Une amende ne se négocie pas. Un abonnement, si.

Jusqu'à 35 M€ ou 7 % du chiffre d'affaires mondial

• Pratiques interdites : 35 M€ ou 7 % du chiffre d'affaires annuel mondial.
• Autres obligations (systèmes à haut risque, transparence, déployeurs) : 15 M€ ou 3 %.
• Informations inexactes fournies aux autorités : 7,5 M€ ou 1 %.
• Pour les PME et les jeunes pousses, le plus faible des deux montants s'applique.

Jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial

• Manquements aux principes, aux droits des personnes et aux transferts : 20 M€ ou 4 % du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu.
• Autres manquements (sécurité, registre, sous-traitance, analyse d'impact) : 10 M€ ou 2 %.
• Astreinte possible jusqu'à 100 000 € par jour de retard, publication de la sanction et action en réparation des personnes concernées.

Jusqu'à 15 M€ ou 2,5 % du chiffre d'affaires mondial

• Exigences essentielles de cybersécurité et gestion des vulnérabilités : 15 M€ ou 2,5 %.
• Autres obligations : 10 M€ ou 2 %.
• Informations inexactes : 5 M€ ou 1 %.
• Retrait ou rappel des produits non conformes du marché.

Jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial

• Dépôt de traceurs sans consentement valable, refus plus difficile que l'acceptation, absence d'information.
• La CNIL a prononcé plusieurs amendes de plusieurs dizaines à plusieurs centaines de millions d'euros sur ce seul fondement.

Jusqu'à 10 M€ ou 2 % du chiffre d'affaires mondial

• Entités essentielles : au moins 10 M€ ou 2 % du chiffre d'affaires annuel mondial.
• Entités importantes : au moins 7 M€ ou 1,4 %.
• Les dirigeants peuvent être tenus personnellement responsables et, pour les entités essentielles, temporairement écartés de leurs fonctions.
• En France, le projet de loi Résilience qui transpose la directive est encore en discussion au Parlement : les montants français restent à confirmer.

Jusqu'à 6 % du chiffre d'affaires mondial

• Manquement aux obligations : jusqu'à 6 % du chiffre d'affaires annuel mondial.
• Informations inexactes ou refus d'inspection : 1 %.
• Astreinte jusqu'à 5 % du chiffre d'affaires quotidien moyen par jour de retard.

Jusqu'à 1 M€ pour l'entreprise, 200 000 € pour ses dirigeants

• Programme anticorruption absent ou insuffisant (entreprises d'au moins 500 salariés et 100 M€ de chiffre d'affaires) : jusqu'à 1 M€ pour la personne morale et 200 000 € pour les dirigeants.
• Entrave à un signalement de lanceur d'alerte : un an d'emprisonnement et 15 000 € d'amende pour la personne physique.
• Procédure abusive contre un lanceur d'alerte : amende civile jusqu'à 60 000 €.

Jusqu'à 50 000 € par manquement, renouvelable

• Après mise en demeure, amende administrative pouvant atteindre 50 000 €, renouvelable tant que le manquement persiste.
• Retrait possible des produits non conformes.

50 € par facture non conforme, jusqu'à 15 000 € par an

• Facture non émise au format électronique : 50 € par facture, dans la limite de 15 000 € par année civile.
• Défaut de transmission des données (e-reporting) : 500 € par transmission manquante.
• Absence de plateforme agréée : amende trimestrielle après mise en demeure.
• Grandes entreprises et ETI dès septembre 2026, PME et microentreprises à partir de septembre 2027.

Sanctions fixées par chaque État, plafonds du RGPD pour les données personnelles

• Chaque État membre fixe des sanctions effectives, proportionnées et dissuasives.
• Pour les manquements qui touchent des données personnelles, les plafonds du RGPD s'appliquent : jusqu'à 20 M€ ou 4 % du chiffre d'affaires mondial.

Sanctions fixées par chaque État, retrait de l'enregistrement

• Chaque État membre fixe les sanctions applicables aux services d'intermédiation de données et aux organisations altruistes.
• Possibilité de suspension du service ou de retrait de la mention d'organisation altruiste reconnue.

Sanctions des autorités financières, astreinte de 1 % du chiffre d'affaires quotidien pour les prestataires critiques

• Entités financières : sanctions administratives fixées par le droit national et prononcées par l'ACPR ou l'AMF, avec publication.
• Prestataires informatiques critiques : astreinte jusqu'à 1 % du chiffre d'affaires quotidien moyen mondial, par jour, pendant six mois au plus.