Cybersécurité : Comment le RGPD a généré jusqu’à 219 millions d'euros d’économies pour les entreprises

Longtemps perçu comme une contrainte réglementaire, le Règlement général sur la protection des données (RGPD) s'impose désormais comme un levier économique, avec jusqu'à 219 millions d'euros de pertes évitées en France depuis 2018, date d'entrée en application du texte.

Les bénéfices du RGPD

C'est ce qu'il ressort d'une étude menée par la Commission nationale de l'informatique et des libertés (Cnil) publiée le 5 juin 2025. Elle a pour objectif d'évaluer les bénéfices économiques indirects du RGPD sous l'angle de la sécurité informatique, notamment via l'article 34 qui impose aux entités de notifier les violations de données. Ces dernières sont en constante augmentation. 

L'obligation prévue à l'article 34 réduit les asymétries d'information et incite à investir dans la cybersécurité. En effet, les entreprises savent qu'un incident les exposera médiatiquement et juridiquement. 

Le RGPD réduit les cas d'usurpation d'identité

Dans le détail, cette étude exploratoire propose un cas d'école sur l'impact du RGPD dans la lutte contre l'usurpation d'identité. Selon deux méthodologies issues de la littérature (Romanosky, 2011 ; Bisogni et Asghari, 2020), ce texte aurait permis de réduire de 2,5 à 6,1% les cas d’usurpation d’identité. 

A partir de ces estimations et en combinant les coûts directs (pertes financières) et indirects (perte de confiance, réduction des achats en ligne), les gains pour la société française sont estimés entre 90 et 219 millions d'euros sur quatre ans (depuis 2018, année d'entrée en application du RGPD). Dans l'Union européenne, ils oscilleraient entre 585 millions d'euros et 1,4 milliard d'euros. A noter que 82% de ces gains sont captés par les entreprises via des indemnisations évitées et des effets indirects sur la réputation et la relation client. 

L'étude insiste sur les relations inter-entreprises : une entreprise investissant dans la cybersécurité protège aussi ses partenaires, sous-traitants et clients. sans que ces derniers aient à payer. 

Une sous-évaluation des bénéfices du RGPD

Cette étude est incomplète. En effet, elle n'étudie que les effets de l'article 34. De nombreux effets bénéfiques du RGPD, comme la réduction du coût moyen des cyberattaques, ne sont pas pris en compte faute de données disponibles. D’autres articles du RGPD, tels que l’article 32 sur les mesures techniques comme le chiffrement, ou les principes de minimisation et de conservation des données, contribuent aussi à limiter les impacts des attaques. Par exemple, le chiffrement permettrait de réduire de 5% le coût moyen d’une faille, d'après une étude menée par IBM en 2023.

Enfin, le RGPD joue un rôle structurant en sensibilisant les entreprises, notamment les PME, et en renforçant la confiance en ligne, condition essentielle au développement de services numériques innovants. Il reste cependant de nombreuses zones à explorer, notamment l’impact quantitatif du RGPD sur les pratiques de cybersécurité et la diffusion des bonnes pratiques. La recherche économique et les acteurs du secteur sont invités à approfondir ces enjeux pour objectiver les bénéfices réels de la régulation, conclut la Cnil.