La Conférence des autorités indépendantes de contrôle de la protection des données de l'État fédéral et des Länder (DSK) a adopté le 16 juin 2025 les directives types pour la procédure relative aux amendes (MRiDaVG). Celles-ci visent à établir une pratique procédurale fédérale uniforme des autorités de contrôle de la protection des données lors de la sanction de violations de la protection des données conformément à la RGPD s'assurer
Champ d'application et bases juridiques
Les MRiDaVG s'appliquent à toutes les procédures d'amendes menées par les autorités indépendantes de contrôle de la protection des données en vertu du RGPD application. Elles concernent aussi bien les situations nationales que transfrontalières et règlent expressément la relation entre le droit de l'Union et le droit national. Une attention particulière est accordée à la primauté d'application du droit de l'Union ainsi qu'aux principes d'équivalence et d'effectivité du droit de l'Union.
La MRiDaVG fait expressément référence aux lignes directrices du Comité européen de la protection des données (CEPD) et les intègre comme aide à l'interprétation prioritaire. En outre, elle établit une distinction claire avec les procédures administratives qui ne relèvent pas du droit des amendes.
Principes de procédure et lignes directrices d'interprétation
La MRiDaVG s'articule autour de principes procéduraux fondamentaux visant à garantir une conduite de la procédure conforme à l'État de droit, efficace et respectueuse du droit de l'Union :
Priorité d'application et conformité au droit de l'Union : Les directives précisent que les législations nationales adoptées en Opposition vers RGPD ne doivent pas s'appliquer dans le cadre des procédures d'amendes. Seules sont déterminantes l'application directe et la primauté du droit de l'Union, comme la Cour de justice des Communautés européennes l'a souligné à plusieurs reprises dans sa jurisprudence. Il en résulte également l'obligation d'interpréter les dispositions nationales de manière conforme au droit de l'Union.
Principe d'efficacité : La conception des procédures doit garantir que l'application des exigences en matière de protection des données ne soit entravée ni en fait ni en droit. Les autorités de contrôle sont tenues d'orienter leurs pratiques procédurales de manière à garantir l'efficacité de la RGPD- que les mécanismes de sanction soient pleinement préservés. Cela implique également l'obligation d'éviter les retards de procédure et de mener l'enquête avec diligence.
Principe d'opportunité : Les MRiDaVG précisent que les autorités de contrôle de la protection des données agissent de manière discrétionnaire lorsqu'elles décident d'engager, de poursuivre ou de clôturer une procédure de sanction pécuniaire. Ce faisant, elles doivent respecter les principes énoncés à l'article 83, paragraphe 2, de la directive. RGPD tels que la gravité et la durée de l'infraction ou la volonté de coopération du responsable du traitement, doivent être impérativement pris en compte. La marge d'appréciation des autorités est ainsi structurée et limitée.
Principe de synchronisation et de parallélisme : Procédure administrative (par ex. procédure d'injonction selon l'art. 58 al. 2 RGPD) et les procédures d'amende doivent en principe être menées en parallèle, mais strictement séparées sur le plan du contenu et de l'organisation. Les directives recommandent une étroite coordination temporelle des deux procédures. En particulier pour les procédures transfrontalières selon l'art. 60 RGPD une approche coordonnée est nécessaire afin d'éviter des décisions contradictoires ou des retards de procédure.
Ces principes constituent globalement le cadre procédural de la pratique des amendes des autorités allemandes de contrôle de la protection des données et servent en même temps de Lignes directrices pour l'interprétation et l'application des règles matérielles de sanction des RGPD.
Compétence et coordination des procédures
Les lignes directrices types mettent l'accent sur la séparation fonctionnelle entre les procédures administratives et les procédures d'amendes au sein des autorités de contrôle de la protection des données. L’objectif est de garantir une distinction claire, tant sur le plan organisationnel que sur le fond, entre ces deux types de procédures, afin d’éviter les conflits d’intérêts et de permettre un traitement spécialisé. Les services chargés des procédures d’amendes doivent agir de manière autonome, notamment en ce qui concerne les enquêtes et les décisions relatives aux sanctions.
La possibilité de transférer des compétences conformément à l'article 39 de l'OWiG est un instrument central pour une coordination efficace des procédures. Les autorités de contrôle de la protection des données sont expressément encouragées à faire usage de cette option lorsque cela permet d'accélérer, de simplifier ou de mieux répartir les ressources. En particulier dans les situations transfrontalières selon l'art. 60 RGPD une concentration des compétences auprès de l'autorité chef de file est jugée utile pour éviter les doubles emplois de procédure et l'insécurité juridique.
En outre, la MRiDaVG précise qu’une coopération étroite et basée sur la confiance avec le parquet est indispensable. Cela vaut en particulier pour les procédures donnant lieu à des amendes d’un montant considérable ou présentant un intérêt pénal. Dans les affaires où le montant prévisionnel de l’amende est supérieur à 10 000 euros, les autorités de contrôle de la protection des données doivent prendre activement contact avec le parquet compétent. La participation du parquet à l’audience principale est recommandée conformément aux lignes directrices, afin de garantir efficacement l’application de la législation en matière de protection des données, y compris dans des situations plus complexes.
Déroulement de la procédure et documentation
Les MRiDaVG règlent en détail les différentes étapes de la procédure, de l'introduction à la décision finale concernant une amende. Une attention particulière est accordée à TransparenceL'accent a été mis sur la qualité, la traçabilité et la conformité juridique.
Gestion des dossiers : Une dossier distinct doit être constitué pour chaque procédure de sanction administrative, et celui-ci doit être strictement séparé des autres procédures administratives. Cette séparation vise non seulement à garantir la clarté organisationnelle, mais aussi à assurer la sécurité juridique Documentation. Tous les documents, pièces à conviction et notes pertinents pour la procédure doivent être consignés dans ce dossier de manière exhaustive et chronologique.
Enquête : Dans le cadre de leurs enquêtes, les autorités de contrôle de la protection des données ont accès aux moyens prévus par la loi allemande sur les infractions administratives (OWiG) et le code de procédure pénale (StPO). Il s'agit notamment d'interroger des témoins, de recueillir des renseignements auprès de tiers, ainsi que de saisir et d'analyser des éléments de preuve. Dans le cas de situations transfrontalières, les dispositions de la RGPD-Coopération et Procédure de cohérence. Les enquêtes doivent toujours être menées dans le respect des droits procéduraux des personnes concernées.
Exercice du pouvoir discrétionnaire : Les autorités de contrôle doivent exercer leur pouvoir d'appréciation pour déterminer si une amende doit être infligée et, dans l'affirmative, quel en est le montant. Ce faisant, elles doivent impérativement respecter les principes énoncés à l'article 83, paragraphe 2. RGPD tels que la nature, la gravité et la durée de l'infraction, le caractère intentionnel ou la négligence, ainsi que toute circonstance atténuante ou infraction antérieure. Ces considérations doivent être documentées de manière compréhensible.
Établissement de la décision : L'avis de contravention doit être conforme aux exigences du droit de l'Union. En particulier, en cas de responsabilité directe de l'association, l'obligation de mentionner une personne physique comme destinataire est supprimée. Dans les procédures transfrontalières, il convient en outre de s'assurer que l'avis répond aux exigences formelles d'un projet de décision conformément aux articles 60 et 65 RGPD est suffisante. Cela implique, entre autres, une motivation détaillée du montant de l'amende, en référence aux critères d'appréciation appliqués et aux constatations de fait sur lesquelles elle repose.
Diffusion de l'information et relations publiques
Ces directives contiennent des dispositions spécifiques concernant la communication d'informations au public, aux autorités de contrôle et aux services d'enregistrement :
Déclarations au registre central des métiers : En cas d'infractions graves.
les relations avec la presse : De manière objective et véridique, dans le respect du principe d'un procès équitable et de la protection des données des personnes concernées.
Mention du nom : Autorisé uniquement sous certaines conditions, par exemple en cas de couverture médiatique publique existante.
Conseil de lecture : Le BfDI inflige à Vodafone des amendes d'un montant total de 45 millions d'euros
Évaluation des lignes directrices types relatives aux amendes dans la pratique
Les MRiDaVG constituent une avancée majeure vers une organisation uniforme et juridiquement sûre, à l'échelle nationale, des procédures d'amendes en matière de protection des données. Grâce à leurs dispositions détaillées relatives aux principes de procédure, aux compétences, aux pouvoirs d'enquête et aux obligations de documentation, elles offrent des repères clairs tant aux autorités de contrôle qu'aux entreprises concernées. L'harmonisation des procédures entre les Länder devrait en outre contribuer à atténuer les différences existantes en matière de pratique sanctionnatrice et à réduire les incertitudes juridiques.
Pour les entreprises et autres Responsable au sens de la RGPD cela implique un besoin accru de renforcer leurs Conformité- d'examiner les processus et, le cas échéant, de les adapter. Compte tenu notamment des critères d'appréciation soulignés dans la loi MRiDaVG pour la fixation du montant des amendes, il est indispensable de disposer de systèmes internes solides de gestion de la protection des données afin de parvenir à une éventuelle réduction de la responsabilité.
Il reste à voir dans quelle mesure les tribunaux tiendront compte des précisions contenues dans la MRiDaVG concernant l’interprétation et l’application des dispositions relatives aux amendes. Les questions relatives à la portée de la primauté du droit de l'Union, à la définition du contenu du pouvoir discrétionnaire exercé conformément aux obligations ou à la licéité de la mention du nom dans les communications publiques pourraient notamment faire l'objet de contrôles judiciaires à l'avenir.
Dans l'ensemble, la MRiDaVG renforce la sécurité juridique pour toutes les parties à la procédure, tout en augmentant la pression sur les organismes qui traitent des données. Ceux-ci doivent adapter leur organisation en matière de protection des données et Documentation de manière conséquente aux exigences RGPD et s'adapter aux pratiques procédurales nationales.
German 
English 
Italian 
French