Temps de lecture : 5 min
Points clés à retenir
- Normes illogiques : le RGPD pousse les entreprises à respecter des procédures coûteuses plutôt qu’à sécuriser leurs bases de données. Résultat : les fuites explosent, les amendes aussi.
- A qui profite l’amende ? Les sanctions pécuniaires remplissent les caisses de l’État sans aucun lien avec la réparation du préjudice subi par les victimes. Un fiasco juridique et économique.
- Impasse européenne : la France tente d’aligner sa réponse graduée sur le droit européen, tandis que la CNIL serre la vis. En pratique, les entreprises – surtout les PME – sont prises en étau.
Le constat brut d’un think-tank libéral
Le Figaro a révélé en exclusivité une note de Génération Libre, fondé par le philosophe Gaspard Koenig, qui taille en pièces le modèle réglementaire européen de protection des données. En dix pages, le chercheur Grégory Lenne démonte le RGPD point par point. Son verdict : un échec cuisant. Sur le terrain, les entreprises et l’administration se noient dans des règles illogiques sans jamais améliorer la sécurité réelle de leurs bases de données.
Normes absurdes, amendes record qui ne profitent qu’à l’État… Décortiquons ça. Ce n’est pas un énième pamphlet idéologique, mais une analyse bâtie sur des faits chiffrés et une expérience de terrain.
Les chiffres qui fâchent : fuites en hausse, sécurité en berne
D’après les données compilées par la note, le nombre de fuites de données déclarées en France a triplé entre 2021 et 2025. En mai 2026, la tendance ne s’inverse pas : chaque semaine apporte son lot de violations impliquant des millions d’enregistrements. Pendant ce temps, les dépenses de conformité RGPD explosent : études d’impact, audits, procédures de notification… Autant de coûts que les PME peinent à supporter, sans garantie d’une meilleure sécurité.
Ce qui compte vraiment, c’est que le régulateur lui-même semble admettre l’impasse. La CNIL a annoncé en avril vouloir « serrer la vis » aux détenteurs de grandes bases de données. Mais serrer la vis sur quoi ? Sur la conformité procédurale ? Pas sur la cyber-résilience. Et c’est là que le bât blesse.
A qui profitent les amendes ? Pas aux victimes
Autre point d’achoppement soulevé par la note : les amendes RGPD ne réparent pas le préjudice des victimes. Contrairement à ce que beaucoup imaginent, elles ne sont pas redistribuées. Elles abondent le budget de l’État – ou de la CNIL. Une sanction de 50 millions d’euros (comme celle infligée à un grand réseau social en 2024) ne va ni indemniser les utilisateurs ni financer des programmes de cybersécurité pour les PME.
En pratique, ce système punitif transforme la protection des données en un guichet de recettes indirectes, tout en accentuant la pression sur les budgets informatiques des entreprises. C’est un fiasco économique qui nuit à la compétitivité, sans régler le problème initial.
Normes illogiques : le cas typique du cloisonnement des données
Le Conseil d’État a jugé fin avril 2026 que la réponse graduée française (contre le piratage en ligne) n’était « pas conforme au droit européen », car elle n’imposait pas aux opérateurs de conserver les données de manière cloisonnée auprès de l’Arcom. C’est un cas d’école : la règle technique est contournée, mais l’objectif de fond – protéger les données personnelles – est oublié. Les entreprises passent leur temps à interpréter des textes alambiqués au lieu de déployer du chiffrement ou de la segmentation réseau sérieuse.
Sans langue de bois : à l’heure où l’IA soulève de nouveaux enjeux avec l’IA Act (amendes jusqu’à 20 millions d’euros ou 4 % du CA mondial), le modèle européen semble s’enfoncer dans la complexité procédurale. Pendant ce temps, les GAFAM et les cybercriminels, eux, n’attendent pas la prochaine directive.
Que faire, concrètement, pour les PME et les DSI ?
Passons au concret. Face à ce constat, je préconise plusieurs pistes pour reprendre le contrôle :
- Prioriser la sécurité, pas la paperasse : allouer le budget RGPD à des tests d’intrusion, à la formation des équipes et au chiffrement de bout en bout plutôt qu’à des audits juridiques hors de prix.
- Choisir un Data Protection Officer (DPO) technique : un juriste seul ne suffit pas. Le DPO doit comprendre l’architecture cloud et les API, sinon il rédigera des politiques inapplicables.
- Anticiper l’impact de l’IA Act : dès maintenant, cartographier les usages de l’IA dans votre SI. Cela évitera les amendes et, surtout, sécurisera les données utilisées par les systèmes décisionnels.
- Réclamer une réforme du partage des amendes : les entreprises pourraient exiger une réaffectation des sanctions vers des fonds de cybersécurité mutualisés, via les fédérations professionnelles.
Sur le terrain, je vois trop de DSI crouler sous les notices RGPD sans jamais toucher à un pare-feu. Le modèle européen tel qu’il est appliqué nous éloigne du but. Il est urgent de passer d’une logique de conformité formelle à une logique de cyber-résilience réelle. C’est le seul moyen d’enrayer le fiasco des fuites de données.
Sources : Note de Génération Libre, Le Figaro (mai 2026), données CNIL.
Ingénieur systèmes et architecte cloud pendant 8 ans chez un leader européen de l’hébergement, reconverti dans l’analyse tech et business. Passionné par l’intersection entre infrastructure IT, IA générative et transformation digitale des entreprises. J’aide les décideurs et les équipes techniques à naviguer dans l’écosystème tech sans bullshit marketing.