Depuis l’entrée en vigueur du Règlement Général sur la Protection des Données (RGPD) en 2018, nombreuses sont les entreprises qui ont pris des mesures superficielles : une bannière de cookies par-ci, une politique de confidentialité copiée-collée par-là… Mais peu de dirigeants réalisent que leur responsabilité personnelle peut être engagée. Et pas seulement par une amende administrative de la CNIL.
Oui, vous pouvez être condamné pénalement.
Le RGPD n’est pas un simple règlement “bureaucratique”. Il s’inscrit dans un arsenal juridique plus vaste, qui inclut le Code pénal et la Loi Informatique et Libertés. Résultat : un dirigeant peut être poursuivi à titre individuel pour :
- collecte illégale de données personnelles,
- traitement sans base légale,
- atteinte aux droits des personnes (droit d’accès, d’opposition, de suppression…),
- défaut de sécurisation des données sensibles.
Et cela peut coûter cher.
Jusqu’à 5 ans d’emprisonnement et 300 000 € d’amende
Prenons un exemple concret. L’article 226-16 du Code pénal prévoit :
« Le fait, y compris par négligence, de procéder ou de faire procéder à un traitement de données à caractère personnel sans respecter les formalités préalables […] est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. »
Et ce n’est pas un cas isolé. D’autres articles (226-17 à 226-24) couvrent des infractions encore plus graves, notamment la collecte frauduleuse de données sensibles (origine raciale, opinions politiques, santé…).
Les dirigeants ne sont plus intouchables
Les juges n’hésitent plus à sanctionner les personnes physiques derrière les sociétés. En cas de violation grave, c’est le dirigeant (président, gérant, directeur) qui peut être poursuivi. Même si c’est un salarié ou un prestataire qui a mal géré les données, le dirigeant reste responsable au regard de son obligation de supervision.
Une négligence n’est pas une excuse
“Je ne savais pas”, “ce n’est pas moi qui gère ça”, “on a un DPO”… Ces excuses ne tiennent pas face à un juge. La jurisprudence est claire : le dirigeant est garant de la conformité de son entreprise, même s’il délègue. L’ignorance ou l’incompétence ne protègent pas, elles aggravent la faute.
Ce qu’un dirigeant responsable doit faire dès maintenant
- Cartographier les traitements de données dans l’entreprise
- Documenter les bases légales, durées de conservation, mesures de sécurité.
- Former les équipes et sensibiliser les prestataires.
- Mettre à jour les mentions légales, les politiques internes et les contrats.
- Lancer un audit RGPD complet, encadré par un professionnel compétent.
Le mot de la fin
Dirigeants : le RGPD est une responsabilité pénale, pas un gadget de conformité. Ne pas s’y conformer, c’est risquer non seulement la réputation de votre entreprise, mais aussi votre liberté et votre patrimoine personnel.
Vous voulez dormir tranquille ? Faites de la protection des données une priorité stratégique.