Conformité · Outil gratuit
Estimez en quelques secondes la fourchette d'une amende possible selon l'article 83 du RGPD : type d'infraction, votre chiffre d'affaires et les facteurs aggravants ou atténuants que l'AEPD prend en compte avant de statuer.
Résultat indicatif
Risque moyen
—
—
—
Comment ça marche
01
Vous choisissez si l'infraction relève de l'art. 83.4 (plafond 10 M€/2 %) ou de l'art. 83.5 (plafond 20 M€/4 %) du RGPD.
02
L'outil calcule le plafond réel : le plus élevé entre le montant fixe et le pourcentage de votre chiffre d'affaires mondial.
03
Intentionnalité, récidive, coopération avec l'AEPD et catégories de données concernées ajoutent ou réduisent la gravité.
04
Ces facteurs situent le cas à un niveau faible, moyen ou élevé, dans les limites du plafond légal calculé à l'étape 2.
05
Une fourchette en euros est affichée, jamais un montant exact — l'AEPD ne statue jamais avec un calculateur automatique.
Amendes RGPD en Espagne
Le Règlement général sur la protection des données (RGPD) fixe dans son article 83 deux plafonds maximaux de sanction selon la gravité de l'infraction. Les infractions de l'article 83.4 — obligations du responsable ou du sous-traitant, du délégué à la protection des données (DPO), ou des organismes de certification et de contrôle — sont plafonnées à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel de l'entreprise, le montant le plus élevé étant retenu. Les infractions de l'article 83.5 — principes de base du traitement, base juridique, droits des personnes concernées ou transferts internationaux de données — portent ce plafond à 20 millions d'euros ou 4 % du chiffre d'affaires mondial.
Ces plafonds constituent la limite maximale, et non le montant réellement appliqué par l'AEPD dans chaque dossier. Le montant réel de chaque amende découle de l'article 83.2 du RGPD, qui oblige l'autorité de contrôle à évaluer jusqu'à onze critères avant de fixer l'amende : nature, gravité et durée de l'infraction ; caractère intentionnel ou négligent ; mesures prises pour atténuer le dommage subi par les personnes concernées ; degré de responsabilité de l'auteur compte tenu des mesures techniques et organisationnelles mises en place ; antécédents d'infractions ; degré de coopération avec l'autorité pour remédier à l'infraction ; catégories de données personnelles concernées (les données de santé, biométriques, d'opinion ou de mineurs aggravent la sanction) ; manière dont l'AEPD a eu connaissance de l'infraction ; respect des mesures précédemment ordonnées ; adhésion à des codes de conduite approuvés ; et tout autre facteur aggravant ou atténuant, y compris les avantages financiers obtenus ou les pertes évitées.
Le Comité européen de la protection des données (CEPD) a harmonisé ce processus dans ses Lignes directrices 04/2022 sur le calcul des amendes administratives, qui établissent une méthodologie en cinq étapes pour toutes les autorités européennes, y compris l'AEPD. Ce calculateur simplifie ces critères en quatre facteurs pratiques — intentionnalité, récidive, coopération et catégories de données — pour donner une idée de la fourchette, non un chiffre officiel.
2025 a été l'année la plus active de l'AEPD en matière de sanctions depuis l'entrée en vigueur du RGPD : environ 31 000 réclamations reçues et près de 48 millions d'euros d'amendes infligées, avec plus de 300 procédures de sanction conclues par une amende. La tendance se poursuit en 2026, avec de nouveaux dossiers ouverts également pour usage abusif de l'intelligence artificielle. Si votre entreprise traite des données de clients, de salariés ou d'utilisateurs — et c'est aujourd'hui le cas de presque toutes les entreprises — comprendre ce qui détermine le montant d'une amende est le premier pas pour l'éviter.
Ce calculateur est un bon point de départ, mais il ne remplace pas un véritable audit de conformité réglementaire. Pour comprendre en détail quelles obligations RGPD s'appliquent à votre entreprise et comment éviter les amendes, consultez aussi notre guide complet du RGPD pour les entreprises.
Cas réels
10 043 002 €
Aena
A déployé la reconnaissance faciale biométrique pour l'embarquement dans plusieurs aéroports sans analyse d'impact (AIPD) valide au titre de l'article 35 du RGPD.
Source : couverture de la décision de l'AEPD
6 000 000 €
CaixaBank
A transféré des données personnelles à d'autres entités du groupe sans base juridique valide et sans informer correctement les personnes concernées. La montant a ensuite été réduit à 2 M€ en appel devant l'Audiencia Nacional.
Source : FACUA, sur le dossier de l'AEPD
5 000 000 €
BBVA
A envoyé des communications commerciales sans base de consentement valide : la case d'opposition n'équivalait pas à un consentement correctement recueilli.
Questions fréquentes
Non. C'est une estimation indicative fondée sur les paliers économiques de l'article 83 du RGPD et sur une simplification des facteurs de l'article 83.2. L'AEPD suit sa propre procédure, en appliquant les Lignes directrices 04/2022 du CEPD sur le calcul des amendes, et évalue chaque cas individuellement. Le résultat de cet outil n'est ni officiel ni contraignant.
L'article 83.4 fixe un plafond maximal de 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel de l'entreprise, le montant le plus élevé étant retenu. L'article 83.5 couvre les infractions les plus graves (principes de base du traitement, droits des personnes concernées ou transferts internationaux) avec un plafond de 20 millions d'euros ou 4 % du chiffre d'affaires mondial, également le montant le plus élevé.
L'article 83.2 du RGPD énumère jusqu'à onze critères : nature, gravité et durée de l'infraction ; caractère intentionnel ou négligent ; catégories de données personnelles concernées ; nombre de personnes affectées ; mesures prises pour atténuer le dommage ; récidive ; degré de coopération avec l'autorité ; manière dont l'infraction a été portée à sa connaissance ; respect des mesures précédemment ordonnées ; adhésion à des codes de conduite approuvés ; et tout autre facteur aggravant ou atténuant, y compris les avantages financiers obtenus.
Oui. Le RGPD n'exclut ni les PME ni les indépendants, bien qu'en pratique l'AEPD applique généralement des amendes proportionnellement plus faibles à cette catégorie. La loi organique 3/2018 (LOPDGDD) prévoit un avertissement plutôt qu'une amende pour les premières infractions mineures commises par des entités de moins de 250 salariés ou à chiffre d'affaires réduit, en l'absence d'intentionnalité ou de récidive.
Vous disposez d'un délai fixe pour présenter vos observations, généralement 10 jours ouvrés à compter de la notification. C'est le moment de rassembler toute la documentation (registre des activités de traitement, analyses d'impact, preuves des mesures de sécurité appliquées) et de décider avec un conseil s'il convient d'accepter, de formuler des observations ou de faire recours. Agir dès les premiers jours fait une réelle différence sur le montant final.
Une fourchette indicative est un point de départ, pas un diagnostic. Réservez une session gratuite de 30 minutes et examinons ensemble votre exposition réelle aux amendes RGPD et comment la réduire.
Paliers de l'art. 83 RGPD et cas AEPD mis à jour le 16 juillet 2026 · sources citées pour chaque cas.