Application du RGPD et amendes en 2026 : catégories d'entreprises, principaux dossiers et pays

L'application du RGPD n'est plus un risque théorique qui vit dans une présentation de conformité. Sur la base des données d'application publiquement divulguées, les régulateurs à travers l'UE et le Royaume-Uni ont infligé plus de 2 500 amendes totalisant plus de 7 milliards d'euros depuis 2018, dont environ 1,2 milliard d'euros rien qu'en 2025 — et la courbe continue de grimper. L'amende moyenne se situe autour de 2,4 millions d'euros, un chiffre qui est tiré vers le bas, et non vers le haut, par la longue traîne des petites sanctions administratives.

Si vous travaillez de près ou de loin dans la publicité numérique, le chiffre le plus important est celui-ci : le secteur le plus durement touché, tant en volume qu'en valeur, est presque certainement celui dans lequel se trouve votre entreprise.

Cet article détaille deux façons utiles de catégoriser les amendes RGPD, examine comment l'ad tech s'y positionne, passe en revue les principaux dossiers d'ad tech, et se termine par les schémas autour desquels chaque marketeur, éditeur et responsable des opérations publicitaires devrait organiser sa stratégie. C'est une lecture longue, mais le tableau ne prend tout son sens que si on l'observe dans son ensemble.

---

Statistiques clés sur les amendes RGPD (2026)

• Total des amendes RGPD infligées depuis 2018 : 7,1 milliards d'euros répartis sur plus de 2 500 amendes.
• Amendes RGPD infligées en 2025 : environ 1,2 milliard d'euros.
• Plus grande amende RGPD jamais infligée : 1,2 milliard d'euros contre Meta Platforms Ireland (DPC irlandaise, mai 2023) pour des transferts de données illégaux entre l'UE et les États-Unis.
• Deuxième plus grande amende RGPD jamais infligée : 746 millions d'euros contre Amazon Europe Core (CNPD luxembourgeoise, juillet 2021) pour ciblage publicitaire sans consentement valide. Remarque : cette amende a été annulée pour des motifs procéduraux par le tribunal administratif luxembourgeois en mars 2026, bien que les violations sous-jacentes aient été confirmées.
• Plus grande amende RGPD de 2025 : 530 millions d'euros contre TikTok (DPC irlandaise, mai 2025) pour des transferts de données illégaux entre l'UE et la Chine.
• Amende RGPD moyenne : environ 2,4 millions d'euros.
• Amende RGPD maximale : 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial, selon le montant le plus élevé.
• Pays avec le plus d'amendes RGPD par nombre : l'Espagne, avec près de 1 000 amendes depuis 2018.
• Pays avec le plus d'amendes RGPD par valeur totale : l'Irlande, avec 4,04 milliards d'euros d'amendes cumulées (environ 57 % de la valeur totale des amendes RGPD).
• Secteur le plus sanctionné : Médias, Télécoms et Diffusion, représentant environ 70 % de la valeur totale des amendes infligées aux entreprises.
• Violation RGPD la plus courante : base juridique insuffisante pour le traitement des données — généralement le fait de ne pas obtenir de consentement valide pour la publicité comportementale.
• Notifications quotidiennes de violations de données personnelles en Europe : 443 (une augmentation de 22 % d'une année sur l'autre).

---

Comment catégoriser les amendes RGPD : secteurs et violations

Il existe deux façons utiles de trier les amendes RGPD, et toutes deux méritent d'être gardées à l'esprit lorsque vous essayez de lire le paysage de l'application de la loi :

1. Le secteur d'activité dans lequel opère l'organisation sanctionnée (10 catégories).
2. Le type de violation RGPD que l'amende sanctionne (9 catégories).

La plupart des analyses n'examinent qu'un seul axe à la fois. L'histoire intéressante se situe à l'intersection — et l'ad tech se trouve à l'une des intersections les plus chaudes de la carte.

Les 10 catégories d'amendes RGPD par secteur d'activité

• Médias, Télécoms et Diffusion
• Industrie et Commerce
• Finance, Assurance et Conseil
• Soins de santé
• Secteur public et Éducation
• Emploi
• Transport et Énergie
• Hébergement et Hôtellerie
• Immobilier
• Particuliers et Associations privées

Les 9 catégories de violations RGPD

• Base juridique insuffisante pour le traitement des données
• Non-conformité avec les principes généraux de traitement des données
• Mesures techniques et organisationnelles insuffisantes pour assurer la sécurité de l'information
• Respect insuffisant des obligations d'information
• Respect insuffisant des droits des personnes concernées
• Coopération insuffisante avec l'autorité de contrôle
• Accord de traitement des données insuffisant
• Respect insuffisant des obligations de notification des violations de données
• Implication insuffisante du DPO

Deux observations simples issues des dernières données d'application :

• Médias, Télécoms et Diffusion est le secteur le plus sanctionné depuis des années et représente désormais environ 70 % de la valeur totale des amendes infligées aux entreprises.
• Base juridique insuffisante pour le traitement des données est le type de violation le plus fréquent, tous secteurs confondus.

L'ad tech se situe précisément dans le premier et constitue l'exemple emblématique du second. Ce n'est pas une coïncidence.

---

Principales amendes RGPD par pays : qui inflige les plus grosses sanctions

Amendes RGPD par pays

La géographie de l'application du RGPD est inégale — et pas de la manière à laquelle la plupart des gens s'attendent. Le pays qui inflige le plus d'amendes n'est que rarement celui qui inflige les plus importantes.

Irlande — 4,04 milliards d'euros cumulés. De loin le plus grand régulateur en valeur totale d'amendes, représentant plus de la moitié de toutes les amendes RGPD jamais infligées en Europe. Huit des dix plus grandes amendes RGPD de l'histoire ont été imposées par la Commission irlandaise de protection des données. Le rôle disproportionné de l'Irlande est structurel : Meta, Google, TikTok, LinkedIn, Apple et Microsoft ont tous leur siège européen à Dublin, ce qui fait de la DPC leur autorité de contrôle chef de file au titre du mécanisme de guichet unique du RGPD.

France — plus d'1 milliard d'euros cumulés. La France a dépassé le Luxembourg en 2025 pour devenir le deuxième plus grand régulateur, le seul pays autre que l'Irlande à avoir infligé plus d'1 milliard d'euros d'amendes RGPD. La CNIL a été le régulateur le plus agressif sur les questions de consentement aux cookies et spécifiques à l'ad tech, avec la décision de 325 millions d'euros contre Google et celle de 150 millions d'euros contre Shein, toutes deux tombées en septembre 2025.

Luxembourg — historiquement troisième, dominé par une seule amende. La CNPD luxembourgeoise s'est classée troisième en grande partie grâce à une seule décision : l'amende de 746 millions d'euros contre Amazon Europe Core en 2021 pour traitement de données personnelles à des fins publicitaires sans consentement adéquat. Cette amende a été annulée pour des motifs procéduraux par le tribunal administratif luxembourgeois en mars 2026, bien que les violations sous-jacentes aient été confirmées et que l'affaire ait été renvoyée à la CNPD. En dehors de cette amende, l'activité d'application du Luxembourg est modeste.

Italie — volume et valeur élevés. Le Garante italien est l'un des régulateurs les plus actifs d'Europe, avec des centaines de décisions et un accent particulier sur les télécoms, les services d'IA, et le traitement de données lié à l'emploi. Les activités récentes incluent les premières amendes RGPD européennes liées à l'IA.

Pays-Bas — portés par la décision Uber. L'autorité néerlandaise de protection des données a infligé une amende de 290 millions d'euros à Uber en août 2024 pour transfert de données de chauffeurs vers les États-Unis sans garanties adéquates. En dehors de cette amende, l'application néerlandaise reste stable et de taille moyenne.

Espagne — le plus d'amendes en nombre, mais plus petites par amende. L'AEPD espagnole a infligé près de 1 000 amendes RGPD depuis 2018 — de loin le volume le plus élevé de tous les régulateurs européens — mais la sanction moyenne est faible. Le schéma espagnol se caractérise par une application distribuée et à haute fréquence contre des organisations de toutes tailles, souvent pour des violations impliquant le traitement de données grand public.

Allemagne — répartie entre 16 DPA au niveau des Länder plus le BfDI fédéral. La structure fédérale de l'Allemagne produit des centaines d'amendes, mais celles au profil le plus élevé proviennent de Länder spécifiques (l'amende de 35,3 millions d'euros contre H&M à Hambourg, l'action de Berlin contre Deutsche Wohnen). Les montants moyens se situent dans les six chiffres moyens.

Royaume-Uni — application du RGPD britannique sous l'ICO. Les amendes cumulées au titre du RGPD britannique restent dans les dizaines de millions, la plus importante étant l'amende de 20 millions de livres sterling contre British Airways pour violation de données. Le Data (Use and Access) Act 2025 a désormais relevé l'amende maximale PECR de 500 000 livres sterling à 17,5 millions de livres sterling ou 4 % du chiffre d'affaires mondial — alignant l'application britannique du consentement aux cookies sur le reste de l'Europe en matière de sanctions.

Le principal enseignement : deux pays — l'Irlande et la France — représentent environ 70 % de la valeur totale des amendes RGPD, tandis que l'Espagne et l'Italie représentent l'essentiel des amendes en nombre. Si vous opérez en Europe, votre exposition réelle dépend de l'endroit où se situe votre traitement de données sur cette carte.

---

Top 10 des plus grandes amendes RGPD de tous les temps

Top 10 des plus grandes amendes RGPD de tous les temps

Les dix plus grandes amendes RGPD infligées depuis l'entrée en vigueur du règlement en mai 2018, par ordre décroissant :

Rang	Entreprise	Montant	Régulateur	Date	Motif
1	Meta Platforms Ireland	1,2 milliard d'euros	DPC irlandaise	Mai 2023	Transferts de données illégaux UE-États-Unis
2	Amazon Europe Core	746 millions d'euros	CNPD luxembourgeoise	Juillet 2021	Ciblage publicitaire sans consentement valide
3	TikTok	530 millions d'euros	DPC irlandaise	Mai 2025	Transferts de données illégaux UE-Chine
4	Meta (Instagram)	405 millions d'euros	DPC irlandaise	Septembre 2022	Traitement inapproprié des données d'enfants
5	Meta (Facebook + Instagram)	390 millions d'euros	DPC irlandaise	Janvier 2023	Base juridique invalide pour la publicité comportementale
6	TikTok	345 millions d'euros	DPC irlandaise	Septembre 2023	Manquements dans le traitement des données d'enfants
7	Google (LLC + Ireland)	325 millions d'euros	CNIL française	Septembre 2025	Publicités dans la boîte Gmail + consentement d'inscription invalide
8	LinkedIn Ireland	310 millions d'euros	DPC irlandaise	Octobre 2024	Base juridique invalide pour la publicité comportementale
9	Uber	290 millions d'euros	AP néerlandaise	Août 2024	Transferts de données illégaux UE-États-Unis
10	Meta (Facebook)	265 millions d'euros	DPC irlandaise	Novembre 2022	Protection inadéquate contre le scraping de données

Huit des dix plus grandes amendes RGPD ont été infligées par la Commission irlandaise de protection des données, reflétant le rôle de Dublin comme siège européen de la plupart des grandes entreprises technologiques. Six des dix plus grandes amendes concernent soit des transferts internationaux de données, soit des bases juridiques invalides pour la publicité — les deux thématiques d'application qui ont défini l'ère du RGPD.

---

Pourquoi l'ad tech domine le secteur Médias, Télécoms et Diffusion

« Médias, Télécoms et Diffusion » est une catégorie sectorielle large qui couvre beaucoup de terrain : opérateurs télécoms, FAI, groupes médias traditionnels, plateformes de streaming, réseaux sociaux, réseaux publicitaires, DSP, SSP, DMP, fournisseurs d'attribution, et infrastructure liée au consentement.

Ce qui unit le secteur — et ce qui en fait un aimant pour les régulateurs — c'est l'ampleur du traitement des données personnelles dans la couche grand public. Les entreprises B2C sont plus susceptibles de faire l'objet d'enquêtes que les entreprises B2B, simplement parce que les personnes concernées ont la proximité, la conscience, et la motivation pour déposer des plaintes. Ajoutez à cela la pression constante pour innover (enchères en temps réel, audiences similaires, mesures d'attention, ciblage piloté par l'IA) et vous obtenez un secteur où chaque lancement de produit est aussi un test réglementaire potentiel.

Au sein de ce secteur, l'ad tech est particulièrement exposée pour trois raisons structurelles :

1. La donnée est le produit. Le profilage, les identifiants, les signaux comportementaux, et le suivi inter-sites ne sont pas des effets secondaires du modèle économique — ils sont le modèle économique. Cela place chaque activité de traitement sous les projecteurs réglementaires par défaut.
2. La chaîne d'approvisionnement est opaque. Les enchères programmatiques impliquent des dizaines de parties par impression. Chacune est un responsable ou co-responsable du traitement potentiel, chacune doit justifier sa propre base juridique auprès des personnes concernées, et tout maillon faible de la chaîne devient une responsabilité pour l'ensemble de la chaîne en amont.
3. Le consentement est la seule base juridique réaliste pour la majeure partie de cela. La publicité ciblée est rarement qualifiée de « nécessaire à l'exécution d'un contrat ». L'intérêt légitime est de plus en plus difficile à défendre après le raisonnement de la Cour de justice de l'Union européenne dans des affaires comme Meta contre Bundeskartellamt. Cela ne laisse que le consentement — et le consentement doit être librement donné, spécifique, éclairé, univoque, et démontrablement recueilli.

Lorsque l'un de ces éléments fait défaut, on se retrouve dans les archives de l'application de la loi.

---

Les plus grandes amendes RGPD dans l'ad tech : la liste complète

Voici les affaires les plus souvent citées lorsque les professionnels de l'ad tech parlent de l'application du RGPD. Elles se répartissent en deux groupes : les entreprises d'ad tech pur-jeu, et les Big Tech sanctionnées spécifiquement pour des pratiques liées à l'ad tech.

Entreprises d'ad tech sanctionnées au titre du RGPD

Criteo — 40 millions d'euros (CNIL, France, 2023). Le régulateur français a constaté que Criteo suivait les données de navigation via des cookies définis sur des sites partenaires sans vérifier que ces partenaires avaient réellement obtenu un consentement valide. Les tests de la CNIL ont montré que plus de la moitié des sites partenaires échantillonnés n'avaient pas recueilli de consentement licite. L'amende n'est pas tombée parce que le propre bandeau de consentement de Criteo était défaillant, mais parce que Criteo traitait le consentement en amont comme le problème de quelqu'un d'autre.

Vectaury et Teemo (CNIL, 2018-2019). Deux premières mises en demeure de la CNIL française contre des entreprises d'ad tech de géolocalisation mobile. Toutes deux ont été blâmées pour avoir collecté des données de localisation précises via des SDK intégrés dans des applications tierces sans consentement au niveau du RGPD. Aucune amende financière n'a été imposée — les deux entreprises se sont mises en conformité après avoir reçu les mises en demeure — mais ces affaires ont établi le modèle que la CNIL utilise depuis : les fournisseurs de SDK et les partenaires partagent la responsabilité avec les éditeurs qui les intègrent.

Quantcast (DPC irlandaise, en cours). Faisant l'objet d'une enquête à la suite d'une plainte de Privacy International concernant les pop-ups de consentement de type IAB ; l'affaire a été un signal à combustion lente montrant que l'infrastructure de gestion du consentement elle-même peut être une cible.

Optimove (Mobius Solutions Ltd) — 1 million d'euros (CNIL, décembre 2025). Un processeur de technologie marketing enregistré au Royaume-Uni, opérant sous le nom commercial Optimove, sanctionné pour avoir conservé les données personnelles de 46,9 millions d'utilisateurs de Deezer après la fin de son contrat, avoir traité des données en dehors des instructions du responsable de traitement, et avoir omis de tenir des registres des activités de traitement. Une amende modeste, mais notable : elle a confirmé que les sous-traitants gérant des données d'utilisateurs européens relèvent pleinement des obligations du RGPD, et que « nous n'étions que le sous-traitant » n'est pas une défense.

Amendes RGPD des Big Tech pour violations publicitaires

Google LLC — 50 millions d'euros (CNIL, 2019). La première amende RGPD majeure. La CNIL a jugé que Google n'avait pas donné aux utilisateurs des informations suffisamment claires et transparentes sur la personnalisation des publicités, et que le consentement pour les publicités personnalisées n'avait pas été valablement obtenu. Les informations étaient enfouies sur plusieurs pages et nécessitaient jusqu'à cinq ou six clics pour être révélées.

Google + Amazon — 100 millions d'euros et 35 millions d'euros (CNIL, 2020). Toutes deux sanctionnées pour avoir déposé des cookies publicitaires sur les appareils des utilisateurs français avant tout recueil de consentement. Cette paire de décisions a effectivement rendu le principe « pas de cookies avant consentement » non négociable dans toute l'UE.

Google — 150 millions d'euros + Facebook — 60 millions d'euros (CNIL, janvier 2022). Infligées au titre des règles ePrivacy françaises, cette paire de décisions a sanctionné une conception asymétrique du rejet des cookies. Le régulateur a estimé que « tout refuser » devait être aussi facile à cliquer que « tout accepter » — l'UX du bandeau lui-même constituait la violation.

Google — 325 millions d'euros (CNIL, septembre 2025). Répartis entre 200 millions d'euros contre Google LLC et 125 millions d'euros contre Google Ireland. La décision couvre deux pratiques connexes : des publicités insérées entre les e-mails des utilisateurs dans les onglets « Promotions » et « Réseaux sociaux » de Gmail sans consentement préalable, et une collecte de consentement invalide lors de la création de compte Google. La CNIL s'est appuyée sur un arrêt de la CJUE de 2021 pour juger que les publicités imitant des communications privées constituent du marketing direct — ce qui signifie qu'un consentement préalable est requis, quelle que soit la manière dont l'interface est présentée.

Meta Platforms Ireland — 390 millions d'euros (DPC irlandaise, 2023). La décision charnière sur la base juridique. Meta s'était appuyée sur « l'exécution d'un contrat » comme base juridique pour la publicité comportementale sur Facebook et Instagram. La DPC irlandaise, poussée par le CEPD, a jugé que la publicité ciblée n'est pas strictement nécessaire pour délivrer le contrat de service et nécessite donc un consentement explicite. Cette décision a redéfini l'analyse de la base juridique pour chaque plateforme sociale et publicitaire opérant dans l'UE.

Meta — 1,2 milliard d'euros (DPC irlandaise, 2023). Pas strictement une amende liée à l'ad tech, mais la plus grande sanction RGPD jamais infligée. Elle a sanctionné des transferts illégaux de données personnelles de l'UE vers les États-Unis — un signal que les transferts internationaux de données collectées à des fins publicitaires sont eux-mêmes sous surveillance.

LinkedIn Ireland — 310 millions d'euros (DPC irlandaise, 2024). Une autre affaire de base juridique. LinkedIn avait argumenté que la publicité ciblée et le traitement analytique étaient nécessaires à l'exécution de son contrat avec les utilisateurs. La DPC n'était pas d'accord et a appliqué le raisonnement Meta.

Shein — 150 millions d'euros (CNIL, septembre 2025). Sanctionnée pour des pratiques en matière de cookies ne répondant pas aux exigences de consentement — cookies publicitaires déposés dès le chargement de la page avant toute interaction de l'utilisateur avec le bandeau, et un « tout refuser » qui n'arrêtait pas réellement le suivi. Publiée le même jour que la décision de 325 millions d'euros contre Google. L'affaire montre que le même schéma que les régulateurs ont bâti autour de Google en 2019-2020 s'applique désormais à des acteurs de la fast fashion et de l'e-commerce dont les piles ad tech sont tout aussi agressives.

TikTok — 345 millions d'euros (DPC irlandaise, septembre 2023) et 530 millions d'euros (DPC irlandaise, mai 2025). La première décision sanctionnait les paramètres publics par défaut et les contrôles d'âge faibles pour les utilisateurs mineurs — des enfants profilés par défaut. La seconde, la deuxième plus grande amende RGPD jamais infligée, concernait l'accès à des données d'utilisateurs européens depuis la Chine sans garanties adéquates. Les deux touchent au traitement lié à la publicité.

Yahoo (CNIL). Sanctionnée pour des cookies publicitaires déposés sur ses sites dans des conditions similaires aux décisions Google/Amazon de 2020 — la preuve que les précédents en matière de consentement aux cookies s'appliquent à tout éditeur exploitant un inventaire publicitaire, pas seulement aux géants du secteur.

Si l'on additionne uniquement les amendes liées à l'ad tech sur cette liste, on approche les 5 milliards d'euros — bien plus de la moitié de toutes les amendes RGPD jamais infligées, attribuables à une seule catégorie de traitement.

---

Combien d'amendes RGPD ont réellement été payées ?

Amendes RGPD infligées contre effectivement payées

Voici un chiffre qui ne figure pas dans la plupart des articles sur les « plus grandes amendes RGPD » : sur les 4,04 milliards d'euros d'amendes infligées par la Commission irlandaise de protection des données depuis 2018, seuls environ 20 millions d'euros ont réellement été perçus. Soit environ 0,5 %.

Le reste est suspendu, en appel, ou en cours de traitement à travers des années de contentieux européen. Presque chaque amende phare de la liste ci-dessus est contestée — et les appels ne sont pas cosmétiques. Ils sont conçus pour ralentir l'application de la loi pendant que l'environnement opérationnel pratique reste inchangé.

Un aperçu du statut d'appel des principales affaires :

• Meta — 1,2 milliard d'euros (2023, transferts). En appel. Meta a qualifié l'amende d'« injustifiée » ; le paiement est suspendu en attendant l'issue de la procédure.
• Amazon — 746 millions d'euros (2021, ciblage publicitaire). Annulée par le tribunal administratif luxembourgeois en mars 2026 pour des motifs procéduraux, bien que le tribunal ait confirmé la plupart des violations RGPD sous-jacentes. L'affaire a été renvoyée à la CNPD pour une nouvelle analyse.
• TikTok — 530 millions d'euros (mai 2025, transferts). En appel. La Haute Cour irlandaise a accordé un sursis en novembre 2025, permettant aux transferts de données de se poursuivre pendant l'examen de l'affaire.
• Meta — 405 millions d'euros (2022, données d'enfants Instagram). En appel devant la Haute Cour irlandaise.
• Meta — 390 millions d'euros (janvier 2023, base juridique publicitaire). En appel.
• Google — 325 millions d'euros (septembre 2025, publicités Gmail + consentement d'inscription). Trop récente pour un dénouement définitif ; la réaction de Google jusqu'à présent est cohérente avec ses précédents appels.
• LinkedIn — 310 millions d'euros (octobre 2024, base juridique de la publicité comportementale). Microsoft a provisionné 425 millions de dollars pour cette affaire avant que la décision ne tombe, suggérant que la société mère s'attend à payer plutôt qu'à contester la totalité du montant devant les tribunaux.
• TikTok — 345 millions d'euros (septembre 2023, données d'enfants). Contestée à l'époque ; statut d'appel actuel incertain.
• Shein — 150 millions d'euros (septembre 2025, cookies). Shein a annoncé son intention de faire appel.
• Criteo — 40 millions d'euros (juin 2023, consentement des partenaires). Initialement proposée à 60 millions d'euros par le rapporteur de la CNIL, réduite à 40 millions dans la décision finale de la CNIL. Criteo a fait appel, mais le Conseil d'État a confirmé l'amende en mars 2026. Considérée comme réglée.

La leçon pour les équipes de conformité n'est pas que les amendes sont inoffensives. C'est que les conséquences opérationnelles surviennent bien avant qu'un chèque ne soit émis. Meta a dû localiser son infrastructure de traitement de données pour l'UE. TikTok a dû repenser ses contrôles d'accès aux données pour les utilisateurs européens. LinkedIn a réécrit ses parcours de consentement dans les trois mois suivant la décision de la DPC. Les entreprises font appel du montant affiché, mais elles mettent presque toujours en œuvre les mesures correctives.

Pour la plupart des organisations — celles qui n'ont pas le budget juridique pour traîner un régulateur devant la Cour de justice de l'Union européenne — la voie de l'appel n'est pas réaliste. L'amende est l'amende, et l'impact opérationnel arrive immédiatement.

---

5 causes communes derrière chaque amende RGPD majeure dans l'ad tech

5 causes communes des amendes RGPD dans l'ad tech

En lisant les décisions côte à côte, les cinq mêmes modes de défaillance reviennent sans cesse. Aucun n'est exotique. Tous sont corrigibles.

1. Base juridique erronée pour la publicité ciblée

C'est la violation qui préoccupe le plus les régulateurs, et celle qui produit les plus grandes amendes. La « nécessité contractuelle » et « l'intérêt légitime » ne s'étendent pas pour couvrir la publicité comportementale ou le suivi inter-sites. Après les décisions Meta et LinkedIn, la réponse pratique pour presque tous les cas d'usage publicitaire est le consentement, correctement recueilli.

2. Cookies déposés avant le consentement de l'utilisateur

Les décisions Google, Amazon, Yahoo et Shein reposent toutes sur le même fait technique : les technologies de suivi se sont déclenchées avant que l'utilisateur ne clique sur quoi que ce soit. Si votre gestionnaire de tags charge les pixels publicitaires dès le chargement de la page, vous avez déjà la violation ; tout ce qui suit n'est que du théâtre d'atténuation.

3. Bandeaux de consentement aux cookies avec dark patterns

« Tout accepter » en grand et en vert ; « tout refuser » enterré à deux clics dans du texte gris. Les régulateurs traitent désormais l'UX du bandeau comme faisant partie intégrante du consentement lui-même. Si refuser est plus difficile qu'accepter, le consentement n'est pas librement donné.

4. Consentement des partenaires non vérifié dans la chaîne d'approvisionnement de l'ad tech

L'amende de 40 millions d'euros contre Criteo est l'histoire édifiante. Recevoir des chaînes de consentement de partenaires en amont n'équivaut pas à disposer d'un enregistrement défendable démontrant qu'un consentement licite a réellement été recueilli. Les fournisseurs sont de plus en plus tenus d'effectuer un certain niveau de diligence raisonnable sur la collecte de consentement de leurs partenaires — et non de simplement faire confiance au signal.

5. Manquements en matière de transparence et d'information au titre du RGPD

Les obligations de transparence des articles 13/14 semblent procédurales jusqu'à ce que l'on lise la décision Google de 2019. Répartir les informations de confidentialité sur plusieurs pages, dissimuler les finalités de traitement, ou utiliser un langage vague sur les « partenaires publicitaires » a été jugé insuffisant à de nombreuses reprises. Les utilisateurs doivent être informés de qui traite quoi pour quelle finalité spécifique, à un endroit où ils peuvent réellement le trouver.

---

Comment les manquements de l'ad tech correspondent aux catégories de violation RGPD

Si l'on met en correspondance les modes de défaillance ci-dessus avec les neuf catégories officielles de violation, le schéma est frappant :

Mode de défaillance	Catégorie de violation principale
Base juridique erronée	Base juridique insuffisante pour le traitement des données
Cookies avant consentement	Base juridique insuffisante + non-conformité avec les principes généraux
Bandeaux avec dark patterns	Base juridique insuffisante (consentement non librement donné)
Consentement en aval non vérifié	Base juridique insuffisante + accord de traitement des données insuffisant
Manquements d'information	Respect insuffisant des obligations d'information

Trois des neuf catégories officielles de violation absorbent essentiellement tout le risque d'application lié à l'ad tech. Deux d'entre elles — la base juridique et les obligations d'information — dépendent d'un seul élément d'infrastructure : la couche de gestion du consentement.

C'est pourquoi les CMP comme UniConsent sont passées d'un « atout appréciable » à un élément central de la pile de confidentialité. Les régulateurs ne sanctionnent pas l'existence de la publicité. Ils sanctionnent l'absence d'un enregistrement de consentement défendable et l'écart entre ce qui a été dit aux utilisateurs et ce qui a réellement été fait de leurs données.

---

Liste de contrôle de conformité RGPD pour l'ad tech et les éditeurs

Si vous exploitez un site d'éditeur, une marque, ou un fournisseur d'ad tech au sein de l'UE/du Royaume-Uni, les archives d'application pointent vers une liste de contrôle courte et concrète. Aucun de ces éléments n'est spéculatif — chacun correspond directement à une amende déjà infligée.

• Optez par défaut pour le consentement, et non l'intérêt légitime, pour tout traitement touchant à la publicité. La question de la base juridique est essentiellement tranchée.
• Bloquez tous les tags non essentiels jusqu'au recueil du consentement. UniConsent verrouille l'exécution des tags sur les signaux de consentement, de sorte qu'aucun suivi ne se déclenche avant que l'utilisateur n'ait agi. Cela inclut l'analytique dans les juridictions où elle a été traitée comme connexe à la publicité (France, Autriche, Italie concernant Google Analytics).
• Rendez le refus aussi facile que l'acceptation. Un clic, une importance visuelle égale, aucune friction.
• Enregistrez le consentement d'une manière que vous pouvez rejouer lors d'un audit. Horodatage, portée, version du bandeau, version de la liste des fournisseurs. Sans un enregistrement défendable, vous n'avez pas de consentement — vous avez un espoir. La piste d'audit de consentement d'UniConsent stocke chaque événement de consentement avec un contexte complet, interrogeable en temps réel.
• Auditez les partenaires en aval. Si vous transmettez des chaînes TCF ou tout autre signal de consentement à des fournisseurs, vous portez une part de responsabilité quant à la légitimité de ce signal. Les vérifications de conformité périodiques auprès des partenaires ne sont plus optionnelles. Le scanner de cookies et le validateur de données de consentement d'UniConsent aident à vérifier que le comportement réel de votre site correspond à votre configuration de consentement.
• Investissez dans la couche d'information. Un avis de confidentialité clair et centralisé qui nomme les finalités et les partenaires réduit l'exposition aux décisions les plus courantes en matière de « manquement de transparence ».
• Traitez les transferts internationaux comme un domaine de conformité distinct. L'amende de 1,2 milliard d'euros de Meta pour les transferts et l'amende de 530 millions d'euros de TikTok pour les transferts concernent toutes deux des données ayant transité par une infrastructure publicitaire. Les clauses contractuelles types ne constituent pas une ligne d'arrivée.

Une plateforme moderne de gestion du consentement comme UniConsent se situe au cœur de la plupart de ces éléments. C'est le seul logiciel dont la mission explicite est de produire un enregistrement de consentement défendable, de l'appliquer sur tous les tags et partenaires, et de donner à l'équipe juridique quelque chose à présenter lorsqu'un régulateur pose la question simple et difficile : prouvez que vos utilisateurs ont dit oui.

---

Vers où se dirige l'application du RGPD dans l'ad tech en 2026

Quelques schémas méritent d'être surveillés à mesure que l'activité d'application s'accumule :

• Les montants moyens des amendes dans Médias, Télécoms et Diffusion continuent d'augmenter. Les affaires phares tirent la moyenne vers le haut, mais la médiane grimpe également. Les petits acteurs ne passent plus sous le radar.
• Plus de régulateurs, plus d'activité. L'Espagne à elle seule a infligé plus de 900 amendes. L'Italie, la Roumanie et l'Allemagne se situent chacune dans les centaines. L'application n'est plus concentrée sur une poignée de DPA « sévères » — chaque État membre est désormais activement engagé.
• Le DSA ajoute désormais une seconde couche de sanction. En décembre 2025, la Commission européenne a infligé sa première amende au titre du Digital Services Act — 120 millions d'euros contre X — couvrant une conception de vérification trompeuse, un répertoire publicitaire inadéquat, et des manquements dans l'accès des chercheurs. L'ad tech se trouve désormais soumise à deux régimes d'application qui ne se coordonnent pas toujours.
• L'application de l'AI Act débute en août 2026. Les règles sur les systèmes d'IA à haut risque entrent en vigueur au milieu de l'année, avec des sanctions pouvant atteindre 35 millions d'euros ou 7 % du chiffre d'affaires mondial. Le ciblage piloté par l'IA, la modélisation d'audience, et l'optimisation des enchères devront tous être réexaminés au titre du nouveau cadre.
• Le traitement de l'IA est déjà intégré dans l'application existante du RGPD. Le Garante italien traite les données d'entraînement des grands modèles et la personnalisation des chatbots selon le même prisme de base juridique qu'il applique à l'ad tech depuis des années. Attendez-vous à ce que l'application de type ad tech s'étende à la personnalisation pilotée par l'IA à mesure qu'elle mûrit.
• Les contestations des bandeaux de cookies se décentralisent. Les plaintes coordonnées de type noyb ont produit des centaines de décisions dans plusieurs États membres. La conception des bandeaux est désormais une cible d'application à part entière.

Pour l'ad tech, le fil conducteur reste constant : les régulateurs ne cherchent pas à abolir la publicité ciblée, ils cherchent à la conditionner à un consentement réel, démontrable, et contrôlé par l'utilisateur. Les entreprises qui composeront leur avantage dans cet environnement sont celles qui traitent l'infrastructure de consentement comme une ingénierie de plateforme centrale — et non comme un bandeau posé sur une pile par ailleurs inchangée. UniConsent fournit cette infrastructure prête à l'emploi, avec un support intégré pour IAB TCF, Google Consent Mode, et GPP.

---

Questions fréquemment posées sur les amendes RGPD

Quelle est l'amende RGPD maximale ?

L'amende RGPD maximale est de 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial d'une organisation, selon le montant le plus élevé. Cela s'applique aux violations graves telles que les atteintes aux droits des personnes concernées, le traitement illégal, ou la non-conformité aux principes fondamentaux du RGPD. Les violations procédurales de niveau inférieur sont plafonnées à 10 millions d'euros ou 2 % du chiffre d'affaires mondial.

Quelle est la plus grande amende RGPD jamais infligée ?

La plus grande amende RGPD jamais infligée est de 1,2 milliard d'euros, imposée à Meta Platforms Ireland par la Commission irlandaise de protection des données en mai 2023 pour transfert illégal de données personnelles d'utilisateurs européens vers les États-Unis sans garanties adéquates.

Quel pays a infligé le plus d'amendes RGPD ?

L'Espagne a infligé le plus d'amendes RGPD en nombre, avec près de 1 000 amendes depuis 2018. L'Irlande en a infligé le plus en valeur totale, avec 4,04 milliards d'euros d'amendes cumulées — environ 57 % de la valeur totale des amendes RGPD en Europe.

Quelle est l'amende RGPD moyenne ?

L'amende RGPD moyenne dans toutes les juridictions depuis 2018 est d'environ 2,4 millions d'euros. La médiane est significativement plus basse car un petit nombre de très grandes amendes contre les Big Tech tire la moyenne vers le haut.

Les amendes RGPD ont-elles réellement été payées ?

La plupart des amendes RGPD majeures sont en appel à un moment donné. Sur les 4,04 milliards d'euros d'amendes infligées par la Commission irlandaise de protection des données, seuls environ 20 millions d'euros ont été perçus — environ 0,5 %. Cependant, même les amendes non payées imposent des changements opérationnels. Les entreprises font appel du montant affiché mais mettent généralement en œuvre les mesures correctives associées à la décision.

Quelle est la violation RGPD la plus courante ?

La violation RGPD la plus courante à l'origine des amendes est la « base juridique insuffisante pour le traitement des données », généralement le fait de ne pas obtenir de consentement valide pour des activités comme la publicité comportementale ou le partage de données avec des tiers. La deuxième plus fréquente est la « non-conformité avec les principes généraux de traitement des données » (article 5), qui produit les amendes moyennes les plus élevées.

Comment les amendes RGPD sont-elles calculées ?

Les amendes RGPD sont calculées à l'aide de dix facteurs énoncés à l'article 83(2), notamment la nature et la gravité de la violation, le nombre de personnes concernées affectées, la durée de la violation, la taille et le chiffre d'affaires de l'entreprise, l'intentionnalité, les mesures d'atténuation prises, les infractions antérieures, et la coopération avec l'autorité de contrôle.

Une entreprise non européenne peut-elle recevoir une amende RGPD ?

Oui. En vertu de l'article 3(2) du RGPD, le règlement s'applique à toute organisation traitant les données personnelles de résidents de l'UE, quel que soit le lieu où l'entreprise est établie. Les amendes récentes contre TikTok (détenue par des intérêts chinois), Clearview AI (basée aux États-Unis), et Uber (basée aux États-Unis) confirment la portée extraterritoriale du RGPD.

Quels secteurs reçoivent le plus d'amendes RGPD ?

Médias, Télécoms et Diffusion est le secteur le plus sanctionné, et ce depuis plusieurs années, représentant environ 70 % de la valeur totale des amendes RGPD infligées aux entreprises. Le secteur est défini largement et inclut les opérateurs télécoms, les réseaux sociaux, les services de streaming, et l'écosystème de l'ad tech. Industrie et Commerce arrive en deuxième position, fortement soutenu par l'amende de 746 millions d'euros contre Amazon.

Quels régulateurs infligent les plus grandes amendes RGPD ?

La Commission irlandaise de protection des données est le plus grand régulateur en valeur totale d'amendes (4,04 milliards d'euros cumulés), suivie par la CNIL française (plus d'1 milliard d'euros) et la CNPD luxembourgeoise. Le rôle disproportionné de l'Irlande est structurel : la plupart des grandes entreprises technologiques ont leur siège européen là-bas, faisant de la DPC leur autorité de contrôle chef de file au titre du mécanisme de guichet unique du RGPD.

Quelle est la différence entre les amendes RGPD et les amendes ePrivacy ?

Les amendes RGPD sont infligées pour des violations du Règlement général sur la protection des données, avec des sanctions maximales de 20 millions d'euros ou 4 % du chiffre d'affaires mondial. Les amendes ePrivacy sont infligées au titre des transpositions nationales de la directive ePrivacy de l'UE, qui régit spécifiquement les cookies, les communications électroniques, et le marketing direct. Plusieurs « amendes RGPD » phares — y compris l'amende de 150 millions d'euros contre Shein et certaines parties des décisions Google — sont techniquement des amendes ePrivacy au titre de l'article 82 de la loi française sur la protection des données, et non du RGPD lui-même. Les deux régimes ciblent les mêmes problèmes sous-jacents et sont souvent appliqués par la même autorité.

---

Points clés à retenir : pourquoi la gestion du consentement est désormais une infrastructure centrale

Les données d'application racontent une seule histoire cohérente à travers chaque secteur et chaque type de violation, mais l'ad tech est là où cette histoire résonne le plus fort. Parmi les dix catégories sectorielles, l'ad tech se trouve dans la plus sanctionnée. Parmi les neuf catégories de violation, trois d'entre elles absorbent presque toute l'application liée à l'ad tech, et deux de ces trois dépendent de la qualité de votre gestion du consentement.

Si vous opérez dans cet espace, l'implication pratique est simple. Le consentement n'est pas un bandeau. C'est un système qui enregistre qui a dit oui à quoi, applique ces choix sur chaque tag et partenaire, présente la bonne information au bon moment, et produit une piste d'audit lorsqu'un régulateur pose la question. Les entreprises qui construisent ce système restent en dehors des archives d'application. Celles qui ne le font pas finissent par en devenir un cas d'école.

Les plus de 7 milliards d'euros déjà en jeu constituent, en ce sens, moins un avertissement qu'une liste de prix. La question à laquelle chaque entreprise financée par la publicité doit répondre est de savoir si elle préfère investir dans l'infrastructure de consentement maintenant, ou la payer plus tard dans un communiqué de presse de la CNIL ou de la DPC irlandaise.

---

À propos d'UniConsent

UniConsent fait partie de la plateforme d'expérience utilisateur axée sur la confidentialité de Transfon, servant des dizaines de millions d'utilisateurs par jour pour offrir une expérience de confidentialité fluide tant pour les utilisateurs que pour les éditeurs à l'ère post-RGPD. Contactez-nous pour en savoir plus : hello@uniconsent.com