État de l'application du RGPD 2026 : rapport d'un praticien

Huit ans plus tard, l’application du RGPD a atteint l’âge adulte

Le RGPD est entré en vigueur en mai 2018. Huit ans plus tard, le tableau de l’application est différent de ce que partisans ou sceptiques avaient prédit en 2018.

Les partisans s’attendaient à ce qu’une application agressive réorganise le comportement des Big Tech en quelques années. Cela s’est produit, mais plus lentement que prévu et avec une variation nationale significative.

Les sceptiques s’attendaient à ce que le RGPD devienne une « guidance avec mise en scène » — une régulation que les organisations pourraient ignorer en toute sécurité. Cela ne s’est pas produit. Le bilan d’application est réel et matériel.

Voici le rapport 2026 sur l’application réelle du RGPD : les chiffres, les schémas, les goulots d’étranglement, et ce à quoi les entreprises européennes devraient s’attendre jusqu’en 2027.

Les chiffres (en mai 2026)

Total des amendes

Amendes RGPD cumulées de mai 2018 à mai 2026 : environ 5,6 milliards d’euros.

Ventilation par année (approximative, tirée des rapports publics des autorités de protection des données) :

2018-2019 : 435 millions d’euros (démarrage lent, les autorités construisent leurs capacités)
2020 : 158 millions d’euros
2021 : 1,1 milliard d’euros (les 746 M€ d’Amazon ont été un cas atypique)
2022 : 831 millions d’euros
2023 : 2,1 milliards d’euros (amende de 1,2 Md€ de la DPC irlandaise contre Meta)
2024 : 1,05 milliard d’euros
2025 : ~880 millions d’euros (préliminaire)
2026 (à ce jour) : sur une trajectoire similaire à 2025

La référence annuelle s’est stabilisée autour de 800 M€ à 1 Md€ d’amendes, avec quelques cas atypiques issus d’actions d’application majeures.

Plus grosses amendes jusqu’en 2026

Les plus grandes amendes RGPD (cumulées jusqu’à mai 2026) :

Meta — 1,2 milliard d’euros (Irlande, 2023) pour transferts transatlantiques de données
Amazon — 746 millions d’euros (Luxembourg, 2021) pour consentement publicitaire
Meta (Instagram) — 405 millions d’euros (Irlande, 2022) pour traitement de données d’enfants
Meta (WhatsApp) — 225 millions d’euros (Irlande, 2021) pour manquements de transparence
TikTok — 345 millions d’euros (Irlande, 2023) pour traitement de données d’enfants
Meta — 390 millions d’euros (Irlande, 2023) pour base légale publicitaire
Google — 170 millions d’euros cumulés (juridictions multiples) pour consentement aux cookies
TikTok — 530 millions d’euros (Irlande, 2024) pour transferts de données vers la Chine
Apple — 150 millions d’euros (France/CNIL, 2025) pour manquements à App Tracking Transparency
Meta — 265 millions d’euros (Irlande, 2022) pour scraping de données

Le schéma : la plupart des grandes amendes ciblent les opérations européennes des entreprises tech américaines, fréquemment émises par la Commission de protection des données irlandaise (où la plupart des entreprises tech américaines ont leur siège européen).

Les schémas : ce qui est réellement appliqué

Schéma 1 : Le consentement aux cookies

Les manquements au consentement aux cookies constituent la catégorie d’application la plus fréquente en volume. Des centaines d’amendes ont été émises par les autorités européennes pour :

Bandeaux de cookies ne permettant pas un refus facile
Cookies déposés avant consentement
Cases de consentement pré-cochées
Boutons « Tout refuser » cachés derrière plusieurs clics

Application notable des cookies :

La CNIL française a été la plus agressive — plus de 60 M€ d’amendes spécifiques aux cookies, dont des actions majeures contre Google, Microsoft, Meta
Le Garante italien a été actif sur l’application des cookies
Les autorités fédérales et régionales allemandes ont engagé des procédures contre des éditeurs et réseaux publicitaires

Pour les entreprises européennes, l’implication pratique : les bandeaux de cookies doivent permettre un refus facile. « Tout refuser » doit être aussi facile à cliquer que « Tout accepter ». La pression économique a poussé l’adoption d’analytics sans cookies (Plausible, Matomo, etc.) qui évitent le problème entièrement.

Schéma 2 : Les transferts transatlantiques de données

Schrems II (2020) et l’écart post-Privacy-Shield ont créé un focus d’application soutenu sur la conformité aux transferts transatlantiques. Actions majeures :

Meta — 1,2 Md€ d’amende de la DPC irlandaise pour transferts continus sans garanties adéquates
Multiples amendes plus petites pour mise en œuvre inadéquate des Clauses contractuelles types
Enquêtes sur l’usage de Microsoft 365, Google Workspace par le secteur public européen

Le Data Privacy Framework UE-USA (DPF) de 2023 a réduit l’application liée aux transferts, mais la vulnérabilité juridique demeure. Une décision « Schrems III » de la CJUE pourrait relancer agressivement l’application des transferts.

Schéma 3 : Les données des enfants

Le traitement des données d’enfants est devenu une catégorie à amendes élevées :

Meta (Instagram) — 405 M€ pour traitement des données de comptes adolescents
TikTok — 345 M€ pour réglages par défaut de traitement des données d’enfants
YouTube — multiples amendes plus petites pour publicité ciblant les enfants

Le schéma : les régulateurs sont prêts à émettre des amendes substantielles pour les manquements concernant les données d’enfants. Les plateformes avec d’importantes bases d’utilisateurs mineurs font face à un risque structurel d’application.

Schéma 4 : Transparence et base légale

L’article 6 (base légale du traitement) et les articles 13/14 (obligations de transparence) génèrent une application soutenue :

Notes de confidentialité inadéquates
Mauvaise base légale revendiquée (ex. intérêts légitimes pour des activités requérant le consentement)
Information insuffisante sur le traitement des données
Manque de transparence sur le partage de données

Celles-ci tendent à être individuellement de plus petites amendes, mais représentent une application de référence soutenue contre de nombreuses organisations.

Schéma 5 : L’exécution des droits des personnes concernées

Les droits des articles 15 à 22 (accès, effacement, portabilité, etc.) ont généré une application régulière :

Défaut de réponse aux demandes d’accès
Effacement inadéquat lorsque demandé
Défaut de fourniture des données dans des formats portables
Refus de demandes d’effacement légitimes

De nombreuses amendes plus petites (10 K€ à 500 K€) pour des manquements spécifiques à l’exécution des droits des personnes concernées.

Le goulot d’étranglement de la DPC irlandaise

La Commission irlandaise de protection des données est devenue le problème structurel le plus discuté dans l’application du RGPD.

Pourquoi ce goulot d’étranglement existe

Le mécanisme « guichet unique » du RGPD (article 56) fait de l’autorité du pays de l’établissement principal d’une entreprise dans l’UE l’autorité de contrôle chef de file pour les cas transfrontaliers. La plupart des grandes entreprises tech américaines (Meta, Google, Apple, Microsoft, TikTok) ont leur siège européen en Irlande. Cela concentre une part énorme du travail d’application du RGPD à la DPC irlandaise.

La DPC irlandaise est chroniquement sous-dotée par rapport à sa charge de travail, et a été critiquée pour :

Enquêtes lentes — cas majeurs prenant plus de 2 à 5 ans
Amendes plus faibles que celles que d’autres autorités émettraient (souvent augmentées en appel auprès de l’EDPB)
Complexité procédurale — forte dépendance à des processus procéduraux longs

Le rôle du Comité européen de la protection des données

L’EDPB (l’organe de coordination au niveau UE de toutes les autorités nationales) a joué un rôle de plus en plus important. La résolution de conflits de l’article 65 permet à l’EDPB de revenir sur les décisions de la DPC irlandaise lorsque d’autres autorités sont en désaccord.

Plusieurs grandes amendes (Meta 1,2 Md€, TikTok 345 M€) ont impliqué une intervention de l’EDPB pour augmenter les propositions de pénalité initiales de la DPC irlandaise. Le schéma : la DPC irlandaise propose une amende plus faible ; l’EDPB la relève après objections d’autres autorités.

Ce qui change

Les efforts de réforme se sont poursuivis :

Augmentation des ressources de la DPC irlandaise — les effectifs ont substantiellement augmenté sur 2023-2026
Améliorations de processus de l’EDPB — résolution plus rapide des conflits article 65
Régulation procédurale — proposition de règlement harmonisant les règles procédurales du RGPD entre États membres

Ces réformes aident, mais le problème structurel (concentration de l’application sur une seule autorité) n’a pas été pleinement résolu.

Variations entre États membres

Le RGPD a été mis en œuvre de manière inégale entre États membres. Huit ans plus tard, des schémas clairs :

Autorités les plus agressives en application

France (CNIL) — la plus prolifique en émission d’amendes, particulièrement pour le consentement aux cookies
Italie (Garante) — active dans plusieurs catégories
Espagne (AEPD) — gros volume d’application en petites amendes
Allemagne (autorités fédérales + régionales combinées) — application substantielle, particulièrement pour les manquements B2B
Pays-Bas (Autoriteit Persoonsgegevens) — application focalisée sur des schémas spécifiques
Norvège (Datatilsynet) — disproportionnellement influente malgré une petite population

Autorités plus conservatrices en application

Irlande (DPC) — discutée plus haut
Luxembourg (CNPD) — moins d’actions d’application, mais l’amende de 746 M€ contre Amazon démontre la capacité
Plusieurs petits États membres — capacité d’application limitée

Pour les entreprises européennes opérant à travers les frontières, l’implication pratique : l’autorité qui traite votre cas affecte substantiellement les résultats. Cela importe pour la planification de réponse aux incidents et la stratégie juridique.

Ce qui a réellement changé dans le comportement des entreprises

Au-delà des amendes, le RGPD a mesurablement changé la façon dont les entreprises européennes gèrent les données :

1. Adoption de la confidentialité par conception

Les entreprises construisent de plus en plus la confidentialité dans le développement produit dès le départ plutôt qu’en rétro-fitting. C’est le plus grand changement comportemental — et il persiste à travers les entreprises de toutes tailles.

2. Désignation et responsabilité du DPO

Les rôles de Délégué à la protection des données sont désormais standard dans les organisations de taille moyenne et plus grandes. Le déclenchement obligatoire du DPO de l’article 37 affecte de nombreuses entreprises ; la désignation volontaire du DPO est courante même pour les plus petites.

3. Registres des activités de traitement

La documentation ROPA de l’article 30 est devenue une pratique de référence. Bien que la qualité varie, la pratique de maintenir des registres de traitement est répandue.

4. Diligence raisonnable des fournisseurs

L’article 28 du RGPD (obligations du sous-traitant) a remodelé la sélection des fournisseurs. Les entreprises évaluent activement la posture de protection des données des fournisseurs, demandent des accords, et évaluent les chaînes de sous-traitants.

5. Conscience des transferts internationaux

Schrems II a sensibilisé aux risques des transferts transatlantiques. Même les plus petites entreprises européennes considèrent désormais la résidence des données dans les décisions fournisseurs.

Application transfrontalière et coopération

La dimension internationale du RGPD a mûri :

Coopération UE-USA

Après plusieurs cycles de cadres (Safe Harbor, Privacy Shield, Data Privacy Framework actuel), la coopération UE-USA en application de la protection des données s’est stabilisée. Les cas conjoints sont encore rares mais la consultation entre régulateurs s’est accrue.

Coopération UE-Royaume-Uni post-Brexit

Le UK GDPR reflète étroitement le RGPD UE. Le Royaume-Uni a sa propre voie d’application (ICO) mais la coopération avec les autorités UE s’est poursuivie. L’adéquation des protections UK reste sous revue périodique.

Influence mondiale du RGPD

La portée extraterritoriale du RGPD (article 3) plus son effet modèle sur le droit mondial de la confidentialité (LGPD au Brésil, PIPL en Chine, diverses lois d’États américains) signifient que l’application de style RGPD est de plus en plus le défaut mondial pour le traitement des données des résidents UE.

Ce que 2026-2027 apporte

Régulation procédurale RGPD proposée

La Commission a proposé un règlement harmonisant les règles procédurales du RGPD entre États membres. S’il est adopté, cela :

Standardiserait les délais de traitement des plaintes
Réduirait les variations de traitement des cas
Rationaliserait les cas transfrontaliers

Calendrier d’adoption : possible 2026-2027.

Priorités stratégiques d’application de l’EDPB

Le Comité européen de la protection des données a signalé des priorités stratégiques pour 2026-2027 :

Intersection AI Act et RGPD (notamment article 22)
Transferts internationaux (stabilité du DPF et alternatives)
Protection des données d’enfants
Dark patterns dans le consentement et les bandeaux de cookies
Données biométriques (notamment dans le contexte du travail et de l’éducation)

Attendez-vous à ce que l’activité d’application se concentre dans ces domaines.

Possible « RGPD 2.0 »

Diverses propositions de révision du RGPD ont circulé. Bien qu’aucune proposition législative formelle n’existe, les thèmes incluent :

Conformité PME rationalisée — obligations réduites pour les petites entreprises avec traitement à faible risque
Application harmonisée — adresser le goulot d’étranglement de la DPC irlandaise et les variations entre États membres
Dispositions actualisées pour l’IA et la technologie moderne
Réforme du régime des cookies — possiblement via le règlement ePrivacy plutôt que des amendements au RGPD

Une proposition législative formelle « RGPD 2.0 » en 2026-2027 est possible mais incertaine.

Décision Schrems III

L’affaire en attente devant la CJUE contestant le Data Privacy Framework UE-USA pourrait aboutir à l’invalidation du mécanisme actuel de transfert transatlantique. Calendrier : décision possible 2026-2027.

S’il est invalidé, les transferts transatlantiques retournent aux SCCs + TIAs, avec une nouvelle incertitude sur les arrangements à long terme.

Que devraient faire les entreprises européennes ?

Trois enseignements pour la conformité RGPD en 2026 :

1. Le problème du bandeau de cookies est résolu par l’analytics sans cookies

Si votre organisation maintient toujours des bandeaux de cookies agressifs sous pression réglementaire, basculez vers de l’analytics sans cookies (Plausible, Matomo). La solution technique existe, l’exposition juridique disparaît, et les taux de conversion s’améliorent typiquement.

2. Traiter les transferts transatlantiques comme un risque juridique permanent

Le DPF fonctionne pour l’instant mais a une vulnérabilité juridique connue. Construisez des architectures qui fonctionnent dans des scénarios avec et sans le DPF. Utilisez le traitement résident UE pour les données sensibles ; réservez les fournisseurs américains pour les charges moins sensibles.

3. Maintenir la documentation DPO et ROPA à jour

Le travail de conformité banal (désignation du DPO, maintenance ROPA, exécution des accords avec les fournisseurs) est ce qui protège contre l’escalade d’application. La plupart des actions d’application contre les entreprises de taille moyenne commencent par de simples lacunes de documentation.

Ce qu’il faut surveiller en 2027

Première application du règlement procédural RGPD s’il est adopté
Décision Schrems III de la CJUE sur le Data Privacy Framework UE-USA
Cas d’intersection AI Act + RGPD — premiers cas majeurs appliquant les deux régulations
Application des dark patterns — amendes substantielles pour interfaces de consentement manipulatrices probables
Expansion de l’application sur les données d’enfants — au-delà de TikTok et Instagram, schéma plus large probable
Possible proposition législative « RGPD 2.0 »

Nous couvrirons tout cela dans le rapport de l’an prochain.

La vraie image après huit ans

L’application du RGPD en 2026 est réelle, matérielle et continue. 5,6 milliards d’euros d’amendes cumulées sont significatifs. Le changement comportemental dans le traitement des données par les entreprises européennes est substantiel. Les problèmes structurels (goulot d’étranglement de la DPC irlandaise, variation entre États membres) s’améliorent mais ne sont pas résolus.

Pour les entreprises européennes, les implications opérationnelles n’ont pas changé depuis 2018 — mettre en œuvre la confidentialité par conception, maintenir la documentation, choisir les fournisseurs avec soin, répondre aux demandes de droits des personnes concernées, et traiter l’application comme un risque continu plutôt qu’un obstacle ponctuel.

Pour les acheteurs tech européens, l’application du RGPD crée des avantages mesurables pour les outils nativement UE par rapport aux alternatives américaines avec conformité ajoutée a posteriori. Le fardeau de conformité est réel ; les outils qui le gèrent par architecture économisent de l’argent réel et réduisent un risque réel.

Pour les responsables politiques européens, le bilan de huit ans suggère que le RGPD fonctionne — imparfaitement, lentement, mais durablement. Le cadre qui protège la souveraineté des données européennes a tenu sous une pression soutenue. Que cela continue dépend de l’investissement continu en application et d’une possible réforme procédurale.

Parcourez toutes les alternatives européennes conformes au RGPD sur BetterInEurope.

Ce rapport a été rédigé par l’équipe éditoriale de BetterInEurope sur la base des rapports publics des autorités, décisions de justice et observation directe des schémas de conformité des entreprises européennes. Méthodologie : examen des principaux rapports d’application des autorités, décisions de l’EDPB, jurisprudence de la CJUE, et conversations clients/praticiens tout au long de fin 2025 et début 2026. Les chiffres d’amendes sont approximatifs ; consultez les sources primaires des autorités pour des chiffres faisant autorité. Les erreurs sont les nôtres ; les corrections sont bienvenues à hello@betterineurope.eu.