- Le groupe de travail “article 29” a publié un projet de lignes directrices sur les amendes prévues par le RGPD, avec une période de consultation jusqu’au 27 novembre 2017.
- Le guide explique les critères de calcul des sanctions et souligne le chiffre d’affaires comme base de calcul.
- “entreprise” doit être interprété au sens du TFUE ; le chiffre d’affaires du groupe de l’unité économiquement active détermine le plafond de l’amende.
- Le choix des termes dans le considérant 150 (“undertaking”) diffère de celui de l’art.4, point 15 (“enterprise”) ; la version allemande est conforme.
Le site Art.-29 Groupe de protection des données a fait le Projet de guide sur les amendes en vertu du RGPD (“Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679”). Le projet est daté du 3 octobre 2017 et les parties intéressées peuvent présenter leurs observations jusqu’au 27 novembre 2017.
Le projet explique les critères à prendre en compte pour le calcul des sanctions, tout en précisant que la notion d’ ”entreprise”, dont le chiffre d’affaires est important pour déterminer le montant maximal d’une amende, doit être interprétée conformément au Traité sur le fonctionnement de l’Union européenne (TFUE), c’est-à-dire le correspond à la notion d’entreprise au sens du droit des cartels. La limite supérieure des amendes devrait donc être calculée en fonction du chiffre d’affaires non pas de la personne morale concernée, mais de celui de “l’unité économiquement active”. Cela a non seulement pour conséquence que les mères doivent répondre des infractions commises par leurs filles, mais aussi qu’un Groupe est traitée comme une entreprise unique s’il existe une unité économique, c’est-à-dire dans la mesure où une société supérieure peut exercer une influence déterminante sur des sociétés subordonnées. Dans ce cas, le le chiffre d’affaires total du groupe est déterminant pour la fixation de la limite supérieure d’une amende (2% ou 4% du chiffre d’affaires annuel réalisé dans le monde).
Cela correspond au considérant 150, mais est en contradiction avec la définition légale de l’ ”entreprise” de l’article 4, point 15. Toutefois, la notion d’ ”entreprise” de l’article 4, point 15, et du considérant 150 ne se recoupe que dans la version allemande du RGPD. Dans la version anglaise, l’article 4, point 15, parle d’ ”enterprise”, tandis que le considérant 150 utilise le terme “undertaking”.