Faute, amende administrative, calcul... La CJUE apporte des précisions sur l'application du RGPD

Saisie dans le cadre de deux questions préjudicielles, le 5 décembre, la Grande chambre de la CJUE a rendu deux décisions dans lesquelles elle a apporté des précisions sur l'application du RGPD sur deux notions : le calcul de l'amende administrative et l'intention dans le cas d'une violation. À quelles conditions des amendes administratives peuvent-elles être imposées aux responsables du traitement ou aux sous-traitants en cas de violation du RGPD ? Un élément de faute est-il requis pour pouvoir leur imposer de telles amendes ? Ou le RGPD permet-il d’imposer des amendes en l’absence de toute faute, sur le fondement d’un responsabilité objective ? Selon la CJUE, l’imposition d’une amende administrative présuppose nécessairement un comportement fautif, c’est-à-dire que la violation a été commise délibérément ou par négligence. En outre, un responsable du traitement des données peut se voir infliger une amende « pour des opérations effectuées par un sous-traitant, pour autant que ces opérations peuvent être imputées au responsable du traitement ». Le calcul de l’amende doit se fonder sur le chiffre d'affaires du groupe. Les amendes affecteront non seulement les États membres de l’UE, mais aussi les États ayant des filiales dans l’UE, qui sont dès lors sujettes à l’application du RGPD.