RGPD : après 5 ans d’application, quel bilan en Europe et en France ?

Le RGPD a 5 ans : d’une « folie » à un « standard mondial »

Le RGPD, règlement général sur la protection des données, a 5 ans ! Entré en vigueur le 25 mai 2018, cette réglementation encadre le traitement des données personnelles dans l’Union européenne. Elle est devenue, selon le militant autrichien Max Schrems, interrogé par Le Monde, « un standard mondial », avec plus de 70 pays ayant adopté des textes similaires. Les membres de l’UE ont, depuis 5 ans, infligé plus de 2 milliards d’euros d’amendes administratives pour non respect du RGPD.

« Cela a envoyé le message que c’était possible. Rappelez-vous : lors de la négociation du RGPD, on nous disait « vous êtes fous, ça ne passera jamais, faites-vous une raison, la vie privée n’existe plus ». Je pense que ce discours a complètement disparu. Le RGPD a une influence parce qu’il est et continuera à être de facto le standard mondial », décrypte Max Schrems.

Et plus le temps passe, plus les pays de l’Union simplifient leurs procédures de sanction et optent pour la multiplication de plus petites amendes – à l’image de l’Espagne et de la France – avec deux objectifs : répondre plus efficacement aux plaintes et convaincre les derniers réfractaires.

Les amendes émises pour non respect du RGPD depuis 2018

La dernière sanction a fait parler d’elle, avec l’infliction par la CNIL irlandaise d’une amende de 1,2 milliard d’euros au groupe Meta. Mais entre 2018 et 2022, ce sont plus de 2 milliards d’euros d’amendes qui ont été distribuées en Europe. Et l’année 2023 risque déjà d’être record.

Montants estimés des amendes en Europe

• 2018 : 458 000 euros,
• 2019 : 73 millions d’euros,
• 2020 : 171 millions d’euros,
• 2021 : 1,1 milliard d’euros,
• 2022 : 841 millions d’euros.

Montants estimés des amendes en France

• 2018 : 0 euro,
• 2019 : 51,1 millions d’euros,
• 2020 : 3,3 millions d’euros,
• 2021 : 3,7 millions d’euros,
• 2022 : 25,2 millions d’euros.

Source : Enforcement Tracker/Le Monde

Les plus importantes amendes infligées en Europe

1. Meta – Facebook (2023) : 1,2 milliard d’euros,
2. Amazon (2021) : 746 millions d’euros,
3. Meta – Instagram (2022) : 405 millions d’euros,
4. Meta – Facebook (2022) : 265 millions d’euros,
5. Meta – WhatsApp (2021) : 225 millions d’euros,
6. Meta – Facebook (2023) : 210 millions d’euros,
7. Meta – Instagram (2023) : 180 millions d’euros,
8. Google (2021) : 90 millions d’euros,
9. Meta – Facebook (2021) : 60 millions d’euros,
10. Google (2021) : 60 millions d’euros.

Après 5 ans d’application, le RGPD a-t-il un véritable impact ?

Si les montants des amendes évoqués sont importants, ils masquent pourtant certaines lacunes et manques de moyen pour mettre efficacement en application le RGPD. En France, seulement 30 amendes ont été émises depuis 2018. Trop peu, selon Max Schrems : « Aujourd’hui, ce qui doit encore devenir une réalité, c’est la mise en application. »  Les autorités commencent à sévir et à réellement user de leur pouvoir dissuasif, mais les manquements sont encore nombreux.

« Les organismes se sont globalement professionnalisés depuis l’entrée en application du RGPD mais nous avons toujours une majorité de contrôles dans lesquels nous constatons des violations sur des aspects élémentaires : l’obligation d’information, la durée de conservation, les droits des personnes, etc. », constate auprès du Monde Karin Kiefer, directrice de la protection des droits et des sanctions de la CNIL.

Malgré tout, les entreprises semblent avoir bien intégré ce règlement. « Quand je fais des présentations sur la conformité au RGPD, la qualité des questions qu’on me pose montre que les gens sont de plus en plus conscients qu’ils doivent se conformer à la loi, et c’est probablement dû en partie à ces amendes plus élevées que nous constatons » , remarque Annika Selzer, chercheuse spécialisée sur la protection de la vie privée à l’institut Fraunhofer en Allemagne. Reste à donner les moyens aux organismes de contrôle pour que le respect de la protection des données personnelles devienne une véritable norme.