Le piège classique
Le considérant 149 ouvre la porté aux sanctions pénales nationales en plus des amendes administratives de la CNPD. Le piège : croire qu'une amende CNPD epuise le risque. En réalité, au Luxembourg comme en France, certaines violations RGPD (collecte deloyale, traitement illicite de données sensibles, entrave a l'exercice des droits) peuvent déclencher des poursuites pénales paralleles, avec saisie des profits. La règle ne bis in idem telle qu'interpretee par la CJUE (arrets bpost et Nordzucker de 2022) n'interdit pas le cumul si les procédures poursuivent des finalités complementaires et restent proportionnées.
Les zones d'exposition pénale a cartographier
- Collecte frauduleuse ou deloyale de données personnelles (typiquement scraping massif, faux formulaires, achat de bases illicites).
- Traitement de données sensibles (santé, opinions politiques, orientation sexuelle) sans base légale, expressement reprime par les codes pénaux nationaux.
- Entrave a l'autorité de contrôle : refus de cooperer avec la CNPD, destruction de preuves, fausses déclarations lors d'un contrôle.
- Reidentification volontaire de données pseudonymisees ou anonymisees.
- Profits illicites saisissables : le considérant autorise expressement la confiscation du chiffre d'affaires genere par le traitement illicite, ce qui peut depasser largement le plafond de 20 M'EUR ou 4 pourcent du CA mondial.
Le cumul pénal + administratif : conditions de validité
La CJUE exige trois conditions cumulatives pour valider le double track : finalités distinctes des deux procédures, coordination effective entre parquet et autorité administrative, proportionnalite globale de la sanction totale. En pratique cela signifié qu'une défense efficace doit être construite des le premier contrôle CNPD, car les pièces produites peuvent être transmises au parquet.
Comment Luxgap automatise ce risque
Notre Luxgap Criminal Exposure Mapper transforme votre cartographie des traitements en radar du risque pénal cache, distinct du risque administratif classique. L'outil croise votre registre article 30, vos bases légales declarees, vos catégories de données et la jurisprudence pénale luxembourgeoise et européenne pour identifier les traitements ou un double track CNPD + parquet est juridiquement possible, bien avant qu'un signalement n'arrive au procureur d'état.
- Detecte automatiquement les traitements a risque pénal eleve en croisant catégories de données, finalités declarees et qualifications pénales du Code pénal luxembourgeois et des codes nationaux concernes.
- Calcule un score d'exposition ne bis in idem selon la grille CJUE bpost et Nordzucker, en mesurant la proximite des finalités entre procédure administrative et pénale envisageable.
- Simule le montant des profits saisissables sur la base de vos données comptables Odoo, Sage BOB 50 ou SAP, en isolant le chiffre d'affaires attribuable au traitement litigieux.
- Genere une note de défense prete a remettre a votre conseil pénal en cas de contrôle CNPD, documentant les arguments de proportionnalite et de coordination.
- Alerte en temps reel via Teams ou Slack des qu'un nouveau traitement enregistré dans votre registre franchit un seuil d'exposition pénale predefini.
- Produit un rapport PDF horodate, opposable devant la CNPD comme devant le jugé d'instruction, demontrant votre démarché proactive d'évaluation du risque.
Disponible en complement d'un mandat DPO Luxgap ou en brique SaaS dediee selon votre périmètre. Demandez un devis personnalise et nos équipes preparent une demonstration sur vos traitements reels, avec un audit blanc gratuit sous 48h pour mesurer votre exposition pénale avant tout engagement.
