EDPB harmonise les amendes RGPD: méthode unifiée en UE

Le 21 septembre 2026, le Comité européen de la protection des données (CEPD/EDPB) a adopté des lignes directrices harmonisant la décision d’infliger une amende RGPD, seules ou combinées à d’autres mesures correctrices. Pour les entreprises au Luxembourg, la méthode devient plus prévisible, mais l’application sera plus rigoureuse.

Les faits

• Qui : le CEPD/EDPB.
• Quoi : adoption de lignes directrices sur l’application des amendes administratives au titre du RGPD et publication de la version finale des lignes directrices DSA–RGPD.
• Où : Bruxelles (plénière EDPB).
• Quand : 21 septembre 2026.
• Combien : pas de montant unique – le référentiel aligne la méthode pour déterminer si une amende est imposée et, le cas échéant, son niveau, en articulation avec d’autres mesures (injonction, limitation, etc.). L’EDPB détaille une démarche en cinq étapes, qui s’impose comme référentiel aux autorités nationales, dont la CNPD au Luxembourg.

Cadre légal et fondement

• RGPD : articles 58(2) et 83 du RGPD (pouvoirs correcteurs, critères de gravité, plafond de 20 M€ ou 4 % du CA mondial). Les lignes EDPB précisent quand infliger une amende “seule” ou “en plus” d’autres mesures, pour assurer effectivité et proportionnalité.
• Coopération et cohérence (chapitre VII RGPD) : application plus uniforme entre autorités (CNPD incluse), à la lumière des précédents sur le calcul et la motivation des amendes.
• Contexte jurisprudentiel : la méthodologie commune renforce motivation et proportionnalité, réduit les écarts entre États membres et sécurise les décisions en cas de recours.

Ce que cela change pour les entreprises luxembourgeoises

• Prévisibilité accrue des risques : avec une “grille” commune, la CNPD suivra une séquence claire (qualification, gravité, facteurs aggravants/atténuants, effet dissuasif, articulation avec injonctions). Pour les groupes multi‑pays, l’exposition aux amendes variera moins à gravité comparable. Voir notre focus sur la conformité CNPD au Luxembourg.
• Moins de dossiers sans amende : l’EDPB encadre les cas où une amende s’ajoute aux autres correctifs (violation grave ou persistante, défaut de coopération, manquement aux droits), augmentant la probabilité d’une sanction pécuniaire même si une mise en conformité est ordonnée.
• Guichet unique et CNPD : pour les entreprises établies au Luxembourg et chefs de file (art. 56 RGPD), la CNPD appliquera ce référentiel en transfrontalier. La documentation probante des risques, mesures (art. 24, 25, 32), DPIA (art. 35) et réponses aux droits (art. 12–22) devient décisive pour atténuer la gravité et le montant. Un mandat DPO structuré facilite la preuve continue de conformité.

Actions concrètes à entreprendre cette semaine

• Cartographier vos expositions à l’amende : pour chaque traitement à risque (données sensibles, profilage, marketing, cookies, transferts), vérifiez les pièces démontrant la conformité et les critères de l’article 83 (gravité, durée, portée, coopération, antécédents) – et comblez les trous de preuve.
• Réviser la stratégie de mesures correctrices : préparez des plans d’exécution (délais, responsables, métriques) pour toute injonction potentielle de la CNPD, et documentez pourquoi une injonction seule peut suffire ou, à défaut, pourquoi un montant réduit serait proportionné.
• Mettre à jour les playbooks RGPD : droits des personnes (SLA, suivi des délais, preuve de réponse), gestion des violations (détection, journaux, notifications art. 33–34), gouvernance des transferts et bases légales. Ajoutez un volet “arguments EDPB” pour vos observations et recours.

Aller plus loin

• Renforcez votre gouvernance avec un DPO externalisé pour le suivi régulier de la conformité et la coordination avec la CNPD.

Article généré par la veille réglementaire Luxgap. Pour un accompagnement personnalisé sur ce sujet, contactez-nous.