Éviter les mises en demeure RGPD en 2026 : arrêts de la Cour fédérale de justice, pièges financiers et checklist pratique

Par Tobias Massow · 24 mars 2026 · 12 min de lecture

4:32 Min. de lecture

Depuis mars 2025, les concurrents peuvent contester les violations du RGPD via le droit de la concurrence déloyale (UWG) – la Cour fédérale de justice (BGH) a ouvert la porte. Parallèlement, un deuxième arrêt de la BGH confirme : la simple perte de contrôle sur des données à caractère personnel ouvre droit à une indemnisation – avec un barème indicatif de 100 euros par personne concernée. Pour les entreprises, cela signifie que des bannières cookies défectueuses, des mentions légales obsolètes ou l’utilisation de Google Fonts sans hébergement local ne représentent plus seulement un risque d’amende, mais une invitation lancée à la concurrence.

Les points clés en bref

Arrêt de la BGH du 27 mars 2025 (I ZR 186/17) : les violations du RGPD sont désormais contestables via le droit de la concurrence (UWG). Concurrents et associations de consommateurs peuvent agir en justice – sans mandat d’une personne concernée (BGH).
Arrêt de la BGH du 18 novembre 2024 (VI ZR 10/24) : perte de contrôle des données = dommage immatériel. Pas de montant minimal, barème indicatif d’environ 100 euros par personne concernée (BGH).
266 amendes RGPD en Allemagne en 2024, pour un total de 2,5 millions d’euros. Amende individuelle la plus élevée : 900 000 euros pour des durées de conservation excessives (dsgvo-portal.de).
Vague de mises en demeure liées à Google Fonts en 2022/2023 : des milliers d’exploitants de sites concernés. Le tribunal de Munich a stoppé cette vague, la jugeant abusive (TGI Munich I, 2023).
Obligation d’étiquetage selon l’AI Act à partir d’août 2026 : les violations liées aux contenus d’intelligence artificielle pourraient devenir contestables selon les principes du UWG. Amendes pouvant atteindre 35 millions d’euros ou 7 % du chiffre d’affaires annuel.

BGH mars 2025 : le tournant pour les mises en demeure RGPD

Jusqu’au 27 mars 2025, il était contesté de savoir si les violations du RGPD pouvaient être sanctionnées par le droit de la concurrence. La BGH a tranché définitivement par l’affirmative (I ZR 186/17, I ZR 222/19, I ZR 223/19) : les atteintes à la protection des données constituent des infractions aux règles de comportement sur le marché selon l’article 3a UWG.

Le raisonnement : les données à caractère personnel ont une valeur économique. Toute personne qui les traite illégalement s’octroie un avantage concurrentiel déloyal. Concurrents et associations de consommateurs peuvent désormais engager des poursuites civiles – sans mandat individuel d’une personne concernée.

Pour les entreprises, cela signifie qu’en plus des amendes prononcées par les autorités de protection des données, une deuxième menace apparaît. Un concurrent respectant mieux le RGPD peut désormais mettre en demeure son concurrent – et lui faire prendre en charge les frais.

266

amendes RGPD en Allemagne en 2024 – totalisant 2,5 millions d’euros

Source : dsgvo-portal.de, bilan annuel 2024

Perte de contrôle = dommage : le deuxième arrêt de la BGH

Le 18 novembre 2024, la BGH (VI ZR 10/24) a statué dans le cadre de la fuite de données liée au scraping Facebook : la simple perte de contrôle sur des données à caractère personnel ouvre droit à une indemnisation pour dommage immatériel selon l’article 82 du RGPD. Il n’est pas nécessaire de prouver que les données ont effectivement été utilisées à mauvais escient.

Important : une simple violation du RGPD ne suffit pas. Un dommage concret doit être survenu et prouvé. Mais le seuil est bas – un transfert de données incontrôlé suffit. Le barème indicatif de la BGH : environ 100 euros par personne concernée. Pour une fuite impliquant 10 000 personnes, cela représente un risque d’indemnisation d’un million d’euros.

« Les violations de la protection des données sont considérées comme des infractions aux règles de comportement sur le marché, car les données à caractère personnel ont une valeur économique et les manquements aux obligations d’information entravent les décisions éclairées des consommateurs. »
– BGH, arrêt du 27 mars 2025 (I ZR 186/17)

Les cinq motifs d’avertissement les plus fréquents en 2025/2026

1. Déclaration de confidentialité incorrecte ou manquante : Le déclencheur le plus courant. La déclaration doit être complète, mentionner tous les outils et prestataires utilisés, et être facilement accessible (lien dans le pied de page sur chaque page). L’absence d’informations sur l’hébergement, le suivi ou les services intégrés suffit à motiver un avertissement.

2. Bannière de cookies sans opt-in effectif : L’article 25 du TDDDG (en vigueur depuis mai 2024, précédemment TTDSG) exige un opt-in actif pour les cookies non essentiels. Les cases pré-cochées sont illégales depuis l’arrêt Planet49 (Cour de justice de l’UE 2019, BGH 2020). « Continuer à naviguer = consentement » est juridiquement irrecevable. Les erreurs techniques – comme le fait de déposer des cookies malgré le refus – sont particulièrement risquées.

3. Google Fonts sans hébergement local : Le tribunal régional de Munich (2022) a statué que le chargement dynamique de Google Fonts transmet l’adresse IP de l’utilisateur aux serveurs de Google sans son consentement. Bien que la vague de mises en demeure de masse qui a suivi ait été jugée abusive, l’interprétation juridique sous-jacente reste valable. Solution : héberger Google Fonts en local.

4. Newsletter sans double opt-in : L’envoi de publicité par e-mail sans preuve d’un consentement valable est passible d’avertissement, tant selon l’article 7 alinéa 2 UWG que selon le RGPD. La charge de la preuve du consentement incombe à l’entreprise.

5. Suivi (tracking) sans consentement : Google Analytics, Meta Pixel et des outils similaires exigent un consentement informé et actif avant tout transfert de données. Si un outil de suivi n’est pas correctement mentionné dans la déclaration de confidentialité, cela constitue en soi une infraction.

Google Fonts : la vague d’avertissements et ses enseignements

En août 2022 a débuté une vague massive d’avertissements : un avocat berlinois a envoyé, au nom de Martin Ismail et de l’« IG Datenschutz », des milliers de lettres de mise en demeure à des exploitants de sites web – montants modestes (trois chiffres), délais courts. Fondement juridique : l’arrêt du tribunal régional de Munich de janvier 2022 (réf. 3 O 17493/20), qui avait accordé 100 euros de dommages-intérêts pour la transmission non autorisée d’adresses IP à Google.

Le même tribunal a mis fin à cette vague en mars 2023 (réf. 4 O 13063/22) : les avertissements de masse ont été jugés abusifs, car l’auteur utilisait un robot automatisé. Le droit au dommage-intérêt en cas d’intégration non autorisée de Google Fonts subsiste toutefois – seul l’usage systématique abusif a été interdit.

Combien coûte un avertissement ?

Poste de coût	Montant	Base légale
Honoraires d’avocat (valeur litigieuse : 5 000 euros)	environ 808 euros	1,3 honoraire d’affaire RVG + forfait + TVA
Dommages-intérêts (perte de contrôle)	environ 100 euros par personne	BGH VI ZR 10/24 (valeur indicative)
Amende de l’autorité de protection des données	jusqu’à 20 millions d’euros / 4 % du chiffre d’affaires	Art. 83 RGPD

Privilège tarifaire pour les PME : En cas d’avertissement fondé sur le droit de la concurrence et émanant d’un concurrent, les demandes de remboursement des frais sont supprimées selon l’article 13 alinéa 4 UWG pour les entreprises de moins de 250 salariés. Pour celles de moins de 100 salariés, aucune déclaration d’engagement assortie de pénalités ne peut être exigée en cas de première infraction.

AI Act : le prochain terrain d’avertissements à partir d’août 2026

Le règlement européen sur l’intelligence artificielle (AI Act, art. 50) impose, à compter d’août 2026, une obligation de marquer les contenus générés par l’IA. Les deepfakes – contenus visuels, audio ou vidéo générés ou manipulés par l’IA et réalistes – devront être clairement identifiés comme tels. La définition est volontairement large : elle couvre non seulement les personnes, mais aussi les produits, lieux et situations.

Le risque d’avertissement : selon la logique de l’arrêt de la Cour fédérale de justice (BGH) de mars 2025, les violations de l’AI Act pourraient être sanctionnées comme des infractions aux règles de comportement sur le marché au titre de la loi UWG. Les amendes prévues par l’AI Act sont drastiques : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel mondial. Il n’existe encore aucune jurisprudence à ce sujet – mais l’analyse juridique est sans équivoque.

Liste de contrôle pratique : éviter les mises en demeure DSGVO

Vérifier la déclaration de confidentialité : Tous les outils utilisés, prestataires d’hébergement et services tiers sont-ils nommés ? La date est-elle à jour ? Le lien est-il facilement accessible (dans le pied de page) ? Des contrats de traitement des données ont-ils été conclus avec tous les prestataires ?
Tester le bandeau cookies : Les cookies ne sont-ils déposés qu’après un consentement actif (opt-in) ? Le bouton « Refuser » est-il aussi visible que le bouton « Accepter » ? Aucune case à cocher n’est-elle pré-cochée ? Vérifier techniquement – pas seulement l’interface utilisateur.
Héberger localement les polices Google : Télécharger les polices et les servir depuis son propre serveur. Aucun chargement dynamique depuis fonts.googleapis.com. Vérifier également les intégrations Google Maps et YouTube.
Documenter les consentements à la newsletter : Conserver les preuves de double opt-in. Chaque e-mail doit contenir un lien de désabonnement fonctionnel. En cas de doute, faire vérifier par un avocat.
Valider les consentements au suivi : Ne charger Google Analytics, Meta Pixel et outils similaires qu’après un consentement actif. Les mentionner correctement dans la déclaration de confidentialité. Activer l’anonymisation de l’adresse IP.
Identifier les contenus générés par l’IA : Obligation légale à partir d’août 2026 selon l’AI Act. Déjà une bonne pratique aujourd’hui : indiquer clairement les textes, images ou vidéos générés par l’IA.
Effectuer des vérifications régulières : Analyser son site trimestriellement avec un scanner DSGVO (Cookiebot, OneTrust ou équivalent). Mettre à jour intégralement la déclaration de confidentialité une fois par an.

Conclusion : la conformité n’est plus une option, mais une protection concurrentielle

L’arrêt de la Cour fédérale de justice (BGH) de mars 2025 a changé les règles du jeu. La conformité au RGPD n’est plus seulement une affaire entre entreprise et autorité de protection des données – c’est devenu un facteur concurrentiel. Celui qui ne maîtrise pas son site offre gratuitement un outil à ses concurrents.

Le premier pas coûte peu : héberger localement les polices Google (une heure de travail), tester techniquement le bandeau cookies (un après-midi), faire mettre à jour la déclaration de confidentialité (un rendez-vous chez l’avocat). Ces trois mesures éliminent les points d’attaque les plus fréquents – avant que la concurrence ne les repère.

Foire aux questions

Chaque question est verrouillée. Un clic déverrouille la réponse.

Les concurrents peuvent-ils me mettre en demeure pour violation du RGPD ?

Oui, depuis l’arrêt de la Cour fédérale de justice (BGH) du 27 mars 2025 (I ZR 186/17). La BGH a qualifié les violations du RGPD de manquements aux règles de comportement sur le marché au sens du § 3a UWG. Concurrents et associations de consommateurs peuvent désormais agir sans mandat individuel d’une personne concernée.

Quel montant de dommages et intérêts encourt-on en cas de violation du RGPD ?

La Cour fédérale de justice a fixé en novembre 2024 un montant indicatif d’environ 100 euros par personne concernée pour perte de contrôle des données personnelles. Il n’existe aucune limite de bagatelle. En cas de fuite de données touchant de nombreuses personnes, le montant s’élève rapidement. Certains tribunaux ont accordé jusqu’à 5 000 euros par personne.

Dois-je héberger localement les polices Google ?

Si vous ne disposez pas d’un consentement valable pour le transfert de données à Google : oui. Le tribunal régional de Munich a jugé en 2022 qu’intégrer dynamiquement les polices sans consentement constitue une violation du RGPD. La solution la plus simple : télécharger les polices et les servir depuis votre propre serveur. Cette règle s’applique de façon analogue aux intégrations Google Maps et autres ressources externes.

Combien coûte une mise en demeure RGPD ?

Les honoraires d’avocat s’élèvent à environ 808 euros pour une valeur litigieuse de 5 000 euros. S’ajoutent d’éventuels dommages et intérêts (environ 100 euros par personne concernée). Les PME de moins de 250 salariés bénéficient d’un privilège de coût (§ 13 al. 4 UWG) : l’indemnisation des frais est exclue dans les mises en demeure en matière de concurrence. Pour les entreprises de moins de 100 salariés, aucune déclaration d’engagement assortie de pénalités ne peut être exigée en cas de première infraction.

Quel est le rôle du règlement IA pour les mises en demeure ?

À partir d’août 2026, les contenus générés par l’intelligence artificielle devront être clairement identifiés (article 50 du règlement IA). Selon la logique appliquée par la Cour fédérale de justice allemande, les violations du règlement IA pourraient également être sanctionnées via des mises en demeure selon le droit de la concurrence déloyale (UWG). Les amendes sont sévères : jusqu’à 35 millions d’euros ou 7 % du chiffre d’affaires annuel. Il n’existe pas encore de jurisprudence à ce sujet, mais le risque est bien réel.