Normes uniformes pour les procédures d'amendes en matière de protection des données : les nouvelles directives modèles de la DSK (MRiDaVG)

26 juin 2025

Catégories :

Protection des données en Allemagne

La Conférence des autorités indépendantes de contrôle de la protection des données de l'État fédéral et des Länder (DSK) a adopté le 16 juin 2025 les directives types pour la procédure relative aux amendes (MRiDaVG). Celles-ci visent à établir une pratique procédurale fédérale uniforme des autorités de contrôle de la protection des données lors de la sanction de violations de la protection des données conformément à la RGPD s'assurer

Champ d'application et Bases juridiques

Les MRiDaVG s'appliquent à toutes les procédures d'amendes menées par les autorités indépendantes de contrôle de la protection des données en vertu du RGPD application. Elles concernent aussi bien les situations nationales que transfrontalières et règlent expressément la relation entre le droit de l'Union et le droit national. Une attention particulière est accordée à la primauté d'application du droit de l'Union ainsi qu'aux principes d'équivalence et d'effectivité du droit de l'Union.

Les MRiDaVG se réfèrent explicitement aux directives du Comité européen de la protection des données (EDSA) et les intègrent en tant qu'aide à l'interprétation prioritaire. En outre, une distinction claire est faite avec les procédures administratives qui ne sont pas de nature pécuniaire.

Principes de procédure et lignes directrices d'interprétation

Au cœur de la MRiDaVG se trouvent des maximes procédurales fondamentales qui doivent garantir une conduite de la procédure conforme à l'État de droit, efficace et conforme au droit de l'Union :

Primauté d'application et conformité avec le droit de l'Union : Les directives précisent que les législations nationales adoptées en Opposition vers RGPD ne doivent pas s'appliquer dans le cadre des procédures d'amendes. Seules sont déterminantes l'application directe et la primauté du droit de l'Union, comme la Cour de justice des Communautés européennes l'a souligné à plusieurs reprises dans sa jurisprudence. Il en résulte également l'obligation d'interpréter les dispositions nationales de manière conforme au droit de l'Union.
Principe d'efficacité : La conception des procédures doit garantir que l'application des exigences légales en matière de protection des données ne soit pas rendue plus difficile, ni en fait ni en droit. Les autorités de contrôle sont tenues d'orienter leurs pratiques procédurales de manière à ce que l'efficacité des mécanismes de sanction du RGPD soit pleinement préservée. Cela implique également l'obligation d'éviter les retards de procédure et de mener rapidement les activités d'enquête.
Principe d'opportunité : Les MRiDaVG précisent que les autorités de contrôle de la protection des données agissent de manière discrétionnaire lorsqu'elles décident d'engager, de poursuivre ou de clôturer une procédure de sanction pécuniaire. Ce faisant, elles doivent respecter les principes énoncés à l'article 83, paragraphe 2, de la directive. RGPD tels que la gravité et la durée de l'infraction ou la volonté de coopération du responsable du traitement, doivent être impérativement pris en compte. La marge d'appréciation des autorités est ainsi structurée et limitée.
Principe de synchronisation et de parallélisme : Procédure administrative (par ex. procédure d'injonction selon l'art. 58 al. 2 RGPD) et les procédures d'amende doivent en principe être menées en parallèle, mais strictement séparées sur le plan du contenu et de l'organisation. Les directives recommandent une étroite coordination temporelle des deux procédures. En particulier pour les procédures transfrontalières selon l'art. 60 RGPD une approche coordonnée est nécessaire afin d'éviter des décisions contradictoires ou des retards de procédure.

Ces principes constituent globalement le cadre procédural de la pratique des amendes des autorités allemandes de contrôle de la protection des données et servent en même temps de Lignes directrices pour l'interprétation et l'application des règles matérielles de sanction des RGPD.

Compétence et coordination des procédures

Les directives types soulignent la séparation fonctionnelle des procédures administratives et des procédures d'amendes au sein des autorités de contrôle de la protection des données. L'objectif est de garantir une délimitation claire des deux types de procédures sur le plan de l'organisation et du contenu, afin d'éviter les conflits d'intérêts et de permettre un traitement spécialisé. Les unités chargées des procédures d'amendes doivent agir de manière autonome, notamment en ce qui concerne les enquêtes et les décisions relatives aux sanctions.

La possibilité de transférer des compétences conformément à l'article 39 de l'OWiG est un instrument central pour une coordination efficace des procédures. Les autorités de contrôle de la protection des données sont expressément encouragées à faire usage de cette option lorsque cela permet d'accélérer, de simplifier ou de mieux répartir les ressources. En particulier dans les situations transfrontalières selon l'art. 60 RGPD une concentration des compétences auprès de l'autorité chef de file est jugée utile pour éviter les doubles emplois de procédure et l'insécurité juridique.

En outre, les MRiDaVG précisent qu'une collaboration étroite et confiante avec le ministère public est indispensable. Cela vaut en particulier pour les procédures impliquant des montants d'amende importants ou ayant un caractère pénal. Dans les cas où le montant probable de l'amende est supérieur à 10.000 euros, les autorités de contrôle de la protection des données doivent rechercher activement le contact avec le parquet compétent. La participation du ministère public au procès est recommandée, conformément aux directives, afin de garantir efficacement l'application de la législation en matière de protection des données, même dans les cas les plus complexes.

Déroulement de la procédure et Documentation

Les MRiDaVG règlent en détail les différentes étapes de la procédure, de l'introduction à la décision finale concernant une amende. Une attention particulière est accordée à TransparenceL'accent a été mis sur la qualité, la traçabilité et la conformité juridique.

Gestion des dossiers : Chaque procédure d'amende doit faire l'objet d'un dossier distinct, qui doit être strictement séparé des autres procédures administratives. Cette séparation ne sert pas seulement à la clarté de l'organisation, mais aussi à la sécurité juridique. Documentation. Tous les documents, preuves et notes relatifs à la procédure doivent être conservés dans ce dossier de manière complète et continue.
Enquête : Dans le cadre de leurs enquêtes, les autorités de contrôle de la protection des données ont accès aux instruments de la loi sur les infractions administratives et du code de procédure pénale. Il s'agit notamment de l'audition de témoins, de la demande de renseignements auprès de tiers ainsi que de la conservation et de l'évaluation de preuves. Dans le cas de faits transfrontaliers, les dispositions de l'accord de coopération et d'entraide judiciaire du RGPD s'appliquent également. Procédure de cohérence. Les enquêtes doivent toujours être menées dans le respect des droits procéduraux des personnes concernées.
Exercice du pouvoir discrétionnaire : Les autorités de contrôle doivent exercer leur pouvoir d'appréciation pour déterminer si une amende doit être infligée et, dans l'affirmative, quel en est le montant. Ce faisant, elles doivent impérativement respecter les principes énoncés à l'article 83, paragraphe 2. RGPD tels que la nature, la gravité et la durée de l'infraction, le caractère intentionnel ou la négligence, ainsi que toute circonstance atténuante ou infraction antérieure. Ces considérations doivent être documentées de manière compréhensible.
Établissement de la décision : L'avis de contravention doit être conforme aux exigences du droit de l'Union. En particulier, en cas de responsabilité directe de l'association, l'obligation de mentionner une personne physique comme destinataire est supprimée. Dans les procédures transfrontalières, il convient en outre de s'assurer que l'avis répond aux exigences formelles d'un projet de décision conformément aux articles 60 et 65 RGPD est suffisante. Cela implique, entre autres, une motivation détaillée du montant de l'amende, en référence aux critères d'appréciation appliqués et aux constatations de fait sur lesquelles elle repose.

Transmission d'informations et relations publiques

Les directives contiennent des prescriptions spécifiques concernant la diffusion d'informations au public, aux autorités de surveillance et aux bureaux d'enregistrement :

Déclarations au registre central des métiers : En cas d'infraction grave.
les relations avec la presse : De manière factuelle et véridique, en respectant le principe du procès équitable et la protection des données des personnes concernées.
Mention du nom : Autorisé uniquement sous certaines conditions, par exemple si un rapport public existe déjà.

Conseil de lecture : Le BfDI inflige à Vodafone des amendes d'un montant de 45 millions d'euros

Évaluation des directives types sur les amendes pour la pratique

Les MRiDaVG constituent un pas important vers une conception uniforme et juridiquement sûre des procédures d'amendes dans le droit de la protection des données à l'échelle nationale. Grâce à leurs réglementations détaillées sur les principes de procédure, les compétences, les pouvoirs d'enquête et les obligations de documentation, elles offrent une orientation claire tant aux autorités de contrôle qu'aux entreprises concernées. L'harmonisation des procédures entre les Länder devrait en outre contribuer à réduire les différences existant jusqu'à présent dans la pratique des sanctions et à réduire les incertitudes juridiques.

Pour les entreprises et autres Responsable au sens de la RGPD cela signifie une nécessité accrue de vérifier et, le cas échéant, d'adapter leurs processus internes de conformité. En particulier, compte tenu des critères discrétionnaires mis en exergue dans les MRiDaVG lors de la détermination des amendes, il est indispensable de disposer de systèmes internes de gestion de la protection des données bien fondés afin d'obtenir une éventuelle réduction de la responsabilité.

Reste à savoir dans quelle mesure les tribunaux prendront en compte les concrétisations contenues dans les MRiDaVG concernant l'interprétation et l'application des dispositions du droit des amendes. Ce sont précisément les questions relatives à la portée de la priorité d'application du droit de l'Union, à la définition du contenu du pouvoir d'appréciation conforme aux obligations ou à l'admissibilité de la mention du nom dans les relations publiques qui pourraient faire l'objet de contrôles judiciaires à l'avenir.

Dans l'ensemble, les MRiDaVG renforcent la sécurité juridique pour tous les participants à la procédure, mais augmentent en même temps la pression sur les organes qui traitent les données. Ceux-ci doivent améliorer leur organisation et leurs pratiques en matière de protection des données. Documentation de manière conséquente aux exigences RGPD et s'adapter aux pratiques procédurales nationales.

Source : Modèle de lignes directrices pour la procédure relative aux amendes infligées par les autorités de contrôle de la protection des données (MRiDaVG)

Les tags :

Partager ce post :

Catégories populaires

Bulletin d'information

Abonnez-vous à notre lettre d'information sur la protection des données pour recevoir les dernières mises à jour, conseils et connaissances directement dans votre boîte de réception.