Le texte porte un titre technique : application du pouvoir d’infliger des amendes au regard des autres pouvoirs correcteurs. Le CEPD l’a adopté le 17 septembre 2026 en version 1.0, destinée à la consultation publique. Le communiqué du Comité, publié le 21 septembre, fixe la clôture des contributions au 13 novembre 2026 et annonce 14 exemples pratiques.
Ces lignes directrices remplacent celles du groupe de l’article 29 (WP253) et complètent les lignes directrices 04/2022 sur le calcul du montant. Leur objet se situe en amont du chiffrage : décider s’il faut sanctionner financièrement, ou recourir à un rappel à l’ordre, à une injonction, à une limitation du traitement, voire ne rien prononcer. Le document s’articule enfin avec le règlement (UE) 2025/2518 du 26 novembre 2025, qui ajoute des règles de procédure pour l’application du RGPD dans les dossiers transfrontaliers.
Une faute établie presque d’office
La méthode commence par trois vérifications préalables : le manquement est-il passible d’amende, l’organisme visé peut-il en répondre, l’infraction procède-t-elle d’une intention ou d’une négligence. La troisième marche offre peu de protection. Le CEPD considère qu’il suffit que l’organisme ait été en mesure de connaître le caractère illicite de sa conduite ; reprenant l’avocat général Emiliou, il relève que le seuil est si bas qu’on voit mal des situations où il ne serait pas atteint. Dès lors que des lignes directrices du CEPD existent sur le sujet, une erreur d’interprétation passe pour évitable.
La responsabilité de l’organisme s’étend en outre à toute personne agissant pour son compte. En s’appuyant sur l’arrêt Deutsche Wohnen de la CJUE, le CEPD rappelle qu’aucune implication ni connaissance de la direction n’est requise, et qu’un salarié ayant enfreint des consignes internes ne suffit pas, en principe, à rompre ce lien. Le responsable de traitement répond aussi des agissements de son sous-traitant, sauf lorsque celui-ci a traité les données pour ses propres fins ou d’une manière incompatible avec les instructions reçues.
Une charte interne ou un avis de conseil ne servent donc guère de bouclier. Le texte examine le cas d’une entreprise qui invoque une consultation externe pour justifier une information incomplète des personnes, sans pouvoir produire le moindre écrit sur cette consultation : l’autorité, incapable de vérifier sur quels faits l’avis reposait, lui refuse tout effet.
Le partage entre mineur et non mineur
Une fois la faute établie, la décision se joue sur la gravité. Si les facteurs de l’article 83, paragraphe 2, conduisent à qualifier le manquement de mineur, l’amende n’est en principe pas prononcée ; dans le cas inverse, une forte présomption joue en sa faveur. L’autorité vérifie ensuite que la mesure retenue reste effective, proportionnée et dissuasive.
Toute l’attention d’un organisme mis en cause devrait donc porter sur cette qualification, et les facteurs qui l’alimentent concernent largement ce qui se passe après la découverte du manquement.
Le moment de la réaction, premier critère
Le point c de l’article 83, paragraphe 2, vise les mesures prises pour atténuer le dommage subi par les personnes. Le CEPD y attache deux conditions : le moment où ces mesures interviennent et leur résultat concret. Celles adoptées spontanément, avant que l’organisme apprenne qu’une procédure le vise, ont davantage de chances d’être retenues en sa faveur.
La logique est cohérente avec l’économie générale du texte. Une correction engagée sous la pression de l’autorité prouve seulement que l’organisme obéit ; une correction engagée avant prouve qu’il dispose d’un dispositif capable de repérer et de traiter seul ses propres écarts.
Les arguments qui ne pèsent plus
Plusieurs défenses classiques perdent leur portée. L’absence d’antécédent ne vaut pas circonstance atténuante, la conformité constituant la norme. La coopération avec l’autorité relève d’une obligation légale ; elle ne compte en faveur de l’organisme que si elle va au-delà de ce que le droit exige et a réellement limité les conséquences pour les personnes. La notification d’une violation de données au titre de l’article 33 reste neutre, puisqu’elle est obligatoire ; seule la révélation spontanée d’un manquement non soumis à notification, avant que l’autorité en soit informée, peut jouer favorablement.
Le respect d’une mesure déjà ordonnée par l’autorité suit la même règle. Il ne pèse rien, sauf engagement renforcé allant au-delà de l’injonction. À l’inverse, un profit tiré du manquement constitue un indice fort que l’infraction n’est pas mineure, un gain économique ne pouvant être neutralisé par une mesure dépourvue de composante financière.
Les pièces au cœur de l’appréciation
Le passage le plus opérationnel figure sous le point d, consacré au degré de responsabilité. L’autorité y mesure jusqu’où l’organisme a fait ce qu’on pouvait raisonnablement attendre de lui, compte tenu de la nature, des finalités et de l’ampleur du traitement. Elle examine le risque résiduel, l’atteinte subie, le dommage persistant après les mesures adoptées et la solidité des dispositifs prévus aux articles 24, 25 et 32.
Pour conduire cette analyse, le CEPD invite l’autorité à prendre en compte les écrits que l’organisme transmet, notamment lorsqu’il exerce son droit d’être entendu. Ces pièces peuvent établir la date des mesures, leurs modalités de déploiement, les échanges avec le sous-traitant, les contacts avec le DPO ou avec les personnes concernées.
Le rattachement au principe de responsabilité est assumé. L’article 24 ne figure pas parmi les dispositions directement passibles d’amende, mais il traduit l’obligation de démontrer posée à l’article 5, paragraphe 2, laquelle est sanctionnable ; un manquement au premier peut ainsi caractériser un manquement au second.
Quand l’autorité renonce à agir
Le CEPD admet qu’une autorité ne soit pas tenue d’exercer un pouvoir correcteur à chaque manquement constaté. Il s’appuie sur l’arrêt Land Hessen de la CJUE (C-768/21) : l’abstention reste possible lorsque le responsable a pris, dès qu’il a eu connaissance du manquement, les mesures nécessaires pour y mettre fin et en prévenir la répétition.
Trois exemples du texte aboutissent à cette issue. Dans une caisse d’épargne, un salarié a consulté à plusieurs reprises les données d’un client sans motif ; l’autorité ne prononce rien, l’établissement ayant pris des mesures disciplinaires, obtenu un engagement écrit du salarié de n’avoir ni copié ni transmis les données, et accepté de revoir la durée de conservation de ses journaux d’accès. Une PME qui avait omis d’actualiser son information pour un tirage au sort ponctuel corrige le texte avant toute investigation de l’autorité, qui juge alors une mesure disproportionnée. Un organisme ayant envoyé par erreur la copie d’un permis de conduire prévient sans délai l’autorité et la personne, rembourse les frais de remplacement du document et mandate un tiers pour réexaminer ses mesures, sans attendre la décision de l’autorité.
D’autres exemples se concluent par un simple rappel à l’ordre. Un gestionnaire de parking qui avait refusé l’accès à des images reprend contact avec la personne dès l’intervention de l’autorité et installe un logiciel de floutage des plaques pour les demandes futures. Le CEPD prévient cependant que ces cas sont fictifs et ne valent ni précédent ni indication de la manière dont une autorité doit raisonner dans un dossier réel.
Quand le manquement mineur change de nature
Deux exemples renversent la perspective et méritent davantage d’attention que les précédents. Une agence de recrutement reçoit des plaintes pour des courriels adressés après des demandes d’effacement ; elle disposait d’une politique interne et l’autorité se contente d’un rappel à l’ordre. De nouvelles plaintes révèlent ensuite que la procédure existait, mais engendrait trop d’erreurs humaines en pratique : le manquement cesse d’être mineur et une amende est prononcée.
Un petit opérateur de télécommunications connaît le même sort. Une réponse tardive d’un mois à une demande d’information appelait d’abord un rappel à l’ordre ; la découverte de cas identiques conduit l’autorité à y voir un défaut structurel et à engager une procédure d’amende.
Une procédure écrite ne suffit donc pas : l’autorité regarde ce qu’elle produit, et elle compte les cas. Le texte ajoute un point qui concerne directement les délégués : des manquements de nature différente mais commis de la même manière, par exemple en écartant l’avis du DPO, peuvent révéler un problème persistant dans l’organisation et peser comme facteur aggravant.
Le contexte français
Le bilan 2025 de la CNIL situe l’enjeu. L’autorité a rendu 259 décisions : 83 sanctions, 143 mises en demeure, 31 rappels aux obligations légales et 2 avertissements. Parmi les sanctions, 67 relèvent de la procédure simplifiée ; elles comptent 78 amendes, dont 27 assorties d’injonctions sous astreinte, et trois décisions de liquidation d’astreinte pour des ordres non exécutés.
La coopération y joue en sens inverse de ce que beaucoup imaginent. Le défaut de coopération avec la CNIL figure parmi les trois premiers motifs de sanction en procédure simplifiée, et 14 organismes ont été sanctionnés pour ce seul manquement. Les praticiens soulignent aussi qu’une mise en conformité partielle survenue pendant la procédure n’exonère pas de sanction.
Une zone d’ombre demeure : les décisions de la procédure simplifiée ne sont jamais publiées, et leurs enseignements n’apparaissent qu’indirectement dans les Tables Informatique et Libertés. Le poids exact accordé par la CNIL à la réaction tracée d’un organisme reste donc difficile à mesurer sur la masse des dossiers.
Organiser la trace au quotidien
Le RGPD impose déjà une discipline partielle. L’article 33, paragraphe 5, oblige le responsable à consigner toute violation de données, ses faits, ses effets et les mesures prises, afin que l’autorité puisse vérifier le respect de la règle. Le projet 04/2026 invite, en creux, à appliquer la même rigueur à tout écart de conformité, qu’il donne lieu à notification ou non.
Au regard des critères retenus par le CEPD, la trace utile doit permettre à un tiers de reconstituer le fil des événements sans dépendre de la mémoire des acteurs. Elle relie l’écart constaté aux arbitrages qui ont suivi, nomme les personnes qui les ont rendus, conserve l’avis du délégué et indique s’il a été suivi, archive les échanges avec les prestataires et les messages envoyés aux personnes concernées. Elle comporte surtout une vérification différée, réalisée quelques semaines plus tard, établissant que le correctif tient et qu’aucun cas semblable n’est apparu entre-temps. Cette dernière étape répond directement aux exemples de l’agence de recrutement et de l’opérateur : sans elle, l’organisme ignore lui-même si son manquement est resté isolé.
Le dispositif gagne à naître avant tout contrôle. Constitué au fil de l’eau, il atteste d’une organisation capable de se corriger seule ; reconstitué dans l’urgence après une saisine, il ne prouve que la capacité à rassembler des documents.
La place d’un outil de pilotage
Un logiciel de conformité ne crée pas la diligence, mais il peut en conserver la chronologie. DPO SUITE, utilisé aujourd’hui par 95 DPO, rassemble dans un même environnement les incidents et violations avec leur qualification et le suivi des délais de notification, les non-conformités reliées à des actions correctives, les demandes d’exercice des droits et les saisines de l’autorité, traitées comme des incidents. Les preuves restent dans l’espace documentaire du client, que celui-ci connecte à l’application, de sorte que les pièces demeurent en un seul endroit et sous son contrôle.
Pour un délégué, l’intérêt tient au chaînage : un écart, la décision prise, l’action qui en découle et la vérification de son résultat restent rattachés les uns aux autres et datés. Le jour où l’autorité demande comment l’organisme a réagi, la réponse existe déjà.
Les limites à garder en tête
Le texte reste un projet, susceptible d’évoluer après la consultation. Ses exemples sont imaginaires. L’appréciation demeure discrétionnaire et dépend des règles de procédure nationales. Une trace soignée ne fait pas disparaître le manquement ; elle permet seulement d’en discuter la gravité sur des faits vérifiables plutôt que sur des affirmations.
La consultation offre enfin une occasion rarement saisie par les praticiens. Délégués, services juridiques et responsables conformité peuvent adresser leurs observations au CEPD jusqu’au 13 novembre 2026, notamment sur la prise en compte des correctifs adoptés spontanément et sur la manière d’en apporter la preuve.
