Amende RGPD ou avertissement : les lignes directrices EDPB

Le Comité européen de la protection des données (EDPB) a adopté le 17 septembre 2026 les lignes directrices 04/2026. Elles décrivent comment les autorités de contrôle décident, en cas de violation du RGPD, d’infliger une amende ou de choisir une autre mesure, par exemple un avertissement ou une injonction. Les lignes directrices sont soumises à consultation publique jusqu’au 13 novembre 2026. Elles concernent tous les responsables du traitement et sous-traitants, du grand groupe à la petite association.

De quoi s’agit-il

L’art. 58, paragraphe 2, du RGPD confère aux autorités de contrôle toute une série de pouvoirs correctifs : avertissement, rappel à l’ordre, injonctions, limitations jusqu’à l’interdiction d’un traitement, retrait d’une certification et, bien sûr, l’amende administrative prévue à l’art. 83. Le montant d’une amende est encadré depuis 2022 par les lignes directrices 04/2022 relatives au calcul. Restait jusqu’ici ouverte la question des critères selon lesquels les autorités recourent à l’amende. Il n’existait sur ce point que d’anciennes lignes directrices du groupe de travail « Article 29 », antérieures à l’entrée en vigueur du RGPD.

Les nouvelles lignes directrices remplacent ces anciennes orientations et complètent les lignes directrices sur le calcul. L’EDPB s’appuie sur l’expérience des autorités depuis 2018 et sur plusieurs arrêts de la Cour de justice de l’Union européenne. L’objectif est que des cas identiques soient traités de manière similaire dans tous les États membres.

La méthode en cinq étapes

L’EDPB décrit une procédure que l’autorité suit étape par étape :

1. La violation constatée peut-elle être sanctionnée par une amende, en vertu du RGPD ou du droit national ?
2. L’entreprise examinée peut-elle être tenue responsable de cette violation, par exemple en tant que responsable du traitement ou sous-traitant ?
3. A-t-elle agi de manière délibérée ou par négligence ?
4. Les circonstances visées à l’art. 83, paragraphe 2, du RGPD plaident-elles pour une violation mineure ?
5. Une amende serait-elle, dans le cas concret, effective, proportionnée et dissuasive ?

Les trois premières étapes examinent les conditions juridiques. Les étapes quatre et cinq déterminent si une amende est effectivement infligée ou si une autre mesure est plus appropriée.

La négligence est vite caractérisée

La troisième étape est particulièrement importante en pratique. Une amende suppose une faute. Selon l’EDPB, le seuil de la négligence est toutefois très bas. Peu importe qu’une entreprise ait effectivement identifié sa violation : ce qui compte, c’est si elle aurait pu l’identifier. Les entreprises sont censées s’informer des obligations qui leur incombent.

Un avis juridique ne protège pas non plus automatiquement. Dans l’un des exemples des lignes directrices, une entreprise invoque un avis externe s’écartant de l’opinion dominante. L’EDPB n’y voit aucune circonstance exonératoire, car l’entreprise connaissait la position contraire. Il en va de même d’une évaluation interne contraire à la position connue de l’autorité de contrôle.

Mineure ou non : l’aiguillage décisif

À la quatrième étape s’applique une règle de base claire. Si une violation est mineure, aucune amende n’est en principe infligée, tout au plus un avertissement. Si elle n’est pas mineure, une forte présomption plaide en faveur d’une amende. Dans les deux cas, l’autorité conserve une marge d’appréciation. Pour les violations minimes, elle peut même, selon les lignes directrices, renoncer à toute mesure si l’entreprise a elle-même mis fin à l’erreur et pris des dispositions pour éviter qu’elle se reproduise.

Pour la qualification, les autorités examinent notamment la nature, la gravité et la durée de la violation, le nombre de personnes concernées, la nature des données et le dommage subi. Plusieurs points sont instructifs pour les entreprises :

• Les mesures d’atténuation comptent surtout lorsqu’elles sont prises tôt et de leur propre initiative, avant qu’une enquête soit connue.
• Le simple respect des obligations du RGPD n’est pas considéré comme une circonstance atténuante. Cela vaut pour les mesures techniques et organisationnelles comme pour la coopération avec l’autorité prévue par la loi. Seul ce qui va nettement au-delà a un effet atténuant.
• L’absence de violations antérieures n’est pas exonératoire en soi, car le respect du RGPD est la norme.
• Des erreurs similaires répétées peuvent transformer une violation mineure en violation passible d’amende.

Les lignes directrices contiennent 14 exemples fictifs. Plusieurs concernent des PME, par exemple une demande d’accès restée sans réponse car arrivée dans le dossier spam, ou un pixel de suivi qui transmettait des données à l’insu de l’entreprise. Dans les deux cas, on en est resté à un avertissement. Dans un autre exemple, une réponse tardive à une demande d’accès a débouché sur une procédure d’amende, car des cas similaires se multipliaient.

Ce qui reste ouvert

Il s’agit de la première version soumise à consultation. Les contributions peuvent être déposées jusqu’au 13 novembre 2026 sur le site de l’EDPB. Le Comité révisera ensuite le texte. Les lignes directrices s’adressent aux autorités de contrôle et ne lient pas directement les juridictions. Elles montrent toutefois comment les autorités examineront et motiveront leurs décisions à l’avenir.

Vous trouverez le texte intégral sur la page de l’EDPB consacrée aux lignes directrices 04/2026.

Ce que cela signifie pour vous

Les lignes directrices récompensent les entreprises qui identifient rapidement les erreurs, les corrigent elles-mêmes et peuvent le prouver. Celles qui ne réagissent qu’à la demande de l’autorité perdent cet avantage. Prochaines étapes utiles :

• Vérifiez que les demandes d’accès et d’effacement arrivent de manière fiable et sont traitées dans les délais, même lorsqu’elles parviennent par des canaux inhabituels.
• Consignez quand vous avez constaté une erreur et quelles mesures vous avez prises. La date et le contenu de la correction sont déterminants en cas de problème.
• Analysez les erreurs récurrentes. Un faux pas isolé est apprécié différemment d’un schéma répété.
• Contrôlez régulièrement les mentions d’information et les services tiers intégrés, pas seulement lors de leur mise en place.
• Pour les traitements contestés, ne vous fiez pas uniquement à un avis juridique favorable si l’autorité de contrôle pense manifestement autrement.

Sightadel vous accompagne avec des évaluations guidées, des plans d’action et une bibliothèque de preuves dans laquelle les mesures sont documentées et datées. Pour en savoir plus, consultez la page consacrée au RGPD. Vous pouvez tester la plateforme gratuitement pendant 14 jours.

État : 12 octobre 2026 · Ceci n’est pas un conseil juridique. Seule la norme ou la loi dans sa version en vigueur fait foi.