Les points cl\u00e9s en bref<\/p>\n
- \n
- Arr\u00eat de la BGH du 27 mars 2025 (I ZR 186\/17) : les violations du RGPD sont d\u00e9sormais contestables via le droit de la concurrence (UWG). Concurrents et associations de consommateurs peuvent agir en justice \u2013 sans mandat d\u2019une personne concern\u00e9e (BGH).<\/li>\n
- Arr\u00eat de la BGH du 18 novembre 2024 (VI ZR 10\/24) : perte de contr\u00f4le des donn\u00e9es = dommage immat\u00e9riel. Pas de montant minimal, bar\u00e8me indicatif d\u2019environ 100 euros par personne concern\u00e9e (BGH).<\/li>\n
- 266 amendes RGPD en Allemagne en 2024, pour un total de 2,5 millions d\u2019euros. Amende individuelle la plus \u00e9lev\u00e9e : 900 000 euros pour des dur\u00e9es de conservation excessives (dsgvo-portal.de).<\/li>\n
- Vague de mises en demeure li\u00e9es \u00e0 Google Fonts en 2022\/2023 : des milliers d\u2019exploitants de sites concern\u00e9s. Le tribunal de Munich a stopp\u00e9 cette vague, la jugeant abusive (TGI Munich I, 2023).<\/li>\n
- Obligation d\u2019\u00e9tiquetage selon l\u2019AI Act \u00e0 partir d\u2019ao\u00fbt 2026 : les violations li\u00e9es aux contenus d\u2019intelligence artificielle pourraient devenir contestables selon les principes du UWG. Amendes pouvant atteindre 35 millions d\u2019euros ou 7 % du chiffre d\u2019affaires annuel.<\/li>\n<\/ul>\n<\/div>\n
BGH mars 2025 : le tournant pour les mises en demeure RGPD<\/h2>\n
Jusqu\u2019au 27 mars 2025, il \u00e9tait contest\u00e9 de savoir si les violations du RGPD pouvaient \u00eatre sanctionn\u00e9es par le droit de la concurrence. La BGH a tranch\u00e9 d\u00e9finitivement par l\u2019affirmative (I ZR 186\/17, I ZR 222\/19, I ZR 223\/19) : les atteintes \u00e0 la protection des donn\u00e9es constituent des infractions aux r\u00e8gles de comportement sur le march\u00e9 selon l\u2019article 3a UWG.<\/p>\n
Le raisonnement : les donn\u00e9es \u00e0 caract\u00e8re personnel ont une valeur \u00e9conomique. Toute personne qui les traite ill\u00e9galement s\u2019octroie un avantage concurrentiel d\u00e9loyal. Concurrents et associations de consommateurs peuvent d\u00e9sormais engager des poursuites civiles \u2013 sans mandat individuel d\u2019une personne concern\u00e9e.<\/p>\n
Pour les entreprises, cela signifie qu\u2019en plus des amendes prononc\u00e9es par les autorit\u00e9s de protection des donn\u00e9es, une deuxi\u00e8me menace appara\u00eet. Un concurrent respectant mieux le RGPD<\/a> peut d\u00e9sormais mettre en demeure son concurrent \u2013 et lui faire prendre en charge les frais.<\/p>\n
\n266<\/div>\namendes RGPD en Allemagne en 2024 \u2013 totalisant 2,5 millions d\u2019euros<\/div>\nSource : dsgvo-portal.de, bilan annuel 2024<\/div>\n<\/div>\nPerte de contr\u00f4le = dommage : le deuxi\u00e8me arr\u00eat de la BGH<\/h2>\n
Le 18 novembre 2024, la BGH (VI ZR 10\/24) a statu\u00e9 dans le cadre de la fuite de donn\u00e9es li\u00e9e au scraping Facebook : la simple perte de contr\u00f4le sur des donn\u00e9es \u00e0 caract\u00e8re personnel ouvre droit \u00e0 une indemnisation pour dommage immat\u00e9riel selon l\u2019article 82 du RGPD. Il n\u2019est pas n\u00e9cessaire de prouver que les donn\u00e9es ont effectivement \u00e9t\u00e9 utilis\u00e9es \u00e0 mauvais escient.<\/p>\n
Important : une simple violation du RGPD ne suffit pas. Un dommage concret doit \u00eatre survenu et prouv\u00e9. Mais le seuil est bas \u2013 un transfert de donn\u00e9es incontr\u00f4l\u00e9 suffit. Le bar\u00e8me indicatif de la BGH : environ 100 euros par personne concern\u00e9e. Pour une fuite impliquant 10 000 personnes, cela repr\u00e9sente un risque d\u2019indemnisation d\u2019un million d\u2019euros.<\/p>\n
\n \u00ab Les violations de la protection des donn\u00e9es sont consid\u00e9r\u00e9es comme des infractions aux r\u00e8gles de comportement sur le march\u00e9, car les donn\u00e9es \u00e0 caract\u00e8re personnel ont une valeur \u00e9conomique et les manquements aux obligations d\u2019information entravent les d\u00e9cisions \u00e9clair\u00e9es des consommateurs. \u00bb
\n – BGH, arr\u00eat du 27 mars 2025 (I ZR 186\/17)<\/cite>\n<\/p><\/blockquote>\nLes cinq motifs d’avertissement les plus fr\u00e9quents en 2025\/2026<\/h2>\n
1. D\u00e9claration de confidentialit\u00e9 incorrecte ou manquante :<\/strong> Le d\u00e9clencheur le plus courant. La d\u00e9claration doit \u00eatre compl\u00e8te, mentionner tous les outils et prestataires utilis\u00e9s, et \u00eatre facilement accessible (lien dans le pied de page sur chaque page). L’absence d’informations sur l’h\u00e9bergement, le suivi ou les services int\u00e9gr\u00e9s suffit \u00e0 motiver un avertissement.<\/p>\n
2. Banni\u00e8re de cookies sans opt-in effectif :<\/strong> L’article 25 du TDDDG (en vigueur depuis mai 2024, pr\u00e9c\u00e9demment TTDSG) exige un opt-in actif pour les cookies non essentiels. Les cases pr\u00e9-coch\u00e9es sont ill\u00e9gales depuis l’arr\u00eat Planet49 (Cour de justice de l’UE 2019, BGH 2020). \u00ab Continuer \u00e0 naviguer = consentement \u00bb est juridiquement irrecevable. Les erreurs techniques \u2013 comme le fait de d\u00e9poser des cookies malgr\u00e9 le refus \u2013 sont particuli\u00e8rement risqu\u00e9es.<\/p>\n
3. Google Fonts sans h\u00e9bergement local :<\/strong> Le tribunal r\u00e9gional de Munich (2022) a statu\u00e9 que le chargement dynamique de Google Fonts transmet l’adresse IP de l’utilisateur aux serveurs de Google sans son consentement. Bien que la vague de mises en demeure de masse qui a suivi ait \u00e9t\u00e9 jug\u00e9e abusive, l’interpr\u00e9tation juridique sous-jacente reste valable. Solution : h\u00e9berger Google Fonts en local.<\/p>\n
4. Newsletter sans double opt-in :<\/strong> L’envoi de publicit\u00e9 par e-mail sans preuve d’un consentement valable est passible d’avertissement, tant selon l’article 7 alin\u00e9a 2 UWG que selon le RGPD. La charge de la preuve du consentement incombe \u00e0 l’entreprise.<\/p>\n
5. Suivi (tracking) sans consentement :<\/strong> Google Analytics, Meta Pixel et des outils similaires exigent un consentement inform\u00e9 et actif avant tout transfert de donn\u00e9es. Si un outil de suivi n’est pas correctement mentionn\u00e9 dans la d\u00e9claration de confidentialit\u00e9, cela constitue en soi une infraction.<\/p>\n
Google Fonts : la vague d’avertissements et ses enseignements<\/h2>\n
En ao\u00fbt 2022 a d\u00e9but\u00e9 une vague massive d’avertissements : un avocat berlinois a envoy\u00e9, au nom de Martin Ismail et de l’\u00ab IG Datenschutz \u00bb, des milliers de lettres de mise en demeure \u00e0 des exploitants de sites web \u2013 montants modestes (trois chiffres), d\u00e9lais courts. Fondement juridique : l’arr\u00eat du tribunal r\u00e9gional de Munich de janvier 2022 (r\u00e9f. 3 O 17493\/20), qui avait accord\u00e9 100 euros de dommages-int\u00e9r\u00eats pour la transmission non autoris\u00e9e d’adresses IP \u00e0 Google.<\/p>\n
Le m\u00eame tribunal a mis fin \u00e0 cette vague en mars 2023 (r\u00e9f. 4 O 13063\/22) : les avertissements de masse ont \u00e9t\u00e9 jug\u00e9s abusifs, car l’auteur utilisait un robot automatis\u00e9. Le droit au dommage-int\u00e9r\u00eat en cas d’int\u00e9gration non autoris\u00e9e de Google Fonts subsiste toutefois \u2013 seul l’usage syst\u00e9matique abusif a \u00e9t\u00e9 interdit.<\/p>\n
Combien co\u00fbte un avertissement ?<\/h2>\n
![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/dsgvo-2026-neuerungen-250x167.jpg\")
<\/span>![\"\"](\"https:\/\/www.securitytoday.de\/wp-content\/uploads\/2026\/03\/datenschutz-personalakten-2026-250x167.jpeg\")
<\/span>