Sanctions réelles de l'AEPD aux PME : cas et leçons

Sommaire

1. Combien d'amendes l'AEPD inflige-t-elle, et pour quel montant ?
2. L'AEPD sanctionne-t-elle aussi les petites entreprises ?
3. Cas 1 — Que s'est-il passé avec la caméra d'un bar sans panneau ?
4. Cas 2 — Que s'est-il passé lors de la consultation d'un fichier de mauvais payeurs sans motif ?
5. Cas 3 — Que s'est-il passé avec un appel commercial non sollicité ?
6. Qu'ont en commun les trois cas ?
7. Peut-on réduire une amende une fois le dossier ouvert ?
8. Comment évitez-vous de figurer sur cette liste ?
9. Questions fréquentes
10. Sources et méthodologie

Combien d'amendes l'AEPD inflige-t-elle, et pour quel montant ?

En 2024, l'AEPD a rendu 281 décisions assorties d'une amende, soit 23 % de moins qu'en 2023 (367), mais le montant total a augmenté de 19 % : de 29 817 410 € à 35 592 200 € (Memoria Anual 2024 de la AEPD, section 9.1). Cette année-là, l'AEPD a reçu 18 855 réclamations (13 % de moins qu'en 2023).

Les amendes les plus élevées de 2024 —plusieurs millions d'euros— visent des banques, des compagnies d'électricité et des opérateurs télécoms : CaixaBank, Iberdrola, Telefónica, BBVA, Orange. Ces chiffres sortent dans la presse et font du bruit, mais ils ne représentent pas ce qui arrive à une petite entreprise. Les amendes supérieures à 1 million d'euros infligées à des personnes morales sont en outre publiées au Boletín Oficial del Estado, le journal officiel espagnol, comme l'exige la LOPDGDD (la loi espagnole de protection des données).

L'AEPD sanctionne-t-elle aussi les petites entreprises ?

Oui. Parmi les 281 décisions de 2024, on trouve des bars, de petites entreprises de sécurité, des commerces et des indépendants, avec des amendes de quelques centaines ou de quelques milliers d'euros pour des manquements précis : un panneau de vidéosurveillance mal posé, un appel commercial sans consentement, une donnée utilisée sans motif légal. Nous n'avons trouvé aucune statistique officielle de l'AEPD détaillant quel pourcentage exact de ces 281 amendes revient aux PME et aux indépendants par rapport aux grandes entreprises, nous ne l'affirmons donc pas comme un chiffre arrêté. Ce que nous pouvons montrer, en revanche, ce sont des cas réels et vérifiables, avec la décision publique de chacun.

Cas 1 — Que s'est-il passé avec la caméra d'un bar sans panneau ?

Dossier EXP202316991 (décision PS-00161-2024). Les faits se sont produits en 2022 et 2023 ; l'AEPD a tranché le dossier en 2025.

Un établissement de nuit avait deux caméras qui filmaient toute la salle : le comptoir, les tables et la zone clients. Le panneau d'information était incomplet : il n'indiquait ni qui était le responsable du traitement, ni comment exercer ses droits. De plus, des images des caméras ont fini publiées sur Facebook sans que personne n'ait donné son consentement.

L'AEPD a infligé deux amendes de 500 € chacune : l'une pour avoir filmé une zone plus large que nécessaire (art. 5.1.c RGPD, principe de minimisation) et l'autre pour ne pas avoir informé correctement par le panneau (art. 13 RGPD). Total : 1 000 €. Elle a en outre ordonné à l'établissement de réorienter les caméras pour ne filmer que la caisse et l'entrée, pas toute la salle. L'AEPD a classé sans suite la partie de la plainte portant sur la publication sur Facebook, faute de pouvoir établir qui l'avait mise en ligne.

Lisez la décision complète (PDF, aepd.es)

Cas 2 — Que s'est-il passé lors de la consultation d'un fichier de mauvais payeurs sans motif ?

Dossier EXP202312994 (décision PS-00034-2024), mai 2024.

Une entreprise (Arrendamientos Deudores, S.L., avec un chiffre d'affaires de 157 978 € en 2020, clairement une PME) a consulté les données d'une personne dans ASNEF, un fichier d'impayés, pour évaluer un risque économique. Lorsque l'AEPD lui a demandé de justifier cette consultation, l'entreprise n'a pu produire aucun contrat ni aucune relation antérieure avec cette personne qui la justifie : sans cette relation, consulter le fichier n'avait pas de base légale (art. 6.1 RGPD).

L'amende de départ était de 2 000 €. Elle a été réduite de 40 % —20 % pour reconnaissance de responsabilité et 20 % pour paiement volontaire dans les délais— et a été ramenée à 1 200 €.

Lisez la décision complète (PDF, aepd.es)

Cas 3 — Que s'est-il passé avec un appel commercial non sollicité ?

Dossier EXP202312711 (décision PS-00084-2024). L'appel a eu lieu en 2023 ; l'AEPD a ouvert la procédure de sanction en mai 2024.

Une entreprise de marketing (Adverbis Spain, S.L.) a passé un appel automatique vers un numéro inscrit sur la Lista Robinson, le registre des personnes qui ne veulent pas de publicité. La personne qui a reçu l'appel a demandé qu'on arrête. Adverbis a fait valoir qu'il s'agissait d'un appel B2B, sans visée commerciale envers des consommateurs, et que le numéro figurait dans des annuaires publics. L'AEPD ne l'a pas admis : l'appel enfreignait la Ley General de Telecomunicaciones, la loi espagnole sur les télécommunications (art. 66.1.b), une norme que l'AEPD applique également dans ce type de cas.

L'amende : 5 000 €.

Lisez la décision complète (PDF, aepd.es)

Qu'ont en commun les trois cas ?

Trois choses, et aucune n'est de la « malchance » :

• Le manquement est précis et visible de l'extérieur. Un panneau à moitié rempli, un appel qui n'aurait pas dû être passé, une consultation sans justification écrite. Il n'est pas besoin d'une grande violation de données pour se retrouver dans une décision : il suffit d'un papier qui manque.
• Le dossier commence presque toujours par une réclamation d'une personne précise, et non par une inspection surprise. Les trois cas démarrent avec quelqu'un —un client, un voisin, la personne qui a reçu l'appel— qui dépose une plainte auprès de l'AEPD.
• Le montant est proportionnel à la taille du manquement, pas à la peur qu'inspire le mot « RGPD ». 500 €, 1 000 €, 1 200 €, 5 000 € : loin des 20 millions parfois cités en titre. Le RGPD fixe ces maximums à l'article 83 (jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial annuel, et jusqu'à 20 millions ou 4 %, selon l'infraction), mais il s'agit du plafond légal, pas de ce qui est habituel pour une petite entreprise qui répond quand on l'interroge.

Peut-on réduire une amende une fois le dossier ouvert ?

Oui, et le cas 2 le montre avec des chiffres réels. Lorsque l'AEPD ouvre une procédure de sanction, l'entreprise peut reconnaître sa responsabilité et payer l'amende proposée dans les délais. Chacune de ces deux actions donne une réduction de 20 %, cumulables : jusqu'à 40 % de moins que le montant de départ (art. 85 de la Ley 39/2015, del Procedimiento Administrativo Común, la loi espagnole de procédure administrative commune, appliqué par l'AEPD dans ses décisions). Cela ne remplace pas les conseils de votre gestoría (le cabinet espagnol de gestion administrative et fiscale) si vous recevez une notification de l'AEPD : c'est une information générale, pas une instruction pour votre cas.

Comment évitez-vous de figurer sur cette liste ?

Les trois cas de cet article auraient pu être évités avec des documents qui se préparent en minutes, pas en semaines :

• Si vous avez des caméras, le panneau d'information doit porter les trois informations que demande l'AEPD : qui est le responsable, où exercer ses droits et où obtenir plus d'informations. Ce que votre panneau de vidéosurveillance doit porter, selon l'AEPD.
• Si vous envoyez de la publicité ou appelez des clients, vérifiez d'abord que vous avez leur consentement pour ce canal précis et qu'ils ne figurent pas sur la Lista Robinson.
• Si vous consultez un fichier d'impayés ou toute donnée d'un tiers, mettez par écrit le motif légal avant de le faire, pas après qu'on vous l'a demandé.

Tranquilia génère ces documents et le reste de votre dossier RGPD à partir d'un questionnaire de 15 minutes, avec le motif légal de chacun déjà rédigé. Essayez gratuitement avec 2 entreprises, sans carte et sans limite de temps.

Questions fréquentes

Quel montant l'AEPD peut-elle infliger à une PME ?

Cela dépend de l'infraction et de la façon dont l'entreprise répond. Dans les trois cas réels de cet article, les amendes vont de 500 € à 5 000 €. Le RGPD fixe des maximums légaux allant jusqu'à 10 millions d'euros ou 2 % du chiffre d'affaires mondial, et jusqu'à 20 millions ou 4 %, selon l'article 83 du RGPD, mais ces chiffres sont le plafond, pas la règle pour une petite entreprise.

L'AEPD inspecte-t-elle les entreprises au hasard ?

Dans les trois cas de cet article, le dossier commence par une réclamation d'une personne précise, et non par une inspection surprise. L'AEPD peut aussi agir d'office, mais l'origine la plus fréquente dans ces cas est une plainte.

Puis-je réduire une amende si je reconnais le manquement ?

Oui. Reconnaître sa responsabilité et payer dans les délais peut réduire l'amende jusqu'à 40 % au total, comme le montre le cas 2 de cet article (de 2 000 € à 1 200 €).

Où sont publiées les décisions réelles de l'AEPD ?

Dans le moteur de recherche des décisions d'aepd.es, avec le numéro de dossier et le texte intégral. Les amendes supérieures à 1 million d'euros infligées à des entreprises sont en outre publiées au BOE.

Cela signifie-t-il que Tranquilia vous rend « légal » face à l'AEPD ?

Non. Tranquilia organise le travail et prépare les bons documents, avec les références légales de chacun. La décision et la signature vous appartiennent, à vous ou à votre gestoría. Ce n'est pas une certification officielle ni un avis juridique.

Sources et méthodologie

Les trois cas de cet article sont des décisions publiques de l'AEPD, citées avec leur numéro de dossier et reliées au PDF d'origine sur aepd.es. Les chiffres de 2024 (281 amendes, 35 592 200 €, 18 855 réclamations) proviennent de la Memoria Anual 2024 de la AEPD. Les maximums légaux de l'article 83 proviennent du texte du RGPD sur EUR-Lex. Nous n'incluons aucun chiffre, cas ou statistique que nous n'ayons pu vérifier auprès d'une source officielle : si une donnée n'était pas confirmée, nous l'avons laissée de côté plutôt que de l'approximer.

Article rédigé par Tranquilia by GRAC SA. Date de publication : 16 juillet 2026. Dernière révision : 16 juillet 2026. Ce contenu a une finalité informative et ne constitue pas un conseil juridique individualisé.