Publié le 31 août 2026 · L'équipe mitza.es
L'Agence espagnole de protection des données (AEPD) a intensifié son activité de contrôle en 2026, avec un montant annuel de sanctions qui dépasse déjà les 40 millions d'euros. Les dernières amendes montrent que ni la taille ni le budget juridique d'une entreprise ne la protègent des erreurs de base dans le traitement des données personnelles.
Les amendes les plus significatives de l'année
- Vodafone Espagne : 1 050 000 euros pour absence de base légale valable pour le traitement de certaines données personnelles.
- Amadeus IT Group : 14 400 000 euros, l'une des sanctions les plus élevées de l'année, pour avoir cumulé deux manquements fréquents chez les entreprises technologiques qui agrègent des données de tiers : traiter des données sans base légale et informer insuffisamment les personnes concernées.
- Aena : plus de 10 000 000 euros pour avoir déployé des systèmes de reconnaissance faciale sans avoir réalisé au préalable une Analyse d'Impact relative à la Protection des Données (AIPD), comme l'exige l'article 35 du RGPD.
- Un établissement bancaire : 890 000 euros pour son système de scoring de crédit basé sur l'intelligence artificielle.
Un schéma qui se répète : ce n'est pas la donnée, c'est le processus
Aucune de ces sanctions ne résulte d'une fuite de données comme celles que nous avons déjà évoquées dans notre article sur la hausse des ransomwares cette année. Elles partagent toutes la même origine : des processus internes qui n'ont pas correctement documenté pourquoi certaines données étaient collectées, qui n'ont pas informé clairement les utilisateurs, ou qui n'ont pas évalué l'impact d'une nouvelle technologie (reconnaissance faciale, IA de scoring) avant sa mise en service.
Pourquoi cela concerne aussi les sites des PME
Même si ces chiffres concernent de grandes entreprises, les erreurs de fond sont exactement les mêmes que celles que peut commettre n'importe quel site doté d'un formulaire de contact, d'une newsletter ou d'un chatbot : collecter des données sans base légale claire, ne pas expliquer à quoi elles servent, ou intégrer un outil d'IA (comme un assistant WhatsApp Business) sans avoir vérifié au préalable quelles données il traite et comment cela est communiqué à l'utilisateur.
Ce qu'il faut vérifier sur votre propre site
- Que chaque formulaire indique clairement quelles données il collecte et à quoi elles servent.
- Qu'il existe une base légale identifiable pour chaque traitement de données, pas seulement une case à cocher générique.
- Que tout nouvel outil traitant des données d'utilisateurs (IA comprise) soit vérifié avant sa mise en service, pas après.
- Que la politique de confidentialité soit à jour et reflète ce que le site fait réellement, et non un modèle générique.
Prévenir coûte moins cher que corriger
Les chiffres de cette année montrent clairement que l'agence contrôle plus en détail que jamais. Si vous voulez savoir si votre site présente un point faible dans le traitement des données avant que cela ne devienne un problème, vous pouvez demander un audit technique qui passe en revue les formulaires, les cookies et les flux de données de votre projet.