Dans l’objectif d’harmoniser la politique de sanction suivie par les autorités nationales de protection des données, le Comité Européen de la Protection des Donnée (CEPD) a publié, le 12 mai dernier, de nouvelles lignes directrices sur la méthodologie de calcul des amendes administratives liées à la violation des règles du RGPD.

Ces lignes directrices viennent d’ailleurs s’ajouter au guide adopté par le CEPD sur l’application et la fixation des amendes et dans lequel l’autorité européenne insiste sur la nécessité de prendre en compte les circonstances de chaque affaire lors de la prescription d’une amende.

Pour rappel, l’article 83 du RGPD dispose d’ailleurs que les amendes administratives, déterminées en principe par les autorités nationales de contrôle doivent dans chaque cas être effectives, proportionnées et dissuasives, sans pourtant excéder le plafond déterminé par le RGPD.

Dans le respect des principes cités ci-dessus, le CEPD prévoit que les Autorités de contrôle doivent suivre les cinq étapes suivantes :

• Identifier les opérations de traitement des données comportant des infractions aux règles du RGPD, l’objectif étant de déterminer si toutes les infractions ou certaines d’entre elles peuvent d’être sanctionnées ;
• Identifier un point de départ pour le calcul de l’amende, en fonction de la nature et de la gravité de l’infraction ainsi que le chiffre d’affaires de l’entreprise ;
• Prendre en compte les facteurs aggravant ou atténuant qui peuvent augmenter ou diminuer le montant de l’amende, tel que le comportement du responsable du traitement ou du sous-traitant dans le passé ;
• Déterminer les plafonds légaux des amendes conformément à l’article 83, §4 à §6 du RGPD et veiller à ce que les amendes ne dépassent pas ces plafonds ;
• Analyser enfin si le montant final de l’amende calculé répond aux exigences d’efficacité, de dissuasion et de proportionnalité, étant précisé que des ajustements supplémentaires de ce montant peuvent, si nécessaire, être opérés.

Autrement dit, la méthodologie expliquée ci-dessus ne repose pas sur un simple calcul mathématique, mais plutôt sur les circonstances spécifiques à chaque infraction afin de déterminer le montant final de l’amende qui, lui, peut varier dans les limites imposées par le RGPD.

Ces lignes directrices sont soumises à consultation publique jusqu’au 27 juin prochain. 

Consultez ici l’intégralité du document en anglais : Guidelines 04/2022 on the calculation of administrative fines under the GDPR, Version 0.1