Les 3 dates majeures du RGPD à retenir : 27 avril 2016 (adoption du règlement), 4 mai 2016 (entrée en vigueur, publication au Journal officiel de l’UE) et 25 mai 2018 (entrée en application, date à laquelle la conformité devient obligatoire et sanctionnable). Mais l’histoire de la protection des données en France commence bien avant : dès 1978, avec la première loi Informatique et Libertés. Cette page vous donne la chronologie complète, de 1978 à 2026.
⏱ L’essentiel en 30 secondes
- 1978 : première loi française Informatique et Libertés, création de la CNIL.
- 27 avril 2016 : adoption du RGPD · 4 mai 2016 : entrée en vigueur · 25 mai 2018 : entrée en application.
- 2 ans se sont écoulés entre l’adoption et l’application, pour laisser aux entreprises le temps de se mettre en conformité.
- Depuis 2018, les sanctions CNIL n’ont cessé de s’alourdir : 486,8 M€ cumulés rien qu’en 2025.
Chronologie visuelle complète : de 1978 à 2026
Première grande loi française sur la protection des données personnelles, adoptée avant même l’existence d’internet grand public. Elle crée la CNIL (Commission nationale de l’informatique et des libertés), toujours en fonction aujourd’hui.
Premier cadre européen harmonisé sur la protection des données, transposé dans chaque État membre. Elle restera le texte de référence pendant plus de 20 ans, jusqu’au RGPD.
Viviane Reding, alors commissaire européenne à la Justice, présente la proposition qui deviendra le RGPD. Début de 4 années de négociations entre États membres.
Le Parlement européen et le Conseil adoptent définitivement le texte. C’est la date d’adoption du RGPD.
Le règlement est publié et entre en vigueur juridiquement, mais son application est différée de 2 ans pour laisser aux entreprises le temps de s’y préparer.
Date charnière : le RGPD devient pleinement contraignant et sanctionnable dans toute l’Union européenne. La directive 95/46/CE est abrogée.
La France adapte sa loi de 1978 pour l’articuler avec le RGPD et renforce les pouvoirs de sanction de la CNIL.
Premier signal fort : la CNIL sanctionne un manque de transparence et de consentement valide. La mise en application du RGPD devient concrète.
Multiplication des campagnes de contrôle CNIL (cookies, prospection, RH), avec des sanctions touchant progressivement des PME.
La CNIL sanctionne deux acteurs majeurs pour des manquements aux règles sur les cookies et traceurs — les plus grosses amendes jamais prononcées par l’autorité française.
Suite à l’intrusion d’octobre 2024 ayant compromis des millions d’abonnés, la CNIL sanctionne un défaut de sécurité (article 32 du RGPD).
Défaut de sécurisation des données des demandeurs d’emploi, illustrant que le secteur public n’est pas épargné.
Tableau récapitulatif des dates et événements
| Date | Évènement | Ce que ça change |
|---|---|---|
| 1978 | Loi Informatique et Libertés (France) | Première loi française sur les données personnelles ; création de la CNIL |
| 24/10/1995 | Directive 95/46/CE | Premier cadre européen harmonisé sur la protection des données |
| 25/01/2012 | Proposition de règlement RGPD | Lancement du processus législatif européen |
| 27/04/2016 | Adoption du Règlement (UE) 2016/679 | Le texte du RGPD est définitivement voté |
| 04/05/2016 | Publication au JOUE — entrée en vigueur | Début du compte à rebours de 2 ans avant application |
| 25/05/2018 | Entrée en application du RGPD | Obligations pleinement opposables et sanctionnables |
| 20/06/2018 | Loi Informatique et Libertés révisée | Transposition française, pouvoirs CNIL renforcés |
| Janvier 2019 | Amende CNIL de 50 M€ contre Google | Première sanction record, signal fort d’application |
| 03/09/2025 | Amendes Google (325 M€) et Shein (150 M€) | Records historiques sur les manquements cookies |
| 13/01/2026 | Sanctions Free Mobile et Free (42 M€ cumulés) | Illustration des sanctions pour défaut de sécurité |
| 22/01/2026 | Sanction France Travail (5 M€) | Le secteur public est aussi sanctionné |
Votre entreprise est-elle à jour de ses obligations ?
Un spécialiste fait le point avec vous en 30 min.
Avant le 25 mai 2018 : la période de transition (2016-2018)
Entre l’adoption du règlement le 27 avril 2016 et son entrée en application le 25 mai 2018, les entreprises ont bénéficié d’une période de transition de deux ans. Cette fenêtre n’était pas une période de grâce mais bien un délai accordé pour se préparer. Les organisations devaient impérativement :
- cartographier l’ensemble de leurs traitements de données personnelles ;
- désigner un Délégué à la Protection des Données (DPO) lorsque cela était requis ;
- mettre à jour leurs politiques de confidentialité et leurs mentions légales ;
- réviser les contrats avec les sous-traitants (clauses de traitement des données) ;
- mettre en place des procédures de notification de violations de données dans les 72 heures.
Beaucoup de TPE et PME françaises ont sous-estimé l’ampleur du chantier. La CNIL avait pourtant multiplié les guides pratiques et les actions de sensibilisation tout au long de la période 2016-2018. Pour aller plus loin sur vos obligations actuelles, consultez notre guide de conformité RGPD pour les PME.
Le 25 mai 2018 : l’entrée en application et ses conséquences immédiates
Le 25 mai 2018 marque un tournant irréversible dans la protection des données personnelles en Europe. Dès cette date, la directive 95/46/CE est officiellement abrogée et le Règlement UE 2016/679 devient pleinement contraignant. Concrètement, pour toute entreprise traitant des données de personnes physiques situées dans l’UE :
- le principe d’accountability (responsabilité proactive) s’impose : chaque responsable de traitement doit être en mesure de démontrer sa conformité ;
- les droits des personnes (accès, rectification, effacement, portabilité, opposition) sont directement exerçables ;
- les autorités de contrôle nationales (la CNIL en France) disposent d’un pouvoir de sanction effectif pouvant atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial ;
- toute violation de données personnelles doit être notifiée à la CNIL dans un délai de 72 heures.
À retenir : Le RGPD s’applique à toute organisation — y compris les TPE et PME — dès lors qu’elle collecte ou traite des données personnelles de résidents européens, que son siège soit en France ou à l’étranger. La taille de l’entreprise ne dispense pas de l’obligation de conformité.
Après 2018 : les dates importantes pour le suivi de la conformité
La conformité RGPD n’est pas un état figé obtenu une fois pour toutes en mai 2018 : c’est un processus continu que les entreprises doivent entretenir. Plusieurs événements postérieurs à l’entrée en application ont redéfini le paysage réglementaire :
En janvier 2019, la CNIL prononce une amende de 50 millions d’euros à l’encontre de Google pour manque de transparence et de consentement valide — premier signal fort que les géants du numérique ne sont pas les seuls visés. En 2020 et 2021, les autorités européennes accélèrent leurs investigations, notamment dans les secteurs de la santé, du e-commerce et de la publicité ciblée. Depuis 2022, la CNIL mène des campagnes de contrôle thématiques (cookies, prospection commerciale, ressources humaines) qui touchent régulièrement des PME françaises. En 2025, l’autorité française prononce un montant record de 486,8 millions d’euros d’amendes cumulées, porté par les sanctions Google et Shein, et poursuit sur ce rythme en 2026 avec Free, Free Mobile et France Travail.
Ce que ces dates signifient concrètement pour votre entreprise
Retenir la date du 25 mai 2018 ne suffit pas : ce qui importe, c’est de comprendre ce que chaque étape de la chronologie RGPD implique pour votre organisation aujourd’hui. Voici les obligations permanentes héritées de ce calendrier :
| Obligation | Origine réglementaire | Fréquence de mise à jour recommandée |
|---|---|---|
| Registre des traitements | Art. 30 RGPD (applicable depuis mai 2018) | À chaque nouveau traitement ou changement significatif |
| Politique de confidentialité | Art. 13 et 14 RGPD | Au minimum une fois par an et après tout changement |
| Gestion des cookies et consentement | RGPD + loi Informatique et Libertés + lignes directrices CNIL | Continu ; bandeau à maintenir à jour selon recommandations CNIL |
| Procédure de notification de violation | Art. 33 RGPD (72 heures) | À tester au moins une fois par an |
| Contrats sous-traitants (DPA) | Art. 28 RGPD | À chaque nouveau prestataire ou renouvellement de contrat |
⚠ Attention : Depuis 2022, la CNIL peut sanctionner les entreprises de toute taille, y compris les artisans, commerçants et TPE. Les amendes prononcées contre des petites structures restent inférieures aux plafonds théoriques mais peuvent atteindre plusieurs dizaines de milliers d’euros — un montant potentiellement fatal pour une PME. Ne remettez pas votre mise en conformité à plus tard.
Votre mise en conformité RGPD est-elle à jour ?
Diagnostic cybersécurité et conformité offert, sans engagement, en 30 minutes.
Demander mon diagnostic offert
TPE & PME · Réponse sous 24 h ouvrées · Var / PACA & toute la France à distance
FAQ — Questions fréquentes sur les dates du RGPD
Pourquoi 2 ans se sont-ils écoulés entre 2016 et 2018 ?
Quelle est la date d’entrée en application du RGPD ?
Quelle directive le RGPD a-t-il remplacée ?
Le RGPD s’applique-t-il aux petites entreprises (TPE/PME) ?
Aller plus loin
- RGPD en entreprise : le guide de conformité pour les PME
- Le texte officiel du RGPD — structure du règlement et articles clés.
- Demander un diagnostic offert
Rédigé par l’équipe cyber-diagnostic.fr — mis à jour le 2 juillet 2026.
Laisser un commentaire