Source: http://www.gdpr-expert.eu/article.html?id=83
Timestamp: 2018-09-23 12:31:23+00:00

Document:
Article 83 : Conditions générales pour l'imposition d'amendes administratives - GDPR.expert
Afficher les articles et mots clés liés à l’article 83 expand_more Cacher les articles et mots clés liés à l’article 83 expand_less
Mots clés liés à l'article 83
Afficher les considérants du Règlement liés à l'article 83 keyboard_arrow_down Cacher les considérants du Règlement liés à l'article 83 keyboard_arrow_up
Afficher les considérants de la Directive 95/46 liés à l'article 83 keyboard_arrow_down Cacher les considérants de la Directive 95/46 liés à l'article 83 keyboard_arrow_up
Guidelines on the application and setting of administrative fines for the purposes of the Regulation 2016/679 (3 octobre 2017)
arrow_back Article précédent • Article 83 • Article suivant arrow_forward
Les autorités de contrôles nationales reçoivent la compétence de prononcer des amendes administratives pour des violations du Règlement énumérées aux paragraphes 4, 5 et 6 de l’article 83 et exposées ci-dessous.
Ces amendes doivent être dans chaque cas effectives, proportionnées et dissuasives (§ 1er)
Selon les caractéristiques propres à chaque cas, les amendes sont imposées en complément ou à la place des mesures correctives visées aux points a) à h) et j) de l’article 58, § 2 qui peuvent être imposées par l’autorité de contrôle.
Pour fixer le montant de l’amende, l’autorité doit tenir compte, dans chaque cas, de pas moins 11 éléments visés dans la disposition tels que par exemple :
-la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que le nombre de personnes concernées en jeu et le niveau de dommage qu'elles ont subi (a) ;
-le fait que l'infraction a été commise intentionnellement ou par négligence (b) ;
-les mesures prises par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées (c) ;
-le degré de responsabilité du responsable ou du sous-traitant au regard des mesures mises en place en vertu des articles 25 (protection by design et protection par défaut) et 32 (sécurité du traitement) (d) ;
-les violations de données antérieures imputables au responsable ou au sous-traitant (e) ; le degré de coopération avec l’autorité de contrôle afin de remédier à la violation et d’en atténuer les possibles effets nuisibles (f) ;
-les catégories de données traitées (g) ; la manière dont l’autorité de contrôle a été informée de la violation, en ce compris si une notification de la violation de données à l’autorité a été effectuée ou non (h).
Lorsque des mesures correctives préalables à la violation ont été ordonnées au regard de la même problématique, la question du respect desdites mesures par le responsable ou le sous-traitant doit être prise en compte (i). Il doit être également tenu compte de l’adhésion à un code de conduites ou à un mécanisme de certification (j) ; de n’importe quel autre facteur aggravant ou atténuant applicable au cas d’espèce, tel qu’un avantage financier obtenu ou perdu, directement ou indirectement, de la violation (k).
Au niveau des montants, un système graduel existe selon la gravité attribuée à l’infraction :
1. Amende jusque 10 000 000 euro ou dans le cas d'une entreprise, 2 % de son chiffre d'affaires annuel total au niveau mondial pour l'exercice précédent, en retenant le montant le plus élevé pour les violations (§ 4) :
- des obligations du responsable et du sous-traitant (a):
relatives au consentement des enfants en lien avec des services de la société de l’information (art. 8) ;
en matière de traitement ne nécessitant pas d’identification (art. 11) ;
en matière de protection des données dès la conception et de protection des données par défaut (art. 25) ;
des règles propres aux responsables conjoints du traitement (art. 26) ;
en matière de représentants des responsables qui ne sont pas établis dans l’Union (art. 27) ;
s’imposant dans la relation entre le responsable et le sous-traitant (art. 28) ;
en matière de traitement effectué sous l'autorité du responsable du traitement et du sous-traitant (art. 29) ;
relatives à la tenue du registre de toutes les catégories d’activités de traitement (art. 30) ;
concernant la coopération avec l’autorité de contrôle (art. 31) ;
relatives à la sécurité des traitements (art. 32) ;
relatives à la notification des violations de données à l’autorité de contrôle (art. 33) ;
relatives à la communication des violations de données aux personnes concernées (art. 34) ;
concernant l’analyse d’impact relative à la protection des données (art. 35) et la consultation préalable de l’autorité de contrôle (art. 36) ;
concernant la désignation du délégué à la protection des données (art. 37), ses fonctions (art. 38), ses missions (art. 39) ;
en matière de certification (art. 42) et de procédure de certification (art. 43).
- des obligations de l’organisme de certification au sens des articles 42 et 43 (b) ;
- des obligations de l’organisme chargé de surveiller le respect du code de conduite au sens de l’article 41, § 4 (c).
2. Amende jusque 20 000 000 euros ou dans le cas d'une entreprise, 4 % de son chiffre d'affaires annuel total au niveau mondial pour l'exercice précédent, en retenant le montant le plus élevé pour les violations des dispositions suivantes (§ 5) :
- les principes de base des traitements, en ce compris les conditions du consentement au sens des articles 5 (Principes relatifs au traitement des données à caractère personnel), 6 (licéité du traitement), 7 (conditions applicables au consentement) et 9 (Traitement des catégories particulières de données à caractère personnel) ;
- des droits des personnes concernées au sens des articles 12 à 22 du Règlement ;
-des règles relatives aux transferts de données à un destinataire d’un pays tiers ou d’une organisation (art. 44 à 49) ;
- toutes les obligations mises en place par le droit national conformément au chapitre IX ; on se rappellera que le chapitre IX laisse aux États membres une certaine marge d’appréciation en matière notamment de traitements des données à caractère personnel et liberté d'expression et d'information (cfr. art 85) ; traitements d’un numéro d’identification national (art 87), etc…
- le non-respect d’une injonction de limitation temporaire ou définitive de traitement ou de suspension du flux de données, prononcée par une autorité de contrôle en vertu des articles 58, § 2 ou lorsque le responsable ne permet pas l’accès en violation de l’article 58, § 1er ;
En outre, le non-respect d’une injonction d’une autorité de contrôle expose son auteur à une amende de 20 000 000 euros, ou, dans le cas d’une entreprise, jusqu’à 4% du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu (§ 6).
À noter que si le responsable ou le sous-traitant viole intentionnellement ou par négligence différentes dispositions du Règlement, le montant total de l’amende ne peut pas excéder le montant spécifié pour la violation la plus grave (§ 3).
Sans préjudice des éventuelles mesures correctrices imposées par les autorités de contrôle au sens de l’article 58, § 2, chaque État membre peut édicter des règles concernant la possibilité et la mesure de l’imposition d’amendes administratives aux autorités publiques et institutions établies dans cet État membre (§ 7).
L'exercice, par l'autorité de contrôle, des pouvoirs d’imposer une amende est soumis à des garanties procédurales appropriées conformément au droit de l'Union ou à la législation d'un État membre, y compris le droit à un recours effectif et à une procédure régulière (§ 8).
Enfin, lorsque le système juridique d’un État membre ne permet pas la mise en place d’amendes administratives, l’article 83 peut être appliqué de telle sorte que l’amende soit initiée par une autorité de contrôle et imposé par une juridiction nationale compétente (§ 9). Dans ce cas, les recours judiciaires doivent être effectifs et avoir des effets équivalents aux amendes administratives prononcées par des autorités de contrôle. Dans tous les cas, lesdites amendes doivent être effectives, proportionnées et dissuasives. Les États membres qui font usage de cette faculté doivent notifier à la commission les dispositions de leur droit national au plus tard au moment où le Règlement est applicable en vertu de de l’article 99, § 2, et notifier sans délai les modifications ultérieures.
La Directive s’en remettait totalement aux États membres en ce qui concerne les sanctions à appliquer en cas de violation des dispositions prises en application de la Directive (art. 24).
La Belgique n’avait pas reconnu de compétence à la Commission de la protection de la vie privée lui permettant d’imposer des amendes.
En France, la CNIL avait reçu compétence pour prononcer des sanctions pécuniaires, sous certaines conditions, pouvant aller jusque 300 000 euros (art. 43 et 45 de la loi Informatique et Libertés
Les difficultés les plus évidentes seront de reconnaître de tels pouvoirs aux autorités de contrôle dans des systèmes juridiques qui n’ont pas une telle culture et de prévoir des garanties procédurales dans des procédures nouvelles mises en œuvre en marge des règles générales de procédure.
En Belgique par exemple, la reconnaissance éventuelle d’un tel pouvoir d’imposer des amendes d’un tel montant modifierait du tout au tout la relation des justiciables à la Commission de protection de la vie privée. Cette dernière, on l’a dit, était plus conçue comme un organe de conciliation que de répression et ne disposait d’aucun pouvoir en matière d’amende.
A noter que le pouvoir de l’autorité nationale pourrait être limité à l’initiation de l’amende, seule une juridiction ayant la compétence de l’imposer. Reste à savoir dans ce cas, ce que recouvrirait ce pouvoir d’initiation et si la juridiction pourrait ou non revenir ou refuser d’appliquer celle-ci dans le cadre de son intervention.
Afficher les articles et mots clés liés à l’article 83 expand_more
2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 58, paragraphe 2, points a) à h), et j). Pour décider s'il y a lieu d'imposer une amende administrative et pour décider du montant de l'amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments suivants:
d) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en oeuvre en vertu des articles 25 et 32;
a) les obligations incombant au responsable du traitement et au sous-traitant en vertu des articles 8, 11, 25, 26, 27, 28, 29, 30, 31, 32, 33, 34, 35, 36, 37, 38, 39, 42 et 43;
9. Si le système juridique d'un État membre ne prévoit pas d'amendes administratives, le présent article peut être appliqué de telle sorte que l'amende est déterminée par l'autorité de contrôle compétente et imposée par les juridictions nationales compétentes, tout en veillant à ce que ces voies de droit soit effectives et aient un effet équivalent aux amendes administratives imposées par les autorités de contrôle. En tout état de cause, les amendes imposées sont effectives, proportionnées et dissuasives. Les États membres concernés notifient à la Commission les dispositions légales qu'ils adoptent en vertu du présent paragraphe au plus tard le … [deux ans à compter de la date d'entrée en vigueur du présent règlement], et, sans tarder, toute disposition légale modificative ultérieure ou toute modification ultérieure les concernant.
a) ne fournit pas les informations, fournit des informations incomplètes ou ne fournit pas les informations [en temps voulu ou] de façon [suffisamment] transparente à la personne concernée conformément à l'article 12, paragraphe 3, et aux articles 14 et 14 bis;

References: l'article 83
 l'article 83
 l'article 83
 l'article 83
 l'article 83
 § 2
 § 4
 § 2
 § 1
 § 2
 § 2
 l'article 58
 l'article 12