Bilan du RGPD : les régulateurs européens ont infligé plus de 114 millions d'euros d'amendes

La France championne avec 50 millions d'euros d'amendes infligées

Les régulateurs européens ont infligé 114 millions d'euros d'amendes pour violation de données depuis l'entrée en vigueur de règles de confidentialité plus strictes à la mi-2018, les approches variant considérablement d'un pays à l'autre. Selon un rapport du cabinet d'avocats DLA Piper, la France a infligé la plus grosse amende (50 millions d'euros à Google). À la suite de deux violations de données de grande envergure, l'ICO (Information Commissioner's Office) britannique a publié deux avis d'intention d'imposer des amendes en juillet 2019 totalisant 282 millions de livres sterling (environ 329 millions d'euros), bien qu'aucune de celles-ci n'ait été finalisée à la date du présent rapport. Du côté du nombre de notifications de violations de données, les Pays-Bas, la Grande-Bretagne et l'Allemagne sont en tête en termes de nombre de notifications de violation de données.

Le règlement général sur la protection des données a été introduit dans le but de protéger les informations personnelles sensibles et prévoit des sanctions sévères si les entreprises perdent le contrôle des données ou les traitent sans le consentement approprié. Il est mis en œuvre par une mosaïque de bureaux nationaux de protection des données dans les 28 États membres de l'Union européenne, la responsabilité incombant de manière disproportionnée à l'Irlande, principal régulateur des grandes enseignes de la Silicon Valley qui y ont basé leurs opérations européennes comme Facebook.

Les amendes à ce jour font pâle figure face aux sanctions de plusieurs milliards d'euros imposées dans les affaires antitrust de l'UE, mais elles devraient augmenter avec le temps, car les appels et les litiges soumettent les sanctions à un examen minutieux et créent des précédents juridiques.


Commentant le rapport 2020, Ross McKean, un partenaire de DLA Piper spécialisé dans la protection des données, a déclaré : « le RGPD a propulsé la question de la violation des données au grand jour. Le taux de notification des violations a augmenté de plus de 12 % par rapport au rapport de l'année dernière et les régulateurs sont en train de tester leurs nouveaux pouvoirs pour sanctionner et infliger des amendes aux organisations ». En principe, les régulateurs peuvent infliger des amendes de 2 % ou, dans certains cas, de 4 %, du chiffre d'affaires global. Dans la pratique, ils devront juger si une sanction aussi lourde résiste au tribunal, a estimé McKean.

« Cela va prendre du temps - les régulateurs vont hésiter à passer à la sanction de 4 %, car les entreprises vont faire appel », a déclaré McKean. « Et vous perdez votre crédibilité en tant qu'organisme de réglementation si vous vous faites exploser en appel ».

La plus grande sanction unique menacée jusqu'à présent a été en Grande-Bretagne, où le régulateur a proposé une amende de 183 millions de livres (239 millions de dollars) contre le propriétaire de British Airways IAG pour le vol de données d'un demi-million de clients.

En vertu du RGPD, les violations de données à caractère personnel susceptibles d'entraîner « un risque » pour les droits et libertés des personnes physiques doivent être notifiées par l'organisme « responsable du traitement » à l'autorité de contrôle de la protection des données appropriée sans retard injustifié et, si possible, au plus tard 72 heures après en avoir pris connaissance. Lorsqu'une violation de données à caractère personnel est susceptible d'entraîner un « risque élevé » pour les droits et libertés des personnes physiques, ces personnes doivent également être informées sans retard injustifié. Les organisations encourent de lourdes sanctions pour avoir omis de notifier les violations de données à caractère personnel dans les délais impartis, y compris des amendes pouvant aller jusqu'à 10 millions d'euros, ou jusqu'à 2 % du chiffre d'affaires mondial total de l'exercice précédent, le montant le plus élevé étant retenu.

De nombreuses organisations et, en fait, de nombreuses autorités de contrôle ont du mal à déterminer quand une violation est ou n'est pas à notifier, décision qui va dépendre du jugement du déclencheur juridique de la...