Actualités

L’équipe du département de IP/IT/Data revient, dans son dernier flash, sur l’adoption le 12 mai 2022 des lignes directrices du CEPD relatives aux amendes prononcées par les autorités de contrôle : une méthodologie de calcul des amendes en vue d’une harmonisation des pratiques.

Si vous n’avez que 30 secondes

Le Comité européen de la protection des données (« CEPD » ) a adopté le 12 mai 2022 des lignes directrices incluant une méthodologie harmonisée de calcul des amendes administratives en 5 étapes à mettre en œuvre par les autorités européennes de contrôle en matière de données personnelles (dont la CNIL). La détermination du montant des amendes étant à la discrétion de chacune des autorités de contrôle, ces lignes directrices participent à l’objectif recherché par le CEPD d’une équivalence des sanctions dans l’ensemble des États membres de l’Union européenne (« UE »).

L’autorité de contrôle devant procéder à cette évaluation de l’amende « selon les caractéristiques propres à chaque cas » (article 83 du RGPD), le risque est grand que chaque autorité de contrôle mette en œuvre ses propres modalités de calcul et que des divergences d’interprétation se fassent jour. Par ailleurs, tandis que le RGPD prévoit des plafonds d’amende (article 83 alinéa 4 à 6), le texte ne prévoit en revanche aucun montant minimum d’amende.

Par conséquent, ces nouvelles directrices peuvent permettre, le cas échéant, (i) aux autorités de contrôle d’harmoniser leurs pratiques ; (ii) aux responsables de traitement ou sous-traitants d’évaluer le risque financier d’une non-conformité au RGPD.

Si ces lignes directrices ont vocation à s’appliquer à l’ensemble des manquements sanctionnés par les autorités, elles seront tout particulièrement utiles dans les hypothèses où le mécanisme du guichet unique devant une autorité « chef de file » n’est pas applicable dès lors que le responsable de traitement ou le sous-traitant a son siège hors UE (notamment dans l’affaire Google, cf. CNIL, délib. de la formation restreinte n° SAN-2019-001, 21 janv. 2019 prononçant une sanction pécuniaire à l’encontre de la société Google LLC) et peut être attrait devant plusieurs autorités de contrôle pour un même traitement mis en œuvre dans plusieurs États membres de l’UE.

Néanmoins, leur apport demeure limité dans la mesure où le montant de l’amende est librement apprécié par l’autorité de contrôle, sous réserve des dispositions de l’article 83 du RGPD, et que ces lignes directrices n’ont bien sûr pas vocation à instaurer un barème d’amende qui lierait les autorités.