RGPD (GDPR)
L’Europe essaie de protéger vos données depuis 1995. Il a fallu attendre 2018 pour que la loi ait du mordant. Les amendes infligées dépassent désormais 7 milliards d’euros au total. La publicité comportementale reste le modèle économique dominant.
Comment lire cette page. Touchez un mot souligné pour voir le terme juridique précis et une courte définition. Dépliez un encadré « Pour aller plus loin » pour les preuves et les points contestés. Le texte principal se suffit à lui-même : vous pouvez ignorer les deux et suivre quand même l’ensemble de l’argument.
Un long chemin
La directive européenne de 1995 sur la protection des données a posé un socle de droits en matière de vie privée. Dans les années 2010, elle était dépassée : Facebook, Google et Amazon avaient bâti des entreprises valant plusieurs milliards de dollars sur la collecte de données comportementales, à une échelle que la directive n’avait jamais anticipée. Le RGPD a été formellement adopté en 2016 et il est devenu applicable le 25 mai 2018.
Ce qu’exige le RGPD
Des données personnelles ne peuvent être collectées que sur une base légale (lawful basis), par exemple un consentement véritable et éclairé. Chacun a le droit d’accéder à ses données, de les faire rectifier et de les faire effacer. Les violations de données doivent être signalées dans les 72 heures. Les amendes peuvent atteindre 4 % du chiffre d’affaires annuel mondial. Le règlement s’applique à toute organisation qui traite les données de personnes se trouvant dans l’UE, où que cette organisation soit établie.
Base légale / consentement (lawful basis / consent)
Selon le RGPD, une entreprise ne peut pas traiter vos données personnelles simplement parce qu’elle le souhaite : il lui faut l’une des six « bases légales », dont la plus discutée est votre consentement librement donné, éclairé et spécifique. « Librement donné », voilà le hic : un consentement enfoui dans une case précochée ou arraché par un bandeau manipulateur n’est pas un consentement valable en droit. C’est pourquoi les procédures portent si souvent sur la façon dont le choix a été conçu, et non sur le fait qu’une case a été cochée.
Sources
- GDPR Article 6 — lawfulness of processing.
- GDPR Recital 32 — conditions for consent.
- Comité européen de la protection des données (2023), Report of the work undertaken by the Cookie Banner Taskforce.
Les amendes
2019 : la France inflige à Google une amende de 50 millions d’euros. 2021 : le Luxembourg inflige à Amazon une amende de 746 millions d’euros, une décision annulée en appel en mars 2026 : la cour a confirmé les manquements, mais a renvoyé l’affaire devant l’autorité de contrôle. 2023 : l’Irlande inflige à Meta une amende de 1,2 milliard d’euros, la plus lourde amende RGPD jamais prononcée, pour avoir transféré illégalement des données d’utilisateurs européens vers les États-Unis. 2023 : l’Irlande inflige à TikTok une amende de 345 millions d’euros pour des infractions concernant les données d’enfants. 2024 : l’Irlande inflige à LinkedIn une amende de 310 millions d’euros. 2025 : TikTok écope d’une nouvelle amende de 530 millions d’euros. Les amendes infligées au titre du RGPD dépassent 7 milliards d’euros au total.
Ce qu’il a accompli, et ce qu’il n’a pas accompli
Le RGPD a établi que la protection des données est un droit, assorti de conséquences financières. Il a créé une norme mondiale : sa portée extraterritoriale a donné aux entreprises du monde entier une raison de modifier leurs pratiques. Ce qu’il n’a pas fait, c’est mettre fin au capitalisme de surveillance. Les bandeaux de consentement aux cookies, souvent conçus comme des interfaces trompeuses (dark patterns) pour pousser les utilisateurs à accepter, n’offrent qu’une conformité de pure forme. Le modèle de surveillance comportementale continue. Les amendes sont élevées en valeur absolue, mais faibles à côté des entreprises à qui elles sont infligées : l’amende record de 1,2 milliard d’euros infligée à Meta représentait environ 1 % du chiffre d’affaires du groupe l’année précédente, soit à peu près quatre jours de ce chiffre d’affaires, alors que le plafond légal est de 4 %. La plupart des amendes les plus lourdes sont encore en appel et n’ont pas été payées, et la question de savoir si des amendes de cette ampleur modifient les comportements fait débat : on dispose de peu de preuves, dans un sens comme dans l’autre, de leur effet dissuasif. Le RGPD est le cadre de protection de la vie privée le plus solide au monde, et une réponse insuffisante à l’ampleur du problème.
Interfaces trompeuses (dark patterns)
Des interfaces conçues pour vous orienter vers le choix que l’entreprise préfère, plutôt que vers celui que vous feriez librement : l’énorme bouton « Tout accepter » à côté d’un « Refuser » grisé, enfoui à trois clics de profondeur. Elles exploitent les réglages par défaut, la friction et la hiérarchie visuelle. Selon le RGPD, on peut soutenir qu’un consentement obtenu de cette façon n’est pas librement donné. Mais ces bandeaux restent presque partout, parce qu’ignorer la règle coûte peu au regard de la valeur des données.
Sources
- EDPB Guidelines 03/2022 on deceptive design patterns (2022 ; version 2.0, adoptée le 14 février 2023).
Comment nous le savons — pourquoi 7 milliards d’euros d’amendes infligées n’ont pas changé le modèle
Trois raisons structurelles. D’abord, l’échelle : une amende record de 1,2 milliard d’euros représente une vraie somme, mais elle équivalait à environ 1 % du chiffre d’affaires de Meta l’année précédente, et elle est encore en appel ; la mesure dans laquelle des amendes de cette ampleur dissuadent fait débat, et on dispose de peu de preuves dans un sens comme dans l’autre. Ensuite, le goulet d’étranglement de l’application : avec le « guichet unique » du RGPD, c’est l’autorité du pays où une entreprise a son siège européen qui est chef de file. La plupart des dossiers des Big Tech passent donc par la DPC irlandaise, que d’autres autorités critiquent pour la lenteur et l’étroitesse de ses procédures. Enfin, la conformité de façade : un bandeau de consentement peut être techniquement présent et pourtant conçu pour faire échouer le choix qu’il propose en apparence.
La lecture honnête. Le RGPD a réussi à faire de la protection des données un droit que l’on peut faire respecter, et une norme mondiale. Il n’a pas réussi à démanteler la surveillance comme modèle économique, parce que l’économie de ce modèle survit aux amendes. C’est un argument sur l’application et la conception, pas sur la question de savoir si la loi valait la peine d’être adoptée.
Sources
- GDPR Enforcement Tracker — un tableau tenu à jour des amendes infligées au titre du RGPD, cité pour leur total cumulé : 7,57 milliards d’euros lors de sa consultation le 17 octobre 2026.
- GDPR Article 6 — lawfulness of processing.
- GDPR Article 33 — notification of a personal data breach.
- GDPR Article 83 — general conditions for imposing administrative fines — « jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu » (art. 83, paragraphe 5).
- EDPB Guidelines 03/2022 on deceptive design patterns (2022 ; version 2.0, adoptée le 14 février 2023).
- European Data Protection Supervisor (EDPS) — independent supervisor of the EU institutions' own data processing (à distinguer de l’EDPB, le Comité européen de la protection des données, qui coordonne l’application du RGPD entre les autorités nationales).
- Regulation (EU) 2016/679 of the European Parliament and of the Council of 27 April 2016 … repealing Directive 95/46/EC (General Data Protection Regulation) — article 99, paragraphe 2 : il « est applicable à partir du 25 mai 2018 » ; article 94 et note 4 : la directive 95/46/CE « du 24 octobre 1995 », abrogée à compter de la même date.
- Conseil d'État, Décision n° 430810 du 19 juin 2020, Google LLC — confirme l’amende de 50 millions d’euros infligée à Google par la CNIL (délibération SAN-2019-001 du 21 janvier 2019).
- Comité européen de la protection des données (EDPB) (28 juillet 2021), Binding decision 1/2021 on the dispute arisen on the draft decision of the Irish Supervisory Authority regarding WhatsApp Ireland under Article 65(1)(a) GDPR — les objections d’autres autorités à « la portée limitée de l’enquête » ; le Comité « enjoint à l’autorité de contrôle irlandaise de fixer un montant d’amende plus élevé ».
- Commissaire fédéral à la protection des données et à la liberté d’information (Allemagne), Ulrich Kelber (16 mars 2021), lettre à la commission LIBE du Parlement européen sur la DPC irlandaise (en allemand ; copie publiée par noyb) — plus de 50 plaintes concernant WhatsApp transmises à la DPC depuis 2018, « von denen bis heute keine einzige abgeschlossen ist » (dont aucune n’a été close à ce jour).
- Zuboff, S. (2019), The Age of Surveillance Capitalism, PublicAffairs.
- Data Protection Commission, final decision IN-20-8-1 on Meta Platforms Ireland (data transfers) (12 mai 2023) — l’amende de 1,2 milliard d’euros, calculée sur la base du chiffre d’affaires de Meta en 2022, soit 116,61 milliards de dollars (§9.124) ; la part (environ 1 %) et le nombre de jours (environ quatre) sont calculés au taux de référence de la BCE à la date de la décision.
- Data Protection Commission — fines (mis à jour le 21 septembre 2026) : plus de 4,4 milliards d’euros d’amendes infligées, environ 20 millions d’euros recouvrés ; une amende en appel ne peut pas être recouvrée.
- Lintvedt, M. N. (2022), Putting a price on data protection infringement, International Data Privacy Law 12(1), 1–15 — « on dispose de peu de preuves de l’effet de la seule imposition d’amendes ».
- Cour administrative (Luxembourg), arrêt n° 52757C du rôle (12 mars 2026), Arrêt de la Cour administrative en relation avec un des grands acteurs mondiaux au niveau du commerce en ligne (Justice Luxembourg, 13 mars 2026) — la décision de la CNPD du 15 juillet 2021 infligeant à Amazon une amende de 746 millions d’euros, annulée dans son intégralité ; les manquements, pour l’essentiel confirmés ; l’affaire, renvoyée devant la CNPD pour qu’elle apprécie la faute et choisisse la mesure.