RGPD et DSA : le CEPD précise l’usage des amendes et l’articulation des deux régimes

Le Comité européen de la protection des données (CEPD), une instance européenne indépendante, a publié le 23 septembre 2026 des lignes directrices visant à harmoniser les pratiques des autorités de protection des données (APD) en matière d’amendes administratives. Ces règles s’appliquent dans le cadre du Règlement général sur la protection des données (RGPD), une loi européenne entrée en vigueur en 2018 pour encadrer le traitement des données personnelles. Le CEPD propose une méthode en cinq étapes pour décider si une amende doit être infligée, seule ou en complément d’autres sanctions. Ces directives s’inscrivent dans un contexte où les entreprises et organisations manipulant des données personnelles doivent respecter des obligations strictes sous peine de sanctions financières. Le RGPD prévoit des amendes pouvant atteindre jusqu’à 4 % du chiffre d’affaires mondial d’une entreprise ou 20 millions d’euros, selon le montant le plus élevé.

La méthode proposée par le CEPD pour déterminer une amende se décompose en cinq étapes successives. La première consiste à vérifier le fondement légal de l’amende, c’est-à-dire à s’assurer que l’infraction relève bien du RGPD ou d’un autre texte applicable. Ensuite, il faut identifier la personne susceptible d’être sanctionnée, qui peut être une entreprise, une organisation ou un responsable de traitement des données. La troisième étape implique de caractériser le comportement ayant conduit à l’infraction : était-il intentionnel (volontaire) ou négligent (manquement à une obligation de prudence) ? Le CEPD demande ensuite de prendre en compte les circonstances aggravantes (répétition des infractions, dissimulation) ou atténuantes (coopération avec les autorités, mesures correctives rapides). Enfin, la dernière étape consiste à contrôler que l’amende proposée est effectivement proportionnée (adaptée à la gravité de l’infraction), nécessaire (justifiée par les faits) et dissuasive (suffisamment élevée pour décourager les récidives).

Le RGPD (Règlement général sur la protection des données) et le Digital Services Act (DSA, ou Loi sur les services numériques en français) sont deux textes européens majeurs encadrant respectivement la protection des données personnelles et les obligations des plateformes numériques. Le CEPD précise comment ces deux régimes peuvent s’articuler en cas d’infraction. Par exemple, une plateforme numérique pourrait être sanctionnée à la fois pour une violation du RGPD (comme un traitement illégal de données personnelles) et pour une infraction au DSA (comme un manque de transparence dans la modération de contenus). Les autorités de protection des données doivent alors évaluer si les deux infractions relèvent de faits distincts ou si elles peuvent être traitées conjointement. L’objectif est d’éviter les doublons tout en garantissant une protection optimale des droits des utilisateurs. Le DSA, entré en vigueur en 2024, impose des obligations spécifiques aux très grandes plateformes en ligne, comme des audits indépendants ou des mécanismes de réclamation renforcés.