Bilan du RGPD : les régulateurs européens ont infligé plus de 114 millions d'euros d'amendes

La France championne avec 50 millions d'euros d'amendes infligées

Les régulateurs européens ont infligé 114 millions d'euros d'amendes pour violation de données depuis l'entrée en vigueur de règles de confidentialité plus strictes à la mi-2018, les approches variant considérablement d'un pays à l'autre. Selon un rapport du cabinet d'avocats DLA Piper, la France a infligé la plus grosse amende (50 millions d'euros à Google). À la suite de deux violations de données de grande envergure, l'ICO (Information Commissioner's Office) britannique a publié deux avis d'intention d'imposer des amendes en juillet 2019 totalisant 282 millions de livres sterling (environ 329 millions d'euros), bien qu'aucune de celles-ci n'ait été finalisée à la date du présent rapport. Du côté du nombre de notifications de violations de données, les Pays-Bas, la Grande-Bretagne et l'Allemagne sont en tête en termes de nombre de notifications de violation de données.

Le règlement général sur la protection des données a été introduit dans le but de protéger les informations personnelles sensibles et prévoit des sanctions sévères si les entreprises perdent le contrôle des données ou les traitent sans le consentement approprié. Il est mis en œuvre par une mosaïque de bureaux nationaux de protection des données dans les 28 États membres de l'Union européenne, la responsabilité incombant de manière disproportionnée à l'Irlande, principal régulateur des grandes enseignes de la Silicon Valley qui y ont basé leurs opérations européennes comme Facebook.

Les amendes à ce jour font pâle figure face aux sanctions de plusieurs milliards d'euros imposées dans les affaires antitrust de l'UE, mais elles devraient augmenter avec le temps, car les appels et les litiges soumettent les sanctions à un examen minutieux et créent des précédents juridiques.


Commentant le rapport 2020, Ross McKean, un partenaire de DLA Piper spécialisé dans la protection des données, a déclaré : « le RGPD a propulsé la question de la violation des données au grand jour. Le taux de notification des violations a augmenté de plus de 12 % par rapport au rapport de l'année dernière et les régulateurs sont en train de tester leurs nouveaux pouvoirs pour sanctionner et infliger des amendes aux organisations ». En principe, les régulateurs peuvent infliger des amendes de 2 % ou, dans certains cas, de 4 %, du chiffre d'affaires global. Dans la pratique, ils devront juger si une sanction aussi lourde résiste au tribunal, a estimé McKean.

« Cela va prendre du temps - les régulateurs vont hésiter à passer à la sanction de 4 %, car les entreprises vont faire appel », a déclaré McKean. « Et vous perdez votre crédibilité en tant qu'organisme de réglementation si vous vous faites exploser en appel ».

La plus grande sanction unique menacée jusqu'à présent a été en Grande-Bretagne, où le régulateur a proposé une amende de 183 millions de livres (239 millions de dollars) contre le propriétaire de British Airways IAG pour le vol de données d'un demi-million de clients.

En vertu du RGPD, les violations de données à caractère personnel susceptibles d'entraîner « un risque » pour les droits et libertés des personnes physiques doivent être notifiées par l'organisme « responsable du traitement » à l'autorité de contrôle de la protection des données appropriée sans retard injustifié et, si possible, au plus tard 72 heures après en avoir pris connaissance. Lorsqu'une violation de données à caractère personnel est susceptible d'entraîner un « risque élevé » pour les droits et libertés des personnes physiques, ces personnes doivent également être informées sans retard injustifié. Les organisations encourent de lourdes sanctions pour avoir omis de notifier les violations de données à caractère personnel dans les délais impartis, y compris des amendes pouvant aller jusqu'à 10 millions d'euros, ou jusqu'à 2 % du chiffre d'affaires mondial total de l'exercice précédent, le montant le plus élevé étant retenu.

De nombreuses organisations et, en fait, de nombreuses autorités de contrôle ont du mal à déterminer quand une violation est ou n'est pas à notifier, décision qui va dépendre du jugement du déclencheur juridique de la notification - là où il existe un « risque » pour les droits et libertés des personnes physiques. Aucun de ces termes n'est défini dans le RGPD. Certaines orientations sont disponibles, y compris, au niveau de l'UE, les lignes directrices sur la notification de violation de données à caractère personnel qui ont été initialement publiées par le groupe de travail Article 29 et adoptées par la suite par le Comité européen de la protection des données. Cependant, les orientations sont de haut niveau et ouvertes à une large interprétation. De plus amples informations seraient appréciées tant par les organisations signalant des infractions que par les autorités de contrôle évaluant les infractions afin de favoriser la cohérence et les meilleures pratiques en matière d'évaluation des risques. Une approche cohérente aiderait également les autorités de contrôle de l'UE à trier et à identifier plus rapidement les violations de données personnelles les plus graves.


Les retombées positives du RGPD

Mis à part les enquêtes, le RGPD a aussi entraîné des bénéfices pour les consommateurs de l’UE à mesure que les entreprises ont redoublé d’efforts pour éduquer le public sur leurs pratiques en matière de données. La mise en place de mécanisme d’accès, de rectification, et de suppression de requêtes a donné a des millions de personnes un moyen facile de mieux contrôler l’utilisation de leurs données personnelles. Et les droits donnés aux consommateurs de l’UE ont des conséquences sur beaucoup de consommateurs ne faisant pas partie de l’UE qui bénéficient de pratiques améliorées à mesure que les entreprises adoptent une approche du plus grand dénominateur commun à la confidentialité des données.

En l’absence de gros titres sur des enquêtes classées qui entraînent des amendes énormes, l’une des questions sur le RGPD désormais est de savoir si les entreprises vont devenir complaisantes et vont réduire la portée de leurs programmes de protection de la vie privée.

À l'occasion du premier anniversaire du RGPD le 25 mai 2019, Andrus Ansip, vice-président pour le marché unique numérique, et Věra Jourová, commissaire pour la justice, les consommateurs et l'égalité des genres, ont fait la déclaration suivante :

« La sensibilisation des citoyens progresse, ce qui est un signe très encourageant. Selon des chiffres récents, près de six personnes sur dix savent qu'il existe, dans leur pays, une autorité chargée de la protection des données. Cela représente une augmentation significative par rapport au chiffre de quatre personnes sur dix enregistré en 2015. Les autorités chargées de la protection des données ont un rôle essentiel à jouer pour que le règlement général sur la protection des données produise des résultats sur le terrain.

« La nouvelle législation est devenue le plancher réglementaire de l'Europe, qui détermine notre réponse dans bien d'autres domaines. L'intelligence artificielle, le développement des réseaux 5G et l'intégrité de nos élections sont autant de domaines où l'existence de règles strictes en matière de protection des données contribue à ce que l'élaboration de nos politiques et de nos technologies repose sur la confiance des citoyens.

« Le rayonnement des principes...