Résumé

  • Les lignes directrices 04/2026, adoptées par l’European Data Protection Board pour consultation, proposent cinq questions afin de décider si une amende doit s’ajouter à une autre mesure corrective ou s’y substituer.
  • Pour une infraction mineure, le projet prévoit en règle générale un blâme plutôt qu’une amende ; si elle n’est pas mineure, une forte présomption d’amende s’applique, suivie d’un examen de proportionnalité propre au cas.

La constatation d’une violation de données personnelles ne détermine pas, à elle seule, la réponse. Une autorité peut devoir faire cesser un traitement, ordonner une correction, prononcer un blâme, limiter une activité ou imposer une amende. La question décisive est de savoir quelle mesure répond au manquement établi et pour quelles raisons.

L’European Data Protection Board (EDPB) propose désormais une méthode en cinq étapes. Lors de cette session, l’EDPB a également finalisé des lignes directrices distinctes sur l’articulation entre le DSA et le RGPD ; elles ne portent pas sur le choix d’une amende. Il a adopté la version 1.0 des lignes directrices 04/2026 le 17 septembre et l’a mise en consultation.

Le projet demande à l’autorité nationale compétente de vérifier successivement : si le RGPD ou le droit national permet de sanctionner l’infraction par une amende ; si la partie visée était bien tenue par l’obligation méconnue ; si le comportement était intentionnel ou négligent ; si les facteurs de l’article 83, paragraphe 2, indiquent une infraction mineure ; et si une amende serait efficace, proportionnée et dissuasive dans cette affaire.

La quatrième étape donne à la méthode son point le plus sensible. Selon le projet, une infraction mineure ne devrait généralement pas entraîner d’amende : un blâme peut suffire. Si l’infraction n’est pas mineure, le texte prévoit une forte présomption en faveur d’une amende. Ce n’est pas un barème automatique. La cinquième étape exige toujours de vérifier si la sanction servirait ses objectifs légaux dans le cas particulier et s’il existe un motif de s’écarter de la pratique habituelle de l’autorité.

Le texte traite du choix d’une mesure, pas du calcul de son montant. Les lignes directrices 04/2022 de l’EDPB portent sur ce second sujet. Une entreprise ne devrait donc pas lire le projet comme un tableur transformant mécaniquement une violation en somme prédéfinie. Il ne crée pas non plus de nouveau pouvoir de sanction : la base juridique reste le RGPD, notamment ses articles 58 et 83, et la décision appartient à l’autorité nationale compétente, non à l’EDPB en tant que collège.

Dans l’affaire C-768/21, Land Hessen, la Cour de justice avait déjà fixé la limite générale. Une autorité n’est pas tenue d’imposer une amende chaque fois qu’elle constate une infraction. Elle doit toutefois appliquer une mesure corrective lorsque celle-ci est appropriée, nécessaire et proportionnée pour remédier au manquement et assurer le respect du RGPD. Le projet de l’EDPB cherche à rendre cette marge d’appréciation plus lisible d’une affaire à l’autre, sans supprimer le devoir d’assurer l’application du règlement.

Les autorités peuvent écarter les étapes sans objet et les exemples du texte illustrent un raisonnement : ils ne créent pas de précédents.

La différence entre un avertissement et une amende montre pourquoi l’ordre des questions compte. L’avertissement du RGPD vise un traitement projeté qui n’a pas encore constitué une infraction ; le projet précise qu’il ne peut pas être cumulé avec une amende pour le même comportement. Un blâme, une injonction ou une restriction répond à une autre situation juridique et peut viser un autre objectif. Certaines mesures rétablissent la conformité ; l’amende vise aussi à dissuader. Les traiter comme des outils interchangeables masquerait l’objectif poursuivi par l’autorité.

La consultation est ouverte jusqu’au 13 novembre 2026 à 23 h 59, heure d’Europe centrale. L’EDPB indique que les contributions seront publiées après un contrôle limité aux envois non autorisés, tels que le spam. Il invite les participants à retirer les données personnelles et métadonnées qu’ils ne souhaitent pas rendre publiques ; les adresses électroniques ne seront pas publiées. La consultation doit notamment éprouver la clarté du seuil entre infraction mineure et forte présomption d’amende, afin de guider les autorités sans transformer cette présomption en automatisme.

Sources

  1. Annonce de la session plénière de l’EDPB
  2. Lignes directrices 04/2026, version 1.0
  3. Consultation publique et modalités de contribution
  4. RGPD, règlement (UE) 2016/679
  5. Cour de justice, affaire C-768/21, Land Hessen
  6. Lignes directrices 04/2022 de l’EDPB sur le calcul des amendes
  7. Présentation par l’EDPB des amendes et mesures correctives du RGPD
  8. Communiqué de la Cour de justice 149/24 sur Land Hessen
  9. Lignes directrices 3/2025 de l’EDPB sur l’articulation entre le DSA et le RGPD