Depuis l’entrée en application du RGPD, les sanctions administratives concentrent une grande partie de l’attention portée au règlement. Les plafonds sont connus : jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial pour certaines violations.
La question de la sanction elle-même restait pourtant plus complexe.
- À quelles conditions une autorité de contrôle doit-elle privilégier une amende ?
- Quel rôle joue la gravité du manquement ?
- Comment apprécier l’intention ou la négligence ?
- Quelle place accorder aux mesures correctrices déjà prises par l’organisme ?
Avec ses lignes directrices 04/2026, adoptées le 17 septembre 2026 et actuellement soumises à consultation publique, le Comité européen de la protection des données, ou CEPD, structure désormais ce raisonnement autour d’une méthode commune à l’ensemble des autorités européennes.
2016 : le RGPD pose le cadre
Le point de départ reste l’article 83 du RGPD.
Le règlement prévoit que chaque amende administrative doit être effective, proportionnée et dissuasive. Il confie également aux autorités de contrôle une appréciation au cas par cas fondée sur une série de critères : nature, gravité et durée de la violation, caractère intentionnel ou négligent, mesures prises pour atténuer les dommages, degré de responsabilité de l’organisme, antécédents, coopération avec l’autorité, catégories de données concernées ou encore circonstances aggravantes et atténuantes.
L’article 58 complète ce dispositif en donnant aux autorités une véritable palette de pouvoirs correctifs : avertissement, rappel à l’ordre, injonction de mise en conformité, limitation d’un traitement, interdiction, retrait d’une certification et amende administrative.
L’amende constitue donc l’un des instruments de l’autorité parmi plusieurs leviers possibles.
2017 et 2018 : une première doctrine européenne
Avant même l’entrée en application du RGPD, le groupe de travail de l’article 29, prédécesseur du CEPD, avait adopté le 3 octobre 2017 les lignes directrices WP253 relatives à l’application et à la fixation des amendes administratives.
Le CEPD les a reprises lors de sa première réunion plénière du 25 mai 2018. Elles constituaient depuis cette date le principal cadre européen d’interprétation de l’article 83 sur ce sujet.
Cette première doctrine fixait déjà plusieurs principes fondamentaux : appréciation individuelle de chaque affaire, proportionnalité, cohérence européenne et prise en considération des critères de l’article 83.
La pratique des autorités et plusieurs contentieux ont ensuite fait émerger des questions beaucoup plus précises.
2022 et 2023 : harmoniser le calcul du montant
Le CEPD s’est ensuite attaqué à une autre question : une fois le principe d’une amende retenu, comment en déterminer le montant ?
Les lignes directrices 04/2022 ont été soumises à consultation en 2022 puis adoptées dans leur version finale le 24 mai 2023. Elles proposent une méthodologie commune de calcul afin d’harmoniser davantage les pratiques des différentes autorités européennes.
Une distinction importante apparaît alors.
Les lignes directrices 04/2022 répondent principalement à la question du montant de l’amende.
Une autre question subsiste : dans quelles circonstances l’autorité doit-elle choisir l’amende parmi les différents pouvoirs correctifs dont elle dispose ?
La jurisprudence de la Cour de justice de l’Union européenne va progressivement apporter plusieurs éléments de réponse.
Décembre 2023 : la CJUE introduit clairement l’exigence de faute
Le 5 décembre 2023 constitue une étape importante.
Dans deux arrêts rendus en grande chambre, Nacionalinis visuomenės sveikatos centras, C-683/21, et Deutsche Wohnen, C-807/21, la CJUE précise les conditions d’application de l’article 83.
Son principe est clair : l’imposition d’une amende administrative suppose un comportement fautif. La violation doit présenter un caractère intentionnel ou négligent.
La Cour précise également le niveau d’appréciation de cette négligence. Un responsable de traitement peut être sanctionné lorsque celui-ci pouvait connaître le caractère irrégulier de son comportement, indépendamment de sa connaissance précise de la disposition du RGPD concernée.
Cette précision apporte une dimension importante au régime de sanction.
Le simple constat matériel d’une violation et l’analyse de la faute deviennent deux étapes distinctes du raisonnement.
Pour les entreprises, cette jurisprudence donne également davantage de poids à la gouvernance, à l’organisation interne, aux arbitrages documentés et aux mesures réellement déployées pour respecter le règlement.
Septembre 2024 : la CJUE confirme la marge d’appréciation des autorités
Une seconde étape intervient avec l’arrêt Land Hessen, C-768/21, rendu le 26 septembre 2024.
La Cour rappelle que les autorités disposent d’une marge d’appréciation dans le choix des mesures correctrices adaptées aux circonstances de chaque affaire. L’objectif reste le rétablissement d’une situation conforme au RGPD et l’application effective du règlement.
La CJUE envisage même l’hypothèse dans laquelle l’organisme a rapidement corrigé la situation, pris les mesures appropriées et assuré la conformité future de ses traitements. Dans ces circonstances particulières, l’autorité peut considérer que l’exercice d’un pouvoir correctif supplémentaire apporte une utilité limitée.
Le raisonnement européen s’affine donc progressivement.
La sanction dépend de la violation, de sa gravité, de la faute, du comportement de l’organisme et des mesures appropriées au cas d’espèce.
Septembre 2026 : le CEPD formalise une méthode en cinq étapes
Les lignes directrices 04/2026 viennent désormais organiser ces différents principes.
Elles ont été adoptées par le CEPD le 17 septembre 2026, puis présentées publiquement le 21 septembre. Leur objectif consiste à harmoniser la manière dont les autorités européennes décident du recours à une amende administrative, seule ou associée à une autre mesure correctrice.
Le CEPD propose une méthode en cinq étapes.
1. La violation peut-elle donner lieu à une amende ?
L’autorité identifie d’abord la base juridique permettant la sanction, directement dans le RGPD ou, selon les situations, dans le droit national.
2. La personne poursuivie répond-elle de l’obligation concernée ?
L’autorité vérifie ensuite quel acteur était juridiquement tenu de respecter la disposition violée. Cette étape prend une importance particulière dans les écosystèmes associant responsables de traitement, responsables conjoints et sous-traitants.
3. La violation présente-t-elle un caractère intentionnel ou négligent ?
Le CEPD intègre ici directement la jurisprudence de la CJUE de décembre 2023. Une amende suppose la caractérisation d’une faute intentionnelle ou d’une négligence.
4. Quelles circonstances aggravantes et atténuantes entourent l’affaire ?
L’autorité analyse les critères prévus par l’article 83, paragraphe 2.
Le CEPD introduit ici une orientation particulièrement structurante. Pour une violation mineure, l’approche standard privilégie le recours à un rappel à l’ordre. Pour une violation présentant une gravité supérieure, les lignes directrices instaurent une forte présomption en faveur d’une amende.
5. L’amende répond-elle aux exigences d’effectivité, de proportionnalité et de dissuasion ?
L’autorité effectue enfin une appréciation globale du dossier et conserve la possibilité d’adapter sa réponse aux circonstances particulières de l’affaire.
Le CEPD accompagne cette méthode de quatorze exemples pratiques destinés à montrer comment les autorités peuvent articuler les différents pouvoirs correctifs.
Une évolution importante pour l’accountability
Pour les responsables de traitement et les sous-traitants, l’intérêt du texte dépasse largement la seule question du risque financier.
L’étape consacrée aux circonstances aggravantes et atténuantes donne une portée très concrète au principe d’accountability.
L’article 5, paragraphe 2 du RGPD impose au responsable de traitement d’être en mesure de démontrer le respect des principes du règlement. L’article 24 traduit cette exigence dans l’organisation en demandant la mise en œuvre de mesures adaptées aux risques et leur actualisation régulière.
L’article 83 vient ensuite examiner le comportement de l’organisme : mesures prises pour réduire le dommage, niveau de responsabilité, mesures techniques et organisationnelles, antécédents, coopération avec l’autorité, réaction aux incidents et autres circonstances pertinentes.
Une conséquence opérationnelle en découle : la qualité d’un programme de conformité s’apprécie aussi à travers les preuves produites par son fonctionnement réel.
- Un registre des traitements régulièrement actualisé permet de démontrer la maîtrise du périmètre.
- Une AIPD datée permet de retracer l’analyse réalisée avant la mise en œuvre d’un traitement à risque.
- Une procédure de violation accompagnée de tickets, d’analyses et de décisions documentées matérialise la réaction de l’organisation.
- Des contrats de sous-traitance structurés permettent d’établir la répartition des responsabilités.
- Des mesures de sécurité effectivement déployées apportent des éléments sur le degré de responsabilité apprécié au titre de l’article 83.
- Des plans d’action suivis et documentés permettent enfin de montrer la capacité de l’organisation à corriger ses pratiques.
- La documentation prend ainsi toute sa valeur lorsqu’elle reflète une réalité opérationnelle.
Un changement de perspective pour les programmes de conformité
Cette évolution devrait également influencer la manière de construire les programmes RGPD.
Pendant plusieurs années, beaucoup d’organisations ont concentré leurs efforts sur la production documentaire : registre, politiques, mentions d’information, contrats, analyses d’impact.
Les lignes directrices 04/2026 renforcent l’intérêt d’une approche davantage orientée vers la preuve et l’exécution.
La question devient alors :
Que peut présenter concrètement l’organisation pour expliquer son niveau de maîtrise, ses arbitrages, ses contrôles et sa réaction face à un incident ?
Une gouvernance identifiée, des responsabilités attribuées, des contrôles périodiques, des décisions tracées et des actions correctrices suivies constituent autant d’éléments permettant de matérialiser cette conformité.
Le sujet concerne donc directement les DPO, les directions juridiques, les équipes cybersécurité, les responsables applicatifs, les équipes data et, plus largement, l’ensemble des fonctions participant au cycle de vie des traitements.
Où en sommes-nous aujourd’hui ?
Au 8 octobre 2026, les lignes directrices 04/2026 constituent encore une version soumise à consultation publique.
Les parties prenantes peuvent transmettre leurs observations au CEPD jusqu’au 13 novembre 2026 à 23 h 59 CET. Les contributions seront publiées par le Comité selon les modalités indiquées sur son site.
Le CEPD pourra ensuite intégrer les enseignements issus de cette consultation dans la version finale.
Le texte présente déjà une évolution doctrinale importante. Il remplace les anciennes lignes directrices WP253 du groupe de travail de l’article 29 et vient compléter les lignes directrices 04/2022 consacrées au calcul du montant des amendes.
L’ensemble forme progressivement une doctrine européenne beaucoup plus structurée :
le RGPD définit les pouvoirs et les critères, la CJUE précise les conditions juridiques de la sanction, les lignes directrices 04/2026 organisent la décision de recourir à l’amende et les lignes directrices 04/2022 encadrent ensuite son calcul.
Pour les organisations, cette clarification donne surtout une direction très concrète.
La conformité RGPD repose sur des règles. Son efficacité repose sur leur mise en œuvre. Sa crédibilité repose sur la capacité à en apporter la preuve.
