L'employeur peut-il consulter les emails et fichiers d'un salarié ?
Mathilde Levasseur
Associée
Quelles sanctions risque-t-on en cas de manquement au RGPD ?
Deux plafonds selon le manquement, procédure simplifiée plafonnée à 20 000 €, critères de modulation et sanctions non pécuniaires.
Deux plafonds selon le manquement, procédure simplifiée plafonnée à 20 000 €, critères de modulation et sanctions non pécuniaires.
Introduction
L’attention se porte sur les plafonds spectaculaires, alors que la réalité française tient davantage aux sanctions modestes prononcées en grand nombre par voie simplifiée.
Les deux plafonds
Pour les manquements les plus graves, l’amende peut atteindre vingt millions d’euros ou, dans le cas d’une entreprise, quatre pour cent du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
Relèvent de ce plafond les manquements aux principes fondamentaux, aux bases légales, aux conditions du consentement, aux droits des personnes et aux règles relatives aux transferts.
Pour les autres manquements, notamment ceux relatifs aux obligations du responsable et du sous-traitant, à la sécurité, au registre, à l’analyse d’impact et à la notification des violations, le plafond est de dix millions d’euros ou deux pour cent du chiffre d’affaires.
La procédure simplifiée
Une procédure allégée permet au président de la formation restreinte de statuer seul sur les affaires ne présentant pas de difficulté particulière.
Le montant de l’amende y est plafonné à vingt mille euros.
Cette voie est devenue le mode opératoire principal de l’autorité française : elle représente la très grande majorité des sanctions prononcées chaque année.
Cette évolution change la perception du risque : la sanction n’est plus un événement rare réservé aux grands acteurs, mais une issue ordinaire pour des manquements ordinaires.
Les critères de modulation
La nature, la gravité et la durée du manquement, compte tenu de la nature, de la portée et des finalités du traitement, ainsi que du nombre de personnes affectées et du niveau de dommage subi.
Le caractère délibéré ou négligent du manquement.
Les mesures prises pour atténuer le dommage.
Le degré de responsabilité, compte tenu des mesures techniques et organisationnelles mises en œuvre.
Les manquements antérieurs.
Le degré de coopération avec l’autorité.
Les catégories de données concernées.
La manière dont l’autorité a eu connaissance du manquement, notamment une notification spontanée.
L’existence d’un avantage financier retiré du manquement.
Les sanctions non pécuniaires
L’amende n’est pas la seule mesure.
Le rappel à l’ordre.
L’injonction de mettre le traitement en conformité, le cas échéant sous astreinte.
La limitation temporaire ou définitive du traitement, voire son interdiction.
La suspension des flux de données vers un destinataire dans un pays tiers.
Pour certaines activités, une limitation ou une interdiction constitue une sanction bien plus lourde qu’une amende.
La publicité
La CNIL peut décider de rendre publique une décision, y compris une mise en demeure.
Pour de nombreuses organisations, l’exposition publique excède l’enjeu financier : elle affecte la relation client, les appels d’offres et la relation avec les partenaires.
Cette publicité est un critère de décision à part entière dans la stratégie de défense.
Les autres conséquences
Les personnes ayant subi un dommage matériel ou moral du fait d’un traitement non conforme ont droit à réparation.
Cette action civile est indépendante de toute sanction administrative et peut être exercée collectivement dans les conditions prévues par le droit français.
S’y ajoutent, pour certains manquements, des qualifications pénales prévues par le code pénal.
La logique de la défense
L’enjeu se joue rarement sur la matérialité du manquement, souvent objectivable, mais sur sa qualification, son étendue et la modulation.
La démonstration d’une démarche antérieure, de mesures correctives rapides et d’une coopération complète influe directement sur le montant et sur la publicité.
Construire la réponse dès la première notification
Les positions prises au début de la procédure conditionnent l’issue. Notre expertise RGPD et protection des données personnelles assure cette défense.
En résumé
- Vingt millions ou quatre pour cent du chiffre d’affaires mondial pour les manquements les plus graves ; dix millions ou deux pour cent pour les autres.
- La procédure simplifiée, plafonnée à 20 000 euros, concentre la très grande majorité des sanctions.
- Dix critères de modulation, dont la coopération et les mesures correctives.
- Les mesures non pécuniaires, limitation ou interdiction, peuvent être plus lourdes qu’une amende.
- La publicité de la décision constitue souvent l’enjeu principal.
Questions fréquentes
Quels sont les plafonds des amendes ?
Vingt millions d'euros ou quatre pour cent du chiffre d'affaires annuel mondial, le montant le plus élevé étant retenu, pour les manquements les plus graves. Dix millions ou deux pour cent pour les autres.
Qu'est-ce que la procédure simplifiée ?
Une procédure permettant au président de la formation restreinte de statuer seul sur les affaires ne présentant pas de difficulté particulière. Le montant de l'amende y est plafonné à 20 000 euros.
Les sanctions sont-elles publiques ?
La CNIL peut décider de rendre publique une sanction, ce qui constitue en pratique un enjeu souvent supérieur au montant lui-même pour les organisations exposées.
Nous contacter :
Nous répondons volontiers à toutes vos questions. Écrivez-nous à mc@cabinetpersee.com , contactez le cabinet sur WhatsApp, ou remplissez notre formulaire de contact.
Articles associés
Autres analyses juridiques du cabinet
