Droit en Poche - RGPD : la protection des données à caractère personnel - 5e - 82

Les sanctions pécuniaires
Les amendes administratives doivent être « effectives, proportionnées
et dissuasives ». Elles peuvent être prononcées en complément
ou à la place des mesures administratives mentionnées supra.
Dans le cadre de l'analyse de l'opportunité du prononcé d'une
amende et de l'évaluation de son montant, l'autorité doit prendre
en compte différents facteurs.
■	Les facteurs à prendre en compte pour le prononcé
des amendes
Il s'agit de procéder à une évaluation in concreto pour chaque cas
et de déterminer s'il y a lieu de prononcer une amende et, le cas
échéant, pour quel montant. Ces facteurs peuvent être classés en
deux catégories.
La première concerne le comportement du responsable du traitement
ou du sous-traitant en cause. Le degré de coopération avec
l'autorité de contrôle, les mesures prises par l'organisme pour
atténuer le dommage subi par les personnes, le degré de responsabilité
des acteurs, le caractère délibéré ou non de la violation et
la manière dont l'autorité a eu connaissance de la violation sont
autant de critères qui seront pris en compte dans la détermination
du montant de l'amende. Il faut également ajouter les éventuels
précédents.
La seconde catégorie de critères qui conduira à une aggravation
ou à une réduction du montant des sanctions concerne la violation
elle-même. Sa nature, sa gravité et sa durée seront susceptibles
d'influencer le montant de l'amende, tout comme le nombre de
personnes concernées, le niveau de dommage subi et les données à
caractère personnel concernées.
■	La répartition des amendes
Les amendes administratives sont réparties en deux catégories en
fonction de la nature de la violation.
Les violations passibles d'une amende de dix millions d'euros ou
de 2 % du chiffre d'affaires annuel mondial de l'exercice précédent
dans le cas d'une entreprise (le montant maximum étant retenu)
concernent :
- les obligations des responsables de traitement et des sous-traitants
(l'accountability, l'analyse d'impact, la consultation préalable,
la notification des violations, etc.) ;
- les obligations des organismes de certification et des organismes
en charge du suivi des codes de conduite (par exemple
un manquement aux règles relatives aux conflits d'intérêts ou
une absence de notification à la CNIL de la décision de suspension
de l'adhésion à un code de conduite d'un adhérent).
Les violations passibles du montant maximum de vingt millions
d'euros ou de 4 % du chiffre d'affaires annuel mondial de l'exercice
précédent concernent les manquements :
- aux droits des personnes concernées (par exemple en cas de
défaut de réponse à une demande de droit d'accès, d'absence
d'une mention d'information sur un formulaire de collecte,
etc.) ;
80
Droit en Poche - RGPD : la protection des données à caractère personnel - 5e

Table des matières de la publication Droit en Poche - RGPD : la protection des données à caractère personnel - 5e
