Règlement (UE) 2016/679, articles 58 et 83

Sanctions RGPD : ce que l'autorité de contrôle peut prononcer

L'amende administrative est la mesure la plus commentée, mais elle n'est ni la plus fréquente ni toujours la plus lourde de conséquences. L'article 58.2 du règlement (UE) 2016/679 dote l'autorité de contrôle de dix mesures correctrices, dont l'une — la limitation ou l'interdiction d'un traitement — peut arrêter une activité là où une amende ne fait que la grever.

Par Younès Lahrach, juriste RGPD et DPO externe, directeur de Sila International Advisory. Première parution le , dernière revue au regard des textes le .

L'amende n'est qu'une des mesures possibles

L'article 58.2 énumère les pouvoirs correcteurs de l'autorité de contrôle. Ils comprennent l'avertissement, le rappel à l'ordre, l'injonction de donner suite aux demandes d'exercice des droits, l'injonction de mettre les traitements en conformité, l'ordre de communiquer une violation aux personnes concernées, la limitation temporaire ou définitive du traitement y compris l'interdiction, l'ordre de rectification ou d'effacement, le retrait d'une certification, l'amende administrative, et la suspension des flux de données vers un destinataire dans un pays tiers.

Deux de ces mesures méritent plus d'attention qu'elles n'en reçoivent. L'interdiction de traitement, parce qu'elle peut priver une organisation du moyen même de son activité ; et la suspension des flux vers un pays tiers, parce qu'elle atteint une architecture technique que l'on ne reconfigure pas en quelques semaines.

L'amende peut, selon l'article 83.2, être imposée en complément ou à la place de ces mesures : l'autorité choisit, et son choix est lui-même soumis à l'exigence d'effectivité, de proportionnalité et de dissuasion posée par l'article 83.1.

Les deux plafonds

L'article 83.4 fixe le premier niveau : jusqu'à 10 000 000 euros ou, dans le cas d'une entreprise, jusqu'à 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Il couvre notamment les manquements aux obligations du responsable et du sous-traitant énoncées aux articles 8, 11, 25 à 39, 42 et 43 : sécurité, analyse d'impact, registre, désignation du délégué, encadrement de la sous-traitance.

L'article 83.5 fixe le second : jusqu'à 20 000 000 euros ou, dans le cas d'une entreprise, jusqu'à 4 % du chiffre d'affaires annuel mondial total de l'exercice précédent, le montant le plus élevé étant retenu. Il couvre les manquements aux principes de base des articles 5, 6, 7 et 9, aux droits des personnes des articles 12 à 22, aux transferts des articles 44 à 49, et au non-respect d'une injonction de l'autorité.

La répartition est instructive : les manquements documentaires relèvent du premier niveau, ceux qui touchent à la licéité du traitement ou aux droits des personnes relèvent du second. Un registre manquant expose moins qu'un traitement sans base légale.

Les critères qui déterminent le montant

L'article 83.2 énumère onze éléments dûment pris en considération pour décider s'il y a lieu d'imposer une amende et pour en fixer le montant. Quatre d'entre eux sont directement dans la main de l'organisation, avant comme après le manquement.

Le caractère délibéré ou négligent

Un écart identifié dans un audit et laissé sans suite n'est plus une négligence : il devient un manquement dont l'organisation avait connaissance, ce qui pèse dans un sens défavorable.

Les mesures prises pour atténuer le dommage

Ce que l'organisation a fait après avoir découvert le manquement, et à quelle vitesse, est pris en compte. C'est le critère sur lequel une réaction rapide produit le plus d'effet.

Le degré de coopération avec l'autorité

La coopération en vue de remédier au manquement et d'en atténuer les effets éventuels est expressément visée. Une contestation systématique de la compétence de l'autorité ne relève pas de cette coopération.

Les mesures techniques et organisationnelles mises en œuvre

Le critère renvoie aux articles 25 et 32 : la protection dès la conception et par défaut, et les mesures de sécurité. C'est ici que le dossier de conformité constitué avant tout incident produit son effet.

Ce que le dossier de preuves change

L'article 5.2 du règlement pose le principe de responsabilité : le responsable du traitement est responsable du respect des principes et doit être en mesure de démontrer que ceux-ci sont respectés. L'article 24.1 le reprend en imposant des mesures appropriées, réexaminées et actualisées si nécessaire.

Cette charge de la démonstration explique pourquoi un dossier tenu avant l'incident vaut davantage qu'une remise en conformité conduite après. Une organisation qui produit un registre à jour, des analyses d'impact datées, des contrats de sous-traitance conformes, des preuves de formation et un registre des violations documenté établit sa diligence. Une organisation qui produit les mêmes pièces, toutes datées des semaines ayant suivi la notification du contrôle, établit l'inverse.

Les manquements les plus régulièrement relevés dans les décisions publiées par l'autorité de contrôle portent sur des obligations simples : durées de conservation non appliquées, information incomplète, sécurité insuffisante, traceurs déposés sans consentement, et absence de réponse aux demandes d'exercice des droits.

Questions fréquentes

Quel est le montant maximal d'une amende RGPD ?

Deux plafonds coexistent. L'article 83.4 du règlement (UE) 2016/679 prévoit jusqu'à 10 000 000 euros ou 2 % du chiffre d'affaires annuel mondial total de l'exercice précédent pour une entreprise ; l'article 83.5 prévoit jusqu'à 20 000 000 euros ou 4 %. Dans les deux cas, le montant le plus élevé est retenu, et le plafond applicable dépend de la disposition méconnue.

Une petite entreprise risque-t-elle une amende RGPD ?

Le règlement ne prévoit aucune exonération liée à la taille. L'article 83.1 impose toutefois que l'amende soit proportionnée, et l'article 83.2 fait entrer en compte les circonstances de chaque cas. En pratique, les petites structures font plus souvent l'objet de mesures correctrices non pécuniaires, avertissement ou mise en conformité, que d'amendes.

Peut-on être sanctionné sans contrôle préalable ?

L'autorité de contrôle dispose, au titre de l'article 58.1 du règlement, de pouvoirs d'enquête qu'elle exerce avant toute mesure. Une procédure s'ouvre le plus souvent à la suite d'une réclamation, d'un signalement de violation ou d'une vérification en ligne. Une mesure correctrice n'est pas prise sans que l'organisation ait été mise à même de présenter ses observations.

Le sous-traitant peut-il être sanctionné directement ?

Oui. Le règlement met à la charge du sous-traitant des obligations propres, notamment aux articles 28, 30.2, 32 et 33.2, dont le manquement relève de l'article 83.4. L'article 82 organise par ailleurs sa responsabilité civile envers les personnes lorsqu'il n'a pas respecté les obligations qui lui incombent spécifiquement ou a agi en dehors des instructions licites du responsable.

Ce que ce régime déclenche ailleurs

La mise en demeure précède fréquemment toute sanction : c'est le moment où l'issue de la procédure se joue encore.

Répondre à une mise en demeure

Les formes que prend une vérification, les pouvoirs d'enquête de l'article 58.1, les pièces systématiquement demandées, et la conduite à tenir le jour même.

Contrôle CNIL

La nature de la mesure, le délai imparti et son point de départ, la construction de la réponse point par point, et ce qui se passe si le délai n'est pas tenu.

Mise en demeure

Textes de référence

Les informations publiées sur cette page sont d'ordre général et ne constituent pas une consultation juridique portant sur une situation déterminée. Sila n'est pas un cabinet d'avocats et n'exerce pas la représentation en justice.