Simulateur de risque & amendes RGPD (article 83 UE)

Amende RGPD (article 83) : plafond légal et estimation chiffrée

L'article 83 du RGPD fixe deux plafonds : 10 M€ ou 2 % du chiffre d'affaires mondial annuel pour les obligations de moyens (registre, sécurité, DPO), 20 M€ ou 4 % pour les principes, le consentement, les droits des personnes et les transferts, le montant le plus élevé étant retenu. L'outil calcule ce plafond puis une amende probable à partir d'un indice de sévérité de 5 à 100.

Plafond légal

• Niveau 1 (art. 83 §4 : registre, sécurité, DPO) : le plus élevé entre 10 M€ et 2 % du chiffre d'affaires mondial annuel.
• Niveau 2 (art. 83 §5 : principes, consentement, droits des personnes, transferts hors UE) : le plus élevé entre 20 M€ et 4 %.

Amende probable selon l'outil

Sévérité de départ : 20 (niveau 1) ou 45 (niveau 2) ; +25 si le manquement est délibéré, +15 pour des données sensibles, +15 en cas de récidive ; −10 si la violation a été notifiée sous 72 h, −10 en cas de coopération ; résultat borné entre 5 et 100. Amende probable = chiffre d'affaires × sévérité ÷ 100 × taux (2 % ou 4 %) × 1,5, plus 25 000 € si la sévérité dépasse 50 (sinon 5 000 €), sans dépasser le plafond.

Exemples

5 M€ de chiffre d'affaires, niveau 2, négligence, notification et coopération : sévérité 45 − 10 − 10 = 25 ; amende probable = 5 000 000 × 0,25 × 0,04 × 1,5 + 5 000 = 80 000 € ; plafond 20 M€, car 4 % ne feraient que 200 000 €. Manquement délibéré sur des données de santé, non notifié : sévérité 75, amende probable 250 000 €. À 1 Md€ de chiffre d'affaires, tous facteurs aggravants réunis, la formule donne 60 M€, plafonnés à 40 M€.

Limites

Cette formule est propre à l'outil. Le CEPD (lignes directrices 04/2022) part de 0-10 %, 10-20 % ou 20-100 % du plafond selon la gravité, réduit ce montant pour les petites entreprises, puis l'ajuste selon l'article 83 §2 : une sanction réelle peut s'écarter nettement du résultat. Pas d'avis juridique. Voir aussi le simulateur DSA (plateformes, cookies) et le guide des durées de conservation.

Sources et dates : RGPD, art. 83 §2, §4 et §5, applicable depuis le 25/05/2018 (CNIL, chapitre VIII du RGPD) ; art. 33 §1, notification sous 72 h (CNIL, chapitre IV du RGPD) ; lignes directrices 04/2022 du CEPD, version du 24/05/2023 (CEPD, calcul des amendes) (vérifié le 14/10/2026).

Questions fréquentes

Quel est le montant maximal d'une amende RGPD ?

Pour les manquements les plus graves (article 83 §5), l'amende peut atteindre 20 M€ ou 4 % du chiffre d'affaires mondial annuel de l'exercice précédent, le montant le plus élevé étant retenu. Une entreprise qui réalise 1 Md€ de chiffre d'affaires risque donc jusqu'à 40 M€. Sous 500 M€ de chiffre d'affaires, c'est le plafond fixe de 20 M€ qui s'applique.

Quels manquements relèvent du plafond de 10 M€ ou 2 % ?

L'article 83 §4 vise les obligations du responsable du traitement et du sous-traitant : consentement des enfants (art. 8), protection des données dès la conception, registre des traitements, sécurité, notification des violations, analyse d'impact et délégué à la protection des données (art. 25 à 39), ainsi que la certification (art. 42 et 43). Le plafond est le plus élevé entre 10 M€ et 2 % du chiffre d'affaires mondial.

Dans quel délai faut-il notifier une violation de données à la CNIL ?

L'article 33 impose de notifier l'autorité dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les personnes. Passé ce délai, la notification doit expliquer le retard. Dans l'outil, une notification dans les temps retire 10 points à l'indice de sévérité.

Comment les autorités calculent-elles une amende RGPD ?

Les lignes directrices 04/2022 du CEPD (version finale du 24/05/2023) fixent un montant de départ entre 0 et 10 %, 10 et 20 % ou 20 et 100 % du plafond légal selon la gravité, réduit pour les entreprises de petite taille. Ce montant est ensuite ajusté selon les circonstances aggravantes ou atténuantes de l'article 83 §2, puis contrôlé au regard du plafond et du principe de proportionnalité. L'outil ne reproduit pas cette méthode : il applique sa propre formule simplifiée.

L'outil est-il vraiment gratuit ?

Oui, l'intégralité des outils sur Kristools sont 100% gratuits et accessibles sans inscription.

Mes données sont-elles protégées ?

Oui. Tous les traitements sont effectués directement et en toute sécurité dans votre navigateur. Aucune donnée personnelle n'est envoyée vers nos serveurs.