Quand on sanctionne et quand on ne sanctionne pas : le CEPD écrit la partie qui manquait

La distinction entre les deux documents est la seule chose à bien saisir. Les lignes directrices de 2022 répondent à la question « combien » : on part de la gravité, on trouve un point de départ, on applique les facteurs de l'art. 83, § 2, on regarde le chiffre d'affaires. Les 04/2026 répondent à une question antérieure que personne n'avait jamais mise par écrit de façon ordonnée : « aboutit-on ou non à une amende, et pourquoi pas à un rappel à l'ordre, à une injonction ou à une limitation ». Hier encore, cette partie relevait de la pratique, c'est-à-dire qu'elle variait d'une autorité à l'autre.

La méthode compte cinq étapes, à lire dans l'ordre : chacune peut clore l'affaire avant la suivante.

• Première : l'autorité vérifie que le manquement reproché peut donner lieu à une amende, en trouvant son fondement dans le RGPD ou dans le droit national.
• Deuxième : elle vérifie que la partie mise en cause peut en être destinataire. Que le responsable ou le sous-traitant réponde dépend de celui qui est lié par la disposition violée.
• Troisième : elle apprécie si le manquement a été commis de manière intentionnelle ou par négligence. La culpabilité est une condition de l'amende, non un facteur de réduction.
• Quatrième : elle pèse les circonstances aggravantes et atténuantes. Si le manquement est mineur, en règle générale il n'y a pas d'amende et l'on recourt au rappel à l'ordre ; s'il n'est pas mineur, il existe une forte présomption qu'une amende doive être prononcée.
• Cinquième : elle vérifie que l'amende est effective, proportionnée et dissuasive dans le cas d'espèce, et s'il y a lieu de s'écarter de l'approche ordinaire.

La troisième étape mérite la même attention, pour la raison inverse. La culpabilité est présentée comme une condition : sans intention ni négligence, pas d'amende. Cela ressemble à une bonne nouvelle pour le responsable, et ça l'est en partie, mais cela se retourne aussitôt en charge pratique. L'absence de faute ne s'affirme pas, elle se montre : avec la date à laquelle un risque a été repéré, l'avis rendu par le DPO, la décision prise par l'organe qui pouvait la prendre, l'action menée. Une organisation qui ne garde aucune trace de ces éléments n'a aucun moyen de se distinguer d'une organisation négligente, car de l'extérieur les deux se ressemblent énormément.

La partie la plus utile du document, pour ceux qui travaillent, ce sont les quatorze exemples pratiques : des cas construits pour montrer comment une autorité choisit entre rappel à l'ordre, injonction, limitation, interdiction, retrait de certification et amende, et quand elle les combine. Ce matériau vaut plus que bien des pages de principes, parce qu'il rend lisible la frontière entre les situations.

Dernier point, et il a une échéance. Le texte est en consultation publique jusqu'au 13 novembre 2026 : chacun peut envoyer des observations, pas seulement les associations professionnelles. Pour un cabinet suivant des clients dans plusieurs États, c'est une occasion concrète, car c'est précisément l'hétérogénéité entre autorités nationales que ces lignes directrices déclarent vouloir résorber.