RGPD et DSA : le CEPD précise l’usage des amendes et l’articulation des deux régimes
Le Comité européen de la protection des données (CEPD) a récemment publié des lignes directrices visant à encadrer l’application des sanctions administratives, notamment les amendes, dans le cadre du RGPD et du DSA. Ces précisions, attendues pour harmoniser les pratiques des autorités nationales, soulèvent des questions sur leur portée réelle et leur articulation avec les régimes juridiques existants, alors que les géants du numérique restent sous haute surveillance.
Quels sont les cinq critères proposés par le CEPD pour évaluer la pertinence d’une amende administrative sous le RGPD ?
Le CEPD suggère une méthode en cinq étapes : vérifier le fondement légal de l’amende, identifier la personne responsable, caractériser un comportement intentionnel ou négligent, prendre en compte les circonstances aggravantes ou atténuantes, puis s’assurer que la sanction est effective, proportionnée et dissuasive. Cette approche vise à standardiser les décisions des autorités de protection des données (APD).
Pourquoi l’articulation entre le RGPD et le DSA est-elle un enjeu central dans ces lignes directrices ?
Le RGPD et le DSA (Digital Services Act) encadrent respectivement la protection des données personnelles et les obligations des plateformes numériques, mais leurs champs d’application peuvent se chevaucher. Le CEPD cherche à clarifier comment les autorités doivent arbitrer entre les deux régimes pour éviter les chevauchements ou les contradictions dans les sanctions, notamment face aux géants du numérique.
Qui est directement concerné par ces nouvelles lignes directrices du CEPD ?
Ces directives s’adressent principalement aux autorités de protection des données (APD) des États membres de l’UE, qui sont chargées d’appliquer le RGPD et, dans une moindre mesure, le DSA. Les entreprises du numérique, en particulier les plateformes soumises à ces régimes, pourraient indirectement être impactées par une harmonisation des pratiques répressives.
Ce que ça pourrait changer
Ces lignes directrices pourraient renforcer la cohérence des sanctions infligées aux entreprises du numérique, limitant les disparités entre États membres et augmentant la prévisibilité des décisions. À plus long terme, une application plus stricte du RGPD et du DSA pourrait inciter les acteurs du secteur à revoir leurs politiques de conformité, sous peine de sanctions plus lourdes et mieux justifiées. Cependant, leur efficacité dépendra de la capacité des APD à appliquer ces critères de manière uniforme.
