{"id":33816,"date":"2024-09-27T17:01:44","date_gmt":"2024-09-27T17:01:44","guid":{"rendered":"https:\/\/2b-advice.com\/?p=33816"},"modified":"2024-09-27T17:02:54","modified_gmt":"2024-09-27T17:02:54","slug":"arret-eugh-sur-les-amendes-dsgvo-quel-pouvoir-dappreciation-pour-une-autorite-de-protection-des-donnees","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/fr\/2024\/09\/27\/eugh-urteil-zu-dsgvo-bussgelder-welches-ermessen-hat-eine-datenschutzbehorde\/","title":{"rendered":"Arr\u00eat de la CJUE sur les amendes RGPD : Quel est le pouvoir d'appr\u00e9ciation d'une autorit\u00e9 de protection des donn\u00e9es ?"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Les autorit\u00e9s de protection des donn\u00e9es doivent-elles intervenir en cas de violation des R\u00e8glement g\u00e9n\u00e9ral sur la protection des donn\u00e9es (RGPD)<\/a> infliger des amendes de mani\u00e8re obligatoire ? La Cour de justice des Communaut\u00e9s europ\u00e9ennes (CJCE) vient de se pencher sur cette question. Son jugement presque salomonique d\u00e9bouche \u00e9galement sur des recommandations pratiques pour les entreprises.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

CJCE : l'autorit\u00e9 de contr\u00f4le n'a pas \u00e0 infliger de sanction<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Dans l'affaire C-768\/21, la CJCE a trait\u00e9 une question centrale de la protection des donn\u00e9es : Quelles sont les obligations d'une autorit\u00e9 de contr\u00f4le en cas de violation de la protection des donn\u00e9es \u00e0 caract\u00e8re personnel ? Elle a notamment clarifi\u00e9 la question de savoir si une autorit\u00e9 de contr\u00f4le doit prendre des mesures correctives, telles que l'imposition d'une amende, lorsqu'elle constate une violation du RGPD.<\/p>

La CJCE a d\u00e9cid\u00e9 que l'autorit\u00e9 de surveillance disposait d'un pouvoir d'appr\u00e9ciation et n'\u00e9tait pas tenue d'imposer une sanction dans tous les cas.<\/p>

Le point de d\u00e9part de la proc\u00e9dure \u00e9tait une demande de d\u00e9cision pr\u00e9judicielle du Verwaltungsgericht Wiesbaden. La question essentielle \u00e9tait de savoir si, apr\u00e8s avoir constat\u00e9 une violation du RGPD, l'autorit\u00e9 de contr\u00f4le doit toujours prendre une mesure corrective, et notamment infliger une amende. Le requ\u00e9rant dans l'affaire au principal s'\u00e9tait plaint du fait que la caisse d'\u00e9pargne X n'avait pas notifi\u00e9 un acc\u00e8s non autoris\u00e9 \u00e0 ses donn\u00e9es \u00e0 caract\u00e8re personnel conform\u00e9ment \u00e0 l'article 34 du RGPD. Le commissaire du Hesse pour Protection des donn\u00e9es<\/a> et de la libert\u00e9 d'information (HBDI) a reconnu l'infraction, mais s'est abstenu de prendre des mesures correctives. Il a partag\u00e9 l'avis de la caisse d'\u00e9pargne selon lequel il n'y avait pas de risque \u00e9lev\u00e9 pour le plaignant.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Les amendes comme d\u00e9cision discr\u00e9tionnaire<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La CJUE a d\u00fb se prononcer sur l'interpr\u00e9tation de l'article 57, paragraphe 1, points a) et f), et de l'article 58, paragraphe 2, du RGPD. Ces dispositions concernent les t\u00e2ches et les pouvoirs des autorit\u00e9s de contr\u00f4le en mati\u00e8re d'infractions \u00e0 la protection des donn\u00e9es. La question centrale \u00e9tait de savoir si une autorit\u00e9 de contr\u00f4le doit prendre une mesure pour chaque violation constat\u00e9e.<\/p>

La Cour a estim\u00e9 que l'autorit\u00e9 de contr\u00f4le disposait d'un pouvoir d'appr\u00e9ciation. Elle n'est pas oblig\u00e9e de prendre des mesures correctives dans tous les cas. Ces mesures doivent \u00eatre appropri\u00e9es, n\u00e9cessaires et proportionn\u00e9es pour rem\u00e9dier \u00e0 la d\u00e9ficience constat\u00e9e. Cela signifie que, dans certains cas, une autorit\u00e9 de contr\u00f4le peut s'abstenir de prendre des sanctions, y compris des amendes, si les d\u00e9ficiences constat\u00e9es ont \u00e9t\u00e9 corrig\u00e9es et qu'aucune autre infraction n'est \u00e0 pr\u00e9voir.<\/p>

La CJUE a pr\u00e9cis\u00e9 que l'objectif du RGPD est de garantir un niveau de protection \u00e9lev\u00e9 et uniforme des donn\u00e9es \u00e0 caract\u00e8re personnel. Dans ce contexte, l'autorit\u00e9 de contr\u00f4le a l'obligation de veiller au respect du r\u00e8glement. Elle n'est toutefois pas oblig\u00e9e d'imposer des sanctions dans chaque cas particulier. Ainsi, en cas d'infraction mineure ou si des mesures ont d\u00e9j\u00e0 \u00e9t\u00e9 prises pour \u00e9viter de futures infractions, il est possible de renoncer \u00e0 des sanctions.<\/p>

Conseil de lecture :<\/strong> Les cinq amendes les plus \u00e9lev\u00e9es du RGPD en ao\u00fbt 2024<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Cons\u00e9quences de l'arr\u00eat de la CJCE pour les entreprises<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L'arr\u00eat de la CJUE rev\u00eat \u00e9galement une importance consid\u00e9rable pour la planification strat\u00e9gique des mesures de protection des donn\u00e9es dans les entreprises.<\/p>

1. Accent plus fort sur des programmes de conformit\u00e9 complets<\/strong>
Les entreprises doivent aller au-del\u00e0 de la simple conformit\u00e9 aux exigences l\u00e9gales et consid\u00e9rer la protection des donn\u00e9es comme une partie int\u00e9grante de leur strat\u00e9gie commerciale. La mise en \u0153uvre des mesures de protection des donn\u00e9es doit \u00eatre proactive et document\u00e9e.<\/p>

2. G\u00e9rer les incoh\u00e9rences au sein de l'UE<\/strong>
L'application diff\u00e9rente du RGPD par les autorit\u00e9s de protection des donn\u00e9es dans diff\u00e9rents \u00c9tats membres de l'UE peut poser des d\u00e9fis aux entreprises actives au niveau international. Une strat\u00e9gie de protection des donn\u00e9es coh\u00e9rente mais flexible est n\u00e9cessaire pour faire face \u00e0 ces d\u00e9fis.<\/p>

3. Besoin de conseils juridiques<\/strong>
Les entreprises devraient demander r\u00e9guli\u00e8rement des conseils juridiques afin de s'assurer que leurs pratiques en mati\u00e8re de protection des donn\u00e9es sont \u00e0 jour et conformes aux interpr\u00e9tations des diff\u00e9rentes autorit\u00e9s nationales.<\/p>

4. responsabilit\u00e9 et obligation de rendre compte<\/strong>
La d\u00e9cision souligne l'importance de la responsabilit\u00e9 et de la transparence dans le traitement des donn\u00e9es \u00e0 caract\u00e8re personnel. Les entreprises doivent \u00eatre en mesure de d\u00e9montrer que leurs activit\u00e9s de traitement respectent les principes du RGPD.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

\u00c9viter les amendes li\u00e9es au RGPD : Recommandations d'action pour les entreprises<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t