Ce qui a changé
- L'EDPB a établi une méthodologie standard en cinq étapes pour les APD lorsqu'elles décident d'imposer ou non des amendes administratives en vertu du RGPD.
- L'EDPB a finalisé des lignes directrices traitant de l'articulation entre le Règlement sur les services numériques (DSA) et le RGPD pour les fournisseurs de services intermédiaires.
- Les nouvelles lignes directrices sur la méthodologie de calcul des amendes remplacent les lignes directrices du G29 et sont soumises à une consultation publique jusqu'au 13 novembre 2026.
Lors de sa réunion plénière à Bruxelles, le Comité européen de la protection des données (EDPB) a adopté de nouvelles lignes directrices visant à harmoniser la manière dont les autorités de protection des données (APD) de l'Union européenne exercent leurs pouvoirs correctifs, en particulier concernant les amendes administratives en vertu du Règlement général sur la protection des données (RGPD). En parallèle, l'EDPB a finalisé ses lignes directrices sur l'articulation entre le Règlement sur les services numériques (DSA) et le RGPD.
Les lignes directrices nouvellement adoptées sur les amendes administratives définissent une méthodologie en cinq étapes pour les APD :
1. Base légale : L'APD vérifie si l'infraction peut donner lieu à une amende directement en vertu du RGPD ou du droit national.
2. Responsabilité : L'APD détermine si le responsable du traitement ou le sous-traitant est responsable en fonction de la personne tenue de respecter la disposition enfreinte.
3. Culpabilité : L'APD évalue si l'infraction a été commise de manière intentionnelle ou par négligence, la culpabilité étant requise pour imposer une amende.
4. Facteurs aggravants et atténuants : Pour les infractions mineures, une réprimande peut être adressée à la place ; pour les infractions non mineures, il existe une forte présomption qu'une amende doive être imposée.
5. Efficacité, proportionnalité et caractère dissuasif : L'APD détermine si l'amende répond à ces critères et si un écart par rapport à la pratique standard est justifié.
Ces lignes directrices remplacent les anciennes lignes directrices du Groupe de travail Article 29 (G29) sur l'imposition d'amendes administratives en vertu du Règlement 2016/679 et complètent les lignes directrices relatives au calcul des amendes. Elles fournissent également une vue d'ensemble et des exemples pratiques de mesures correctives, notamment des avertissements, des réprimandes, des injonctions, des limitations, des interdictions et le retrait de certification. Les parties prenantes peuvent soumettre leurs observations sur ces lignes directrices dans le cadre d'une consultation publique se terminant le 13 novembre 2026.
En outre, l'EDPB a finalisé les lignes directrices sur l'articulation entre le DSA et le RGPD à la suite d'une consultation publique. Celles-ci favorisent une application cohérente lorsque les règles du DSA ont une incidence sur le traitement des données à caractère personnel par les fournisseurs de services intermédiaires et font référence aux concepts du RGPD.
La mise à jour met en lumière les actions d'application en cours des APD, telles que la Commission irlandaise de protection des données infligeant une amende de 403 000 000 EUR à Google, l'APD espagnole infligeant une amende de 100 000 EUR à Securitas Direct et la CNIL française infligeant une amende de 300 000 EUR à EXTIA.
Qui peut être concerné
Responsables du traitement, sous-traitants, fournisseurs de services intermédiaires, conseillers juridiques et responsables de la conformité exerçant leurs activités ou offrant des services au sein de l'Union européenne.
Contexte transfrontalier
S'applique à l'ensemble des États membres de l'UE et touche directement les entreprises étrangères ou multinationales, y compris les entités suisses, chinoises et mondiales, qui traitent des données à caractère personnel de personnes situées dans l'UE ou fournissent des services intermédiaires soumis au DSA.
Points à vérifier ensuite
- Suivre le processus de consultation publique de l'EDPB concernant les lignes directrices sur les amendes avant la date limite du 13 novembre 2026.
- Examiner les lignes directrices finalisées de l'EDPB sur l'articulation DSA-RGPD afin d'en évaluer l'impact opérationnel sur les fournisseurs de services intermédiaires.
Cet article fournit des informations générales et ne constitue pas un conseil juridique. Consultez le texte officiel et obtenez des conseils adaptés à votre situation si nécessaire.
Préparé automatiquement avec l'assistance d'une IA à partir des sources officielles liées sur cette page. Les traductions et explications ne remplacent pas le texte officiel.