Source: http://fr.privacyvox.com/nouveau-reglement/gdpr-sanctions/
Timestamp: 2019-08-19 11:48:13+00:00
Document Index: 25553361

Matched Legal Cases: ['art. 5', 'art.5', 'art.9', 'art.12', 'art.58', 'art. 58', 'art.11', 'art.25', 'art.39', 'art. 41']

GDPR : Sanctions (amendes administratives) - Privacy Vox
En vertu de l’article 83 du nouveau règlement européen sur la protection des données (GDPR) applicable à partir de mai 2018, le montant des amendes potentielles a considérablement augmenté.
Même si les autorités ont d’autres pouvoirs pour faire appliquer le GDPR, comme par exemple l’émission d’un avertissement ou d’une ordonnance, elles peuvent éventuellement infliger une amende maximale de 20 millions d’euros ou de 4% du chiffre d’affaires annuel mondial de l’exercice précédent.
Il existe deux catégories d’infractions:
Celles qui font l’objet d’une amende pouvant s’élever à 20 millions ou 4% du chiffre d’affaires mondial annuel et
Celles qui font l’objet d’une amende moins importante pouvant s’élever à 10 millions d’euros ou jusqu’à 2% du chiffre d’affaires global annuel.
Ci-dessous une liste des infractions assujetties à ces sanctions administratives:
1. Infractions punies par des amendes pouvant s’élever à 20 millions d’euros ou 4% du chiffre d’affaire mondial
Violation des principes de bases dont les conditions du consentement (art. 5, 6, 7, 9)
Il s’agit d’une violation des principes suivants:
Principes protection des données (art.5 voir ici pour plus de détails)
Légitimité des traitements (un traitement doit être fondé sur le consentement, la performance d’un contrat, un intérêt légitime, une obligation légale etc.)
Les conditions pour obtenir un consentement valide (voir ici pour plus détails)
Conditions supplémentaires pour pour traité des catégories spéciales de données ou des données relatives aux infractions (art.9)
Violation des droits des personnes concernées (art.12 à 22)
Les droits des personnes concernées sont les suivants :
- droit de suppression,
- droit de restriction,
- droit à la portabilité (voir article ici)
Chaque responsable de traitements doit être en mesure de répondre à toute sorte de demandes relatives aux droits des personnes concernées (voir ici pour plus d'information sur les droits des personnes)
Non respect des exigences relatives au transfert de données hors UE ou vers une organisation internationale
Lorsque des données personnes sont transférées vers un pays hors UE ou une organisation internationale qui n’offrent pas un niveau de protection adéquat, il est nécessaire de mettre en place des garanties supplémentaires tels que les BCR, les clauses contractuelles types ou le privacy shield, certification etc.
Dans certaines circonstances, le responsable de traitement ou le sous-traitant peuvent transférer les données sur la base d’une exception prévue dans le réglement.
Violation des obligations relatives aux lois adoptées par les Etats membres dans le cadre du Chapitre IX
Certaines activités de traitements sont soumises aux lois des Etats membres. Le chapitre 9 du règlement permet aux Etats membres de poser leur conditions en ce qui concerne les secteurs/activités suivantes:
libertés de la presse/d’expression et de l’information
utilisation du numéro national d’identification
les exceptions relatives à l’archivage public, la recherche scientifique, historique et statistique
l’utilisation des données par les associations religieuses et l’Eglise
Le non respect des exigences légales des Etats membres est également une violation du Règlement.
Non conformité à un odre, une limitation de traitement ou une suspension de transferts par une autorité de contrôle (art.58)
Les autorités de contrôle ont le pouvoir de contrôler, de sanctionner mais également de donner des ordres ou avertissements.
La non conformité à ces ordres est susceptible de sanction. (voir art. 58 pour plus de détails)
2. Infractions punies par des amendes pouvant s’élever à 10 millions d’euros ou 2% du chiffre d’affaire mondial
Consentement des mineurs (article 8)
Lorsqu’un enfant est âgé de moins de 16 ans, le consentement de ses parents est obligatoire pour traiter ses données personnelles.
La limite d’âge peut être abaissée à 13 ans dans certains Etats membres
Traitements qui ne nécessitent pas d’identification (art.11)
Lors qu’un responsable de traitement n’a pas plus besoin d’identifier les personnes concernées, il ne devrait pas collecté ou conserver les données permettant cette identification dans le seul but d’être en conformité avec le Règlement.
Par exemple, nous pouvons imaginer qu’un responsable de traitement ne devrait pas continuer de pouvoir identifier les personnes concernées dans le seul but de répondre à une hypothétique demande de droit d’accès.
La protection des données à la conception et par défaut (art.25)
Si aucune mesure technique et/ou organisationnelle telles que des procédures n’ont été mises en place pour assurer la conformité des traitements au principes de protection des données (voir ici), ce devrait être considéré comme une violation de l’article 25.
Voir ici pour plus de détails sur la protection des données à la conception et par défaut
Missions du délégué à la protection des données (art.39)
Le délégué à la protection des donnée n’est pas directement responsable de la non conformité des responsables de traitements ou sous-traitant au règlement.
Par conséquent, nous pouvons déduire qu’une violation de l’article 39 pourrait être l’impossibilité pour le délégué à la protection des données d’accomplir ses missions. (voir ici les missions du DPO)
Code de conduite, certification, organismes de certification et de surveillance (art. 41, 42, 43)
Les codes de conduites et les certifications permettent aux responsables de traitements ou sous-traitants de prouver leur conformité à certains points du Règlement.
Certaines entreprises d’un secteur peuvent adhérer à un code de conduite relatif à leur secteur d’activité et accepter d’être surveillé par des organes de surveillances indépendants.
D’autres peuvent obtenir un certificat (ou label) afin de prouver leur conformité. Le certificat est délivrer par un organisme indépendant.
Ainsi toute violation du certificat par les responsables de traitements ou des obligations relatives à l’indépendances etc. des organes de surveillance et de certification par ces derniers, peut être puni d’une amende
Étiqueté avec :gdpr introduction sanctions
Arnaud 11th mars 2017 11th mars 2017 Nouveau Règlement (GDPR)
← Protection des données à la conception et par défaut
Italie : Amende record de 11 million d’euros pour cinq sociétés →