Amendes RGPD : des cas réels en Allemagne et ce que les entreprises doivent en retenir

Une amende RGPD peut vous frapper, selon l'art. 83 RGPD, dans deux fourchettes : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial en cas de sécurité des données défaillante, jusqu'à 20 millions d'euros ou 4 % en cas de violation de principes fondamentaux comme la licéité ou les catégories particulières de données. Dans chaque cas, c'est la valeur la plus élevée qui s'applique.

Par la rédaction de Provimedia · État : juillet 2026 · Cet article est une information générale et non un conseil juridique.

Le record : 45 millions d'euros contre Vodafone en 2025. Quatre cas réels montrent quelles failles de processus ont coûté des millions à des entreprises, et pourquoi des tribunaux ont réduit après coup deux de ces amendes de plus de 90 %.

Quel peut être le montant des amendes RGPD ?

L'art. 83, par. 4, RGPD couvre les manquements aux obligations des responsables du traitement et des sous-traitants, par exemple des mesures insuffisantes au titre de l'art. 32 ou l'absence de contrats de sous-traitance au titre de l'art. 28 : jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial. L'art. 83, par. 5, RGPD concerne les violations plus graves des principes du traitement (art. 5, 6, 9), des droits des personnes concernées ou des transferts internationaux de données : jusqu'à 20 millions d'euros ou 4 %. Pour les groupes réalisant plusieurs milliards d'euros de chiffre d'affaires annuel, c'est pratiquement toujours le pourcentage du chiffre d'affaires qui est déterminant, et non le plafond fixe.

Quels cas réels y a-t-il eu en Allemagne ?

Les quatre cas suivants sont attestés par des communiqués de presse des autorités de contrôle compétentes ou par des décisions de justice.

H&M : données privées de salariés au centre de services

Au centre de services de Nuremberg, des cadres consignaient depuis 2014, lors d'entretiens « Welcome Back Talks » après un congé ou une maladie, des notes sur les problèmes familiaux, les symptômes de maladie et les convictions religieuses des salariés, et les enregistraient sur un lecteur réseau. En octobre 2019, une erreur de configuration a rendu ces données consultables dans toute l'entreprise. Le HmbBfDI (autorité de protection des données de Hambourg) a prononcé le 1er octobre 2020 une amende de 35 258 707,95 euros, devenue définitive, car H&M n'a pas formé de recours.

Leçon pour votre entreprise : sans consignes claires sur les contenus d'entretien qui peuvent être documentés, et sans formation des cadres aux entretiens de personnel licites, on voit naître un fourre-tout de données sensibles pour lequel il n'existe tout simplement aucune base juridique.

Deutsche Wohnen : un système d'archivage sans fonction de suppression

Lors de contrôles en 2017 et 2019, le BlnBDI (autorité de protection des données de Berlin) a constaté que Deutsche Wohnen utilisait un système d'archivage dont il était techniquement impossible de retirer les données de locataires devenues inutiles. Le 5 novembre 2019, l'autorité a prononcé une amende d'environ 14,5 millions d'euros. Deutsche Wohnen a formé un recours ; la CJUE a jugé le 5 décembre 2023 (C-807/21) que des entreprises peuvent aussi être directement tenues responsables sans imputation à une personne dirigeante, mais exigé pour cela un comportement intentionnel ou négligent. Le tribunal régional (Landgericht) de Berlin a alors réduit l'amende à 900 000 euros le 9 juin 2026, notamment parce que l'entreprise avait coopéré et travaillé à une solution technique. Le jugement n'est pas définitif.

Leçon pour votre entreprise : elle tient moins à la formation qu'au processus : des routines de suppression documentées et des durées de conservation pour les données personnelles ne sont pas un nice-to-have, mais une obligation centrale au titre de l'art. 5, par. 1, point e), RGPD.

1&1 Telecom : authentification faible à la hotline

Le déclencheur fut, en 2018, un cas dans lequel une appelante avait pu obtenir par la hotline de 1&1, avec pour seuls éléments un nom et une date de naissance, le nouveau numéro de téléphone de son ex-partenaire. La BfDI (autorité fédérale de protection des données) a prononcé en décembre 2019 une amende de 9,55 millions d'euros pour des mesures techniques et organisationnelles insuffisantes dans la procédure d'authentification de la hotline clients (art. 32 RGPD). Le tribunal régional (Landgericht) de Bonn a confirmé la violation sur le principe le 11 novembre 2020, mais n'a pas constaté de divulgation massive de données et a réduit l'amende à 900 000 euros. Il a motivé cette réduction par le fait qu'il n'acceptait pas la méthode de calcul de l'autorité, fondée sur le chiffre d'affaires du groupe. Le jugement est définitif.

Leçon pour votre entreprise : une équipe de hotline formée, qui connaît des étapes de vérification supplémentaires pour les demandes sensibles, aurait pratiquement comblé la faille de sécurité.

Vodafone : partenaires de vente et accès eSIM

La BfDI a prononcé en juin 2025 deux amendes contre Vodafone GmbH pour un total de 45 millions d'euros, le montant le plus élevé jamais infligé par l'autorité. 15 millions d'euros concernaient des partenaires de vente insuffisamment contrôlés, par l'intermédiaire desquels des contrats frauduleux ont été conclus au détriment de clients. 30 millions d'euros visaient des failles de sécurité dans l'interaction entre le portail en ligne « MeinVodafone » et la hotline, par lesquelles des attaquants ont pu accéder à des profils eSIM.

Leçon pour votre entreprise : les deux violations concernent des processus de contrôle et de sécurité : des audits réguliers des prestataires au titre de l'art. 28 RGPD et des procédures d'authentification à plusieurs niveaux auraient été les réponses techniques évidentes.

Comment les autorités déterminent-elles le montant ?

Deux de ces critères dépendent directement de vous : la coopération avec l'autorité et les mesures documentées. L'art. 83, par. 2, RGPD énumère les critères sur lesquels les autorités de contrôle doivent s'appuyer pour fixer le montant :

• La nature, la gravité et la durée de la violation
• Le caractère intentionnel ou négligent
• Les mesures prises pour atténuer le dommage
• Le degré de responsabilité, compte tenu des mesures techniques et organisationnelles mises en œuvre
• Les violations antérieures pertinentes
• Le degré de coopération avec l'autorité
• Les catégories de données concernées
• La manière dont la violation a été portée à la connaissance de l'autorité

Ce sont précisément ces critères qui expliquent pourquoi les tribunaux ont réduit après coup les amendes de 1&1 et de Deutsche Wohnen : ils ont apprécié la coopération, les mesures prises et la gravité réelle autrement que l'autorité dans sa décision.

Qu'est-ce qui protège réellement les entreprises ?

Des mesures techniques et organisationnelles documentées, des concepts de suppression et des formations des salariés font partie de l'obligation de rendre des comptes au titre de l'art. 5, par. 2, et de l'art. 24 RGPD ; vous en saurez plus dans l'article sur l'obligation de rendre des comptes selon le RGPD. Elles entrent expressément comme critère atténuant dans la détermination de l'amende, conformément à l'art. 83, par. 2, point d), RGPD. À bien y regarder, une formation est donc une brique de la gestion des risques, non un blanc-seing : aucun des quatre cas n'aurait été évité par une formation à elle seule.

Mais tous les quatre montrent que des processus absents ou non appliqués au quotidien (routines de suppression, contrôles d'accès, standards d'authentification, guides d'entretien clairs) ont été le véritable déclencheur. Celui qui peut prouver que ses salariés connaissent les principes fondamentaux du RGPD et que les processus sont régulièrement vérifiés se trouve en général mieux placé, lors de la détermination d'une amende, qu'une entreprise sans aucune documentation.

Questions fréquentes (FAQ)

Qui prononce les amendes RGPD en Allemagne ?

Les compétentes sont les autorités de contrôle de la protection des données des Länder au siège de l'entreprise, par exemple le HmbBfDI à Hambourg ou le BlnBDI à Berlin. Pour les prestataires de télécommunications et de services postaux ainsi que pour les autorités fédérales, la compétence revient à la Commissaire fédérale à la protection des données et à la liberté d'information (BfDI).

Les tribunaux peuvent-ils réduire les amendes RGPD ?

Oui. Les entreprises peuvent contester les décisions d'amende devant les juridictions ordinaires. Dans deux des cas présentés ici, la somme initialement prononcée a été réduite après coup de plus de 90 %.

Le plafond de 10 / 20 millions s'applique-t-il aussi aux petites entreprises ?

Les montants maximaux prévus à l'art. 83, par. 4 et 5, RGPD s'appliquent indépendamment de la taille de l'entreprise. Pour les petites entreprises, c'est en général le plafond fixe qui est la limite pertinente en pratique, alors que pour les grands groupes à fort chiffre d'affaires annuel, c'est presque toujours le pourcentage du chiffre d'affaires.

Que risque réellement une petite entreprise ?

Les cas présentés ici concernent sans exception des groupes à fort chiffre d'affaires annuel. Selon l'art. 83, par. 1, RGPD, les amendes doivent être effectives, proportionnées et dissuasives : pour un faible chiffre d'affaires, une amende proportionnée est donc nettement plus basse que pour un groupe de plusieurs milliards. Il est impossible de déduire de ces quatre cas un montant moyen sérieux pour les PME, car toutes les décisions visent de grandes entreprises.

Pour les entreprises qui veulent ancrer les principes fondamentaux du RGPD non seulement sur le papier, mais dans le quotidien du travail, la formation aux fondamentaux du RGPD de Provimedia offre une entrée en matière pratique, avec une attestation de participation comme preuve de la mesure de formation réalisée.

Sources

• HmbBfDI, communiqué de presse « 35,3 Mio. Euro Bußgeld gegen H&M », 1er octobre 2020 : datenschutz-hamburg.de
• BlnBDI, communiqué de presse sur l'amende contre Deutsche Wohnen, 5 novembre 2019 : datenschutz-berlin.de
• CJUE, arrêt du 5.12.2023, aff. C-807/21 (Deutsche Wohnen), analysé dans le communiqué de presse du BlnBDI : datenschutz-berlin.de
• Landgericht Berlin I, jugement du 9.6.2026, réf. 526 OWiG LG 1/20, rapporté par Legal Tribune Online : lto.de
• BfDI, communiqué de presse « BfDI verhängt Geldbuße gegen 1&1 », 9 décembre 2019 : bfdi.bund.de
• BfDI, communiqué de presse sur le jugement du Landgericht de Bonn dans la procédure contre 1&1, 2020 : bfdi.bund.de
• BfDI, communiqué de presse « BfDI verhängt Geldbußen gegen Vodafone », juin 2025 : bfdi.bund.de