Le 12 décembre 2023, la CJUE a rendu un arrêt important concernant la marge d'appréciation des autorités de protection des données dans l'application des sanctions RGPD. Cette décision apporte des éclaircissements essentiels sur les critères d'évaluation et la méthodologie de calcul des amendes administratives.

Contexte et enjeux de la décision

L'affaire concerne une amende de 14,5 millions d'euros infligée par l'autorité allemande de protection des données à Deutsche Wohnen SE pour des manquements au RGPD. La société contestait la méthodologie de calcul et les critères retenus.

Points clés de l'arrêt de la CJUE

La Cour confirme que les autorités de contrôle disposent d'une large marge d'appréciation dans la fixation des amendes, tout en devant respecter certains principes :

- L'obligation de prendre en compte tous les critères de l'article 83(2) du RGPD

- La nécessité d'une approche au cas par cas

- Le respect des principes d'effectivité, de proportionnalité et de dissuasion

Méthodologie de calcul des sanctions

La CJUE valide une approche en deux temps :

1. Détermination d'un montant de base selon la gravité de l'infraction

2. Ajustement en fonction des circonstances aggravantes ou atténuantes

Le chiffre d'affaires peut être pris en compte comme indicateur de la capacité financière, mais ne doit pas être le seul critère.

Impact sur les entreprises

Cette décision renforce la prévisibilité des sanctions tout en maintenant une flexibilité nécessaire pour les autorités. Les entreprises doivent :

- Renforcer leur conformité RGPD

- Documenter leurs efforts de mise en conformité

- Anticiper les facteurs aggravants/atténuants

Quelques pistes pour l'intégration opérationnelle dans votre dispositif :

• Réaliser un audit complet de conformité RGPD en priorisant les domaines à fort risque de sanctions

• Mettre en place un système de documentation renforcé des mesures de conformité

• Établir une cartographie des risques intégrant les critères d'évaluation des sanctions

• Former les équipes aux nouvelles implications de cette jurisprudence

• Prévoir un plan d'action en cas de contrôle incluant la démonstration des efforts de conformité