- Les lignes directrices de l’EDSA décrivent une procédure harmonisée en cinq étapes pour le calcul des amendes RGPD, avec un montant de départ, un ajustement du chiffre d’affaires et une estimation finale.
- Les montants des amendes augmentent plus que proportionnellement avec le chiffre d’affaires de l’entreprise ; pour les groupes, le chiffre d’affaires consolidé (notion d’entreprise en droit des ententes) peut être pris en compte.
- Les autorités conservent une marge d’appréciation : adaptations, amendes fixes pour les affaires de masse et prise en compte de circonstances aggravantes/atténuantes possibles.
Le 12 mai 2022, le Comité européen de la protection des données (CEPD) a adopté le rapport de 40 pages sur la protection des données. Projet de lignes directrices sur l’harmonisation des méthodes utilisées par les autorités nationales pour Calcul des amendes adopté (Lignes directrices 04/2022 sur le calcul des amendes administratives dans le cadre du RGPD). Les commentaires sont acceptés jusqu’au 27 juin 2022.
Généralités
Les amendes doivent être déterminées en cinq étapes, conformément aux lignes directrices :
La partie principale des lignes directrices consiste en une explication de ces cinq étapes. Ce qui apparaît rapidement (les exemples ci-dessous à titre d’illustration) : Les amendes dépendent fortement de la taille de l’entreprise, et ce de manière disproportionnée,
- parce que le cadre maximal des amendes augmente en cas de chiffre d’affaires élevé
- et que le cadre des amendes est également plus fortement exploité pour les entreprises à fort chiffre d’affaires).
En d’autres termes : La non-conformité touche les grandes entreprises de manière disproportionnée.
L’EDSA mentionne en outre que les autorités peuvent prévoir des amendes fixes pour certaines infractions – sans doute pour faciliter les transactions de masse. Tout de même :
Il est recommandé que l’autorité de contrôle communique au préalable les montants et les circonstances de la demande.
Étape 1 : Objet du calcul de l’amende
Au cours de cette étape, il convient de déterminer quel comportement doit être sanctionné, c’est-à-dire de déterminer les activités de traitement pertinentes et de déterminer l’applicabilité de l’article 83, paragraphe 3, du RGPD (concours de plusieurs violations).
Étape 2 : Détermination du montant de départ
Cette étape consiste à déterminer un montant de départ qui peut ensuite être augmenté ou réduit.
L’EDSA part d’abord du Cadre de bus en vertu de l’article 83, paragraphes 4 à 6, du RGPD (10 millions d’euros / 21 TP3T ou 20 millions d’euros / 41 TP3T).
Ensuite, la Gravité de l’infraction conformément à l’article 83, paragraphe 2, points a), b) et g) du RGPD, (notamment) en fonction du type, de la gravité et de la durée de l’infraction, du type de données, du nombre de personnes concernées, de l’ampleur du préjudice, de la faute (intentionnelle ou par négligence – l’indice d’une intention est par exemple le non-respect des conseils du délégué à la protection des données ou la violation de ses propres directives), etc. Le résultat est une première catégorisation du montant de départ, le montant devant également être calculé progressivement au sein de ces catégories en fonction de la gravité de l’infraction :
- Faible niveau de gravité (“Low level of seriousness”) : Le montant initial ne doit pas dépasser 10% du montant de l’amende.
- gravité moyenne : 10 – 20%
- poids élevé : 20 – 100%
Ensuite, le Chiffre d’affaires de l’entreprise car les amendes doivent notamment avoir un effet dissuasif – à cet égard, l’EDSA propose les modifications suivantes :
- Chiffre d’affaires annuel ≤ EUR 2 millions : 0,2% du montant de départ
- Chiffre d’affaires annuel ≤ EUR 10 millions : 0,4% du montant de départ
- Chiffre d’affaires annuel ≤ EUR 50 millions : 2% du montant de départ
- Chiffre d’affaires annuel EUR 50 – 100 millions : 10% du montant de départ
- Chiffre d’affaires annuel EUR 100 – 250 millions : 20% du montant de départ
- Chiffre d’affaires annuel ≥ EUR 250 millions : 50% du montant de départ
On peut traduire cette logique en un Excel comme calculateur d’amende rudimentaire de l’image :
Toutefois, les autorités de surveillance ne sont pas tenues de prendre en compte le chiffre d’affaires de cette manière :
68. en règle générale, plus le chiffre d’affaires de l’entreprise est élevé dans sa catégorie applicable, plus le montant de départ est susceptible d’être élevé. Cela est particulièrement vrai pour les plus grandes entreprises, pour lesquelles la catégorie des montants de départ est la plus large.
69. En outre, le l’autorité de contrôle n’est pas tenue d’appliquer cet ajustement s’il n’est pas nécessaire, du point de vue de l’efficacité, de la dissuasion et de la proportionnalité, d’ajuster le montant de départ de la sanction.
70. il convient de réaffirmer que ces chiffres sont les points de départ d’un calcul ultérieur, et non des montants fixes (étiquettes de prix) pour les violations des dispositions du GDPR. L’autorité de contrôle a le pouvoir d’utiliser la gamme complète de sanctions à partir de n’importe quelle sanction minimale. jusqu’au maximum légalLa Cour de justice exige que la peine soit adaptée aux circonstances de l’affaire dans le cas où un point de départ abstrait est utilisé.
Exemples d’illustration (par nous) :
- Violation de la Sécurité des données / infraction grave / chiffre d’affaires annuel EUR 50 millions → Montant de départ = EUR 120’000
- 10 millions d’euros/2% du chiffre d’affaires annuel (art. 83, par. 6, RGPD), ici 10 millions d’euros (car supérieur à 2% de 50 millions d’euros) ;
- gravité élevée : 20 – 100% de 20 millions d’euros, soit pour 60% = 6 millions d’euros
- Chiffre d’affaires : 50 millions d’euros, donc 2% du montant de départ
- Violation de la Obligation d’information / infraction de gravité moyenne / chiffre d’affaires annuel EUR 130 millions → Montant de départ = EUR 600’000
- 20 millions d’euros / 4% du chiffre d’affaires annuel (art. 83, al. 5, RGPD), ici 20 millions d’euros (car supérieur à 4% de 130 euros) ;
- gravité moyenne : 10 – 20% de 20 millions d’euros, soit pour 15% = 3 millions d’euros
- Chiffre d’affaires : 130 millions d’euros, donc 20% du montant de départ
- Obligation d’avoir une signaler une violation de la sécurité / infraction légère / chiffre d’affaires annuel EUR 1.5 mia. → Montant de départ = EUR 750’000 :
- EUR 10 millions/2% du chiffre d’affaires annuel (art. 83 al. 4 RGPD), ici 30 millions d’EUR (2% de 1,5 milliard) ;
- gravité légère : 0 – 10% de 30 millions d’euros, soit pour 5% = 1,5 million d’euros
- Chiffre d’affaires : > 250 millions d’euros, donc 50% du montant de départ
- Obligation, Supprimer des données / infraction grave / chiffre d’affaires annuel de EUR 4 mia. → Montant de départ = 48 millions d’euros :
- 20 millions d’euros/4% (art. 83, par. 5, RGPD), ici 160 millions d’euros (4% de 4 milliards)
- gravité élevée : 20 – 100% de 160 millions d’euros, soit pour 60% = 96 millions d’euros
- Chiffre d’affaires : > 250 millions d’euros, donc 50% du montant de départ
L’augmentation disproportionnée selon le chiffre d’affaires peut être illustrée à l’aide d’une violation moyennement grave de l’obligation de suppression :
- Chiffre d’affaires de 1 million d’euros : 6 000 euros
- Chiffre d’affaires de 10 millions d’euros : 12 000 euros
- Chiffre d’affaires de 100 millions d’euros : 300 000 euros
- Chiffre d’affaires de EUR 1 mia : EUR 3’000’000
- Chiffre d’affaires de EUR 5 mia : EUR 15’000’000
Par ailleurs, le chiffre d’affaires de l’entreprise ou du groupe en question?
Sans surprise, l’EDSA répond à cette question longuement débattue en se basant sur le la notion d’entreprise en droit des cartels:
En ce qui concerne le terme “entreprise”, le législateur européen apporte une clarification supplémentaire explicite. Le Recital 150 GDPR stipule : “Lorsque des sanctions administratives sont infligées à une entreprise, celle-ci doit être considérée comme une entreprise au sens des articles 101 et 102 du TFEU à ces fins”.
Par conséquent, l’article 83, paragraphes 4 à 6, du GDPR, à la lumière du paragraphe 150, se réfère au concept d’entreprise conformément aux articles 101 et 102 du TFEU, sans préjudice de l’article 4, paragraphe 18, du GDPR (qui donne une définition d’une entreprise) et de l’article 4, paragraphe 19, du GDPR (qui définit un groupe d’entreprises). Le premier concept est principalement utilisé au chapitre V du GDPR, dans la phrase groupe d’entreprises engagées dans une activité économique commune. En outre, le terme est appliqué dans un sens général, et non comme le destinataire d’une disposition ou d’une obligation.
120. Accordingly, dans les cas où le contrôleur ou le processeur est (partie de) une entreprise au sens des articles 101 et 102 du TFEU, le chiffre d’affaires combiné de cette entreprise dans son ensemble peut être utilisé pour déterminer la limite supérieure dynamique de la sanction (voir chapitre 6.2.2), et de s’assurer que la sanction qui en résulte est conforme aux principes d’effectivité, de proportionnalité et de dissuasion (article 83(1) du GDPR)47.
L’EDSA explique ces facteurs plus en détail, en particulier la notion d’unité économique unique (UES) dans le cadre de la législation antitrust.
Étape 3 : Évaluation des circonstances aggravantes et atténuantes
Sous ce titre, il faut prendre en compte les facteurs qui ont un effet aggravant ou atténuant. Il s’agit du comportement passé ou présent de l’entreprise, par exemple des mesures d’atténuation des dommages, des infractions antérieures, la coopération avec les autorités, la dénonciation spontanée, le bénéfice de l’infraction ( !), etc. L’EDSA ne propose toutefois pas de modification du montant de base.
Étape 4 : Montants maximaux
Les montants maximaux légaux (2%/EUR 10 millions ou 4%/EUR 20 millions, le montant le plus élevé étant retenu) pour les opérations de traitement concernées constituent un maximum qui ne peut être dépassé. En fait, il devrait s’agir de l’étape 5 et non de l’étape 4.
Étape 5
Lors de la dernière étape, l’autorité doit évaluer si le montant calculé répond aux exigences de la Efficacité, dissuasion et proportionnalité le cas échéant, il sera adapté.