En 2025, les autorités européennes ont distribué plus de 330 amendes pour non-conformité au RGPD. Le montant total avoisine 1,15 milliard d'euros, selon une étude de Surfshark. Pourtant, une fois rapporté au nombre d'utilisateurs concernés, le calcul change radicalement. L'amende TikTok de 530 millions d'euros, la plus lourde de l'année, représente à peine 2,64 euros par utilisateur affecté.
Face à des entreprises qui génèrent des milliards grâce aux données personnelles de centaines de millions d'individus, les sanctions actuelles sont-elles vraiment dissuasives ?
Offre partenaire
Protection avancée des e-mails, des calendriers, des mots de passe, du réseau… de votre entreprise grâce à la suite d'applications professionnelles sécurisées.
Offre partenaire
TikTok, Google, SHEIN épinglés
Les amendes concernent principalement le traitement des données. Cela représente 1,03 milliard d'euros de sanctions. Les secteurs des médias, des télécommunications et de la diffusion concentrent plus de 80% du montant total des pénalités. TikTok a écopé de 530 millions d'euros pour transfert illégal de données vers la Chine. Google a reçu deux amendes de 200 millions et 125 millions d'euros. SHEIN a été sanctionné à hauteur de 150 millions.
Rappelons que le RGPD impose aux entreprises de justifier le traitement des données personnelles par une base légale claire : consentement, exécution d'un contrat, obligation légale, intérêt légitime, etc. Lorsque cette base n'existe pas ou s'avère insuffisante, les sanctions commencent à tomber. Dans un communiqué, Tomas Stamulis, responsable de la sécurité chez Surfshark, rappelle qu'un coût de quelques euros par utilisateur pour une infraction massive montre à quel point les données personnelles sont devenues une marchandise à faible valeur.
Il y a aussi eu des sanctions pour manquement technique. C'est d'ailleurs l'infraction la plus fréquente. Le nombre d'amende liées à ce motif est passé de 69 en 2024 à 97 en 2025, soit 29% de l'ensemble des amendes RGPD.
Ces pénalités font généralement suite à des cyberattaques avec des fuites de données ou des divulgations non autorisées. Or, comme on le sait, l'IA permet désormais d'automatiser des attaques particulièrement sophistiquées.
Le secteur de l'industrie et du commerce a reçu 31 sanctions, devant la finance, l'assurance et le conseil (21) puis la santé (14). Surfshark a recensé 3,2 milliards de violations de données dans le monde depuis 2004.
