Amende RGPD

Barème des sanctions et critères de calcul

L'article 83 du RGPD prévoit deux paliers d'amendes administratives. Le palier haut (20M€ ou 4% du CA mondial) couvre les violations des principes fondamentaux, des bases légales, des droits des personnes et des règles de transferts hors UE. Le palier bas (10M€ ou 2% du CA mondial) concerne les violations des obligations administratives (DPO, registre, DPIA, notification) et des obligations des sous-traitants.

Le barème des lignes directrices du CEPD (Guidelines 04/2022) propose une méthodologie en cinq étapes pour calculer le montant : catégorisation de la violation, point de départ basé sur le CA, ajustement selon les facteurs aggravants et atténuants, application du plafond légal, vérification de l'effectivité, proportionnalité et dissuasion.

Facteurs aggravants et atténuants

Les facteurs aggravants incluent : la nature intentionnelle (pas seulement négligente), la durée prolongée, les données sensibles impliquées, le grand nombre de personnes affectées, le refus de coopération, les antécédents de violation, les bénéfices financiers tirés de la violation. Ces facteurs peuvent conduire à multiplier le montant de départ par 2 à 3.

Les facteurs atténuants : notification spontanée et rapide, mesures correctives proactives, coopération pleine et entière avec l'autorité, absence d'antécédents, violation non intentionnelle due à une négligence mineure. Une organisation ayant mis en place un programme de conformité sérieux mais subissant une attaque externe sera traitée différemment d'une organisation n'ayant pris aucune mesure.

Sanctions complémentaires et recours

Les amendes s'accompagnent souvent d'injonctions de mise en conformité, de suspension temporaire des traitements, de limitation des transferts de données. Ces mesures peuvent avoir un impact opérationnel plus significatif encore que l'amende elle-même.

Les responsables de traitement peuvent contester les décisions des autorités de contrôle devant les juridictions administratives nationales. En cas de mécanisme de guichet unique (one-stop-shop), l'autorité chef de file coordonne avec les autres autorités concernées, qui peuvent contester la décision finale devant la CJUE si nécessaire.