TL;DR
Lors de la plénière annoncée le 21 septembre 2026, le CEPD a adopté les lignes directrices 04/2026 sur la façon dont les autorités décident d'infliger une amende, seule ou avec les autres mesures correctrices de l'art. 58, § 2. Cinq étapes : base juridique de l'amende, personne sanctionnable, intention ou négligence, circonstances aggravantes et atténuantes, effectivité et proportionnalité. Manquement mineur : en règle générale pas d'amende, éventuellement un rappel à l'ordre. Manquement non mineur : forte présomption d'amende. Quatorze exemples pratiques. Elles remplacent les lignes directrices du groupe de l'article 29 de 2017 et complètent les 04/2022 sur le calcul du montant. Consultation ouverte jusqu'au 13 novembre 2026. La même plénière a adopté la version finale des lignes directrices 3/2025 sur l'articulation entre le DSA et le RGPD.
Ce qui change
Les lignes directrices 04/2022 expliquent comment se calcule le montant d'une amende. Il manquait l'étape d'avant : quand une autorité doit sanctionner et quand elle peut se limiter à une autre mesure. Le nouveau texte comble ce vide et remplace l'ancien document du groupe de l'article 29. Il décrit aussi chaque mesure correctrice — avertissements, rappels à l'ordre, injonctions, limitations et interdictions, retrait de certification — avec son objet et sa combinaison avec l'amende.
Les cinq étapes
- BASE JURIDIQUE. L'autorité vérifie que ce manquement peut donner lieu à amende, dans le RGPD ou le droit national.
- QUI RÉPOND. Responsable du traitement ou sous-traitant, selon qui est tenu par la disposition violée : la sécurité de l'art. 32, par exemple, oblige les deux.
- INTENTION OU NÉGLIGENCE. Pas de faute, pas d'amende. C'est la ligne déjà tracée par la Cour de justice dans Deutsche Wohnen (C-807/21, 5 décembre 2023).
- CIRCONSTANCES AGGRAVANTES ET ATTÉNUANTES. Si le manquement est mineur, en règle générale pas d'amende et au plus un rappel à l'ordre ; s'il ne l'est pas, il existe une forte présomption qu'une amende doit être infligée.
- EFFECTIVE, PROPORTIONNÉE, DISSUASIVE. Le dernier contrôle, avec la possibilité de s'écarter de l'approche standard si le cas le justifie.
La présomption qui compte
Le point le plus net est la quatrième étape. Hors manquements mineurs, l'amende n'est plus une option à justifier mais la règle, dont on ne s'écarte que pour de bonnes raisons. Pour qui comptait sur un premier rappel à l'ordre « de courtoisie », la marge se réduit.
Pourquoi cela compte aussi pour les petites structures
Les lignes directrices visent à aligner les autorités européennes : le même manquement devrait recevoir la même réponse à Rome, Lisbonne ou Stockholm. Pour une organisation, cela rend encore plus prévisible ce qui pèse à la quatrième étape — coopération, mesures déjà prises, documentation existante, remèdes rapides. Et c'est précisément ce qui se construit avant, pas pendant une procédure.
Ce que cela signifie pour le DPO
Quatre gestes
Un : la faute est une condition, appréciée sur ce que l'organisation savait et avait fait. Registre, AIPD, analyses de risques et procédures datées sont la preuve que la négligence est absente ou légère. Deux : garder la trace des actions correctrices avec dates et responsables, car elles comptent parmi les circonstances atténuantes. Trois : un rappel à l'ordre n'est pas « rien » : c'est une décision qui reste au dossier et pèse comme précédent. Quatre : qui veut commenter a jusqu'au 13 novembre 2026. Dans DPO Workspace, le diagnostic du registre et l'historique d'activité réunissent déjà dates, décisions et motifs.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
