Lignes directrices 04/2026 du CEPD : quand une violation du RGPD mène à une amende
Le CEPD fixe cinq étapes pour décider si une violation du RGPD donne lieu à une amende ou à un rappel à l'ordre. Commentaires jusqu'au 13 novembre 2026.
Le 17 septembre 2026, le Comité européen de la protection des données (CEPD) a adopté les lignes directrices 04/2026. Elles indiquent aux autorités nationales comment décider si une violation du RGPD doit être sanctionnée par une amende ou traitée par une autre mesure correctrice, comme un rappel à l'ordre ou une injonction. Le CEPD les a publiées le 21 septembre 2026. Les commentaires sont possibles jusqu'au 13 novembre 2026, 23 h 59 CET.
Elles remplacent les anciennes lignes directrices du G29 sur les amendes administratives et complètent celles du CEPD sur le calcul du montant des amendes.
Les cinq étapes
- La violation peut-elle donner lieu à une amende ? L'autorité a besoin d'une base dans le RGPD ou dans le droit national.
- Cette partie peut-elle être sanctionnée ? La responsabilité du responsable du traitement ou du sous-traitant dépend de qui est tenu par la disposition violée.
- Intention ou négligence ? Une violation fautive est une condition de l'amende.
- La violation est-elle mineure ? L'autorité pèse les circonstances aggravantes et atténuantes de l'article 83, paragraphe 2. Une violation mineure ne donne en général pas lieu à une amende ; un rappel à l'ordre peut être prononcé à la place. Si elle n'est pas mineure, il existe une forte présomption qu'une amende sera infligée.
- Une amende serait-elle effective, proportionnée et dissuasive ? L'autorité peut ici trouver une raison de s'écarter de l'approche générale dans un cas précis.
Les lignes directrices présentent aussi les autres pouvoirs correctifs (avertissements, rappels à l'ordre, injonctions, limitations y compris interdictions, retrait de certification) et donnent 14 exemples pratiques.
Également définitives : DSA et RGPD
Lors de la même plénière, le CEPD a adopté la version définitive des lignes directrices 3/2025 sur l'articulation entre le règlement sur les services numériques (DSA) et le RGPD, pour les services intermédiaires qui traitent des données personnelles.
Que faire maintenant
À l'étape 4, les facteurs de l'article 83, paragraphe 2, décident entre rappel à l'ordre et amende : notamment les mesures prises pour limiter le dommage, votre coopération avec l'autorité, les violations antérieures et les catégories de données concernées. Pouvoir le démontrer rapidement compte.
Dazr Compliance réunit ces preuves en un seul endroit : votre registre des activités de traitement (article 30), les AIPD avec l'historique de chaque modification, des contrôles RGPD récurrents et un registre des violations avec un compte à rebours de 72 heures. Pour commenter les lignes directrices, utilisez le formulaire de consultation du CEPD avant le 13 novembre.
Sources
- EDPB: EDPB harmonises fining methodology and adopts final DSA-GDPR guidelines (21 September 2026)
- EDPB: Guidelines 04/2026 on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR, version 1.0 (adopted 17 September 2026)
- EDPB: public consultation on Guidelines 04/2026, 21 September to 13 November 2026
- EDPB: Guidelines 3/2025 on the interplay between the DSA and the GDPR, final version
À titre d’information, ne constitue pas un conseil juridique. Dernière mise à jour le 7 novembre 2026.
Également disponible en: English, Nederlands, Italiano, Deutsch, Español, Polski, Português, Română, Čeština, Slovenčina, Dansk, Svenska, Norsk bokmål