'autorité suédoise.
À quoi s'attendre une déduction Des injonctions avant les amendes : accès accordé, conditions réécrites, frais de changement remboursés. Les amendes suivent les preuves.
Les premières affaires Data Act se gagneront ou se perdront sur les journaux .
DLA Piper, 2026-03-31 · Hannes Snellman, 2026 · chd.lu, projet de loi 8809
Nous n'avons trouvé aucune amende publiée au titre du Data Act au 20 octobre 2026. L'application est nationale et beaucoup d'autorités sont seulement en train d'être mises en place. En Allemagne, le Bundestag a adopté la loi d'application le 26 mars 2026 : la Bundesnetzagentur pilote, le BfDI gère les sanctions lorsque des données personnelles sont en jeu, et des astreintes jusqu'à 500 000 euros peuvent faire exécuter les injonctions. En Finlande, le Traficom a signalé une première plainte concernant un détenteur de données suédois qui refusait de fournir gratuitement des données à une entreprise finlandaise, et l'a transmise à l'autorité suédoise. Au Luxembourg, le projet de loi 8809 désigne l'ILR, avec la CNPD pour les données personnelles ; il est toujours en attente.
La colonne de droite est notre déduction, pas un fait : si le RGPD sert de guide, les premières affaires se termineront plus souvent par des injonctions que par des amendes, et l'issue dépendra de ce que l'entreprise peut montrer, demande par demande.
Ce que ces cas apprennent à une équipe plateforme
Les transferts coûtent le plus cher Meta, Uber, TikTok : 2 Md€ à eux trois, sur qui peut atteindre les données L'accès à distance est un transfert TikTok : données stockées en Europe, lues depuis la Chine Les injonctions mordent avant les amendes Six mois pour se conformer ou arrêter ; les amendes attendent les appels
La procédure décide de l'issue Amazon : constats confirmés, amende annulée pour la procédure Les systèmes ennuyeux sont sanctionnés Prestataires, preuves de consentement, demandes d'accès
Chacune correspond à une ligne de la checklist de production .
Cinq leçons. Les transferts et l'accès étranger ont produit les plus grosses amendes : 1,2 milliard pour Meta, 530 millions pour TikTok et 290 millions pour Uber, soit plus de deux milliards d'euros à eux trois. L'accès à distance est traité comme un transfert, donc un schéma d'architecture qui ne montre que le lieu de stockage passe à côté de la question. Les injonctions, comme la suspension des transferts sous six mois, prennent effet bien avant les amendes, qui attendent les appels. La procédure compte : dans l'affaire Amazon, les manquements ont été confirmés et l'amende annulée pour la procédure. Et la plupart des amendes concernent des systèmes ordinaires : contrôle des prestataires, preuves de consentement, demandes d'accès.
Retour au deck principal : chaque leçon correspond à une ligne de la checklist de production (slide 37) : inventaire, chemin d'accès, délégation, sortie, clés, preuve.