Bruxelles, le 21 septembre – Au cours de sa dernière session plénière, le comité européen de la protection des données a adopté des lignes directrices sur l’application du pouvoir d’infliger des amendes administratives en ce qui concerne d’autres pouvoirs correctifs en vertu du RGPD et la version finale de ses lignes directrices sur l’interaction entre la législation sur les services numériques et le RGPD.

Les nouvelles lignes directrices du comité européen de la protection des données constituent une étape majeure dans l’alignement de la manière dont les autorités chargées de la protection des données décident si une amende administrative doit être infligée, seule ou parallèlement à d’autres mesures correctives.

Le RGPD a considérablement accru les pouvoirs correctifs des APD, les amendes constituant un instrument important pour une application efficace. Les lignes directrices réaffirment notre engagement à apporter une plus grande clarté et à garantir l’application cohérente du RGPD dans toute l’Europe.

Jelena Virant Burnik, vice-présidente du comité européen de la protection des données

Les autorités chargées de la protection des données (APD) devraient suivre une méthode en cinq étapes lorsqu’elles décident d’infliger ou non une amende administrative:

1. l’autorité chargée de la protection des données vérifie si l’infraction peut donner lieu à une amende, en trouvant un soutien soit directement dans le RGPD, soit dans le droit national.
2. l’APD détermine si la partie faisant l’objet de l’enquête peut se voir infliger une amende pour l’infraction en question. La responsabilité du responsable du traitement ou du sous-traitant dépend de qui est lié par la disposition violée.
3. l’APD évalue si l’infraction a été commise de propos délibéré ou par négligence, étant donné qu’une infraction fautive est une condition de l’imposition d’une amende.
4. l’APD évalue les éventuelles circonstances aggravantes et atténuantes. Si l'infraction est mineure, il n'y aura généralement pas d'amende et un blâme peut être émis à la place; s’il n’est pas mineur, il existe une forte présomption qu’une amende devrait être infligée.
5. l’APD évalue si l’imposition d’une amende administrative serait effective, proportionnée et dissuasive. Ce faisant, l’APD peut examiner s’il existe, dans le cas d’espèce, une raison de s’écarter de l’approche standard.

Les lignes directrices fournissent également une vue d’ensemble des pouvoirs correctifs dans le cadre des compétences des APD nationales et expliquent leur objectif, leur champ d’application et leurs liens les uns avec les autres. Les mesures correctives comprennent les avertissements, les réprimandes, les ordres, les limitations (y compris les interdictions) et le retrait de la certification.

Le comité fournit également 14 exemples pratiques illustrant la manière dont les APD peuvent évaluer les spécificités d’une affaire et décider des mesures correctives à imposer, le cas échéant.

Les lignes directrices feront l’objet d’une consultation publique jusqu’au 13 novembre 2026, ce qui donnera aux parties prenantes la possibilité de formuler des observations et de donner leur avis.

Lignes directrices sur la législation sur les services numériques et le RGPD finalisées à l’issue d’une consultation publique

À l’issue d’une consultation publique, l’EDPB a adopté la version finale de ses lignes directrices sur l’interaction entre le règlement sur les services numériques et le RGPD. Les lignes directrices soutiennent l’application cohérente des deux actes juridiques, en particulier lorsque les dispositions du règlement sur les services numériques concernent le traitement de données à caractère personnel par des prestataires de services intermédiaires et renvoient aux concepts et définitions énoncés dans le RGPD.

Note aux rédacteurs:

* Les présentes lignes directrices remplacent les lignes directrices du G29 sur l’application et la fixation des amendes administratives aux fins du règlement (UE) 2016/679 et complètent les lignes directrices précédemment adoptées sur le calcul des amendes administratives au titre du RGPD, qui se concentrent plutôt sur la méthode de calcul du montant d’une amende administrative.

Il s’agit d’une consultation publique sur la traduction automatisée, qui peut contenir des erreurs. Elle ne se substitue pas à la version anglaise officielle.