Le piège classique
Le considérant 149 ouvre la porté aux sanctions pénales nationales en plus des amendes administratives de la CNPD. Le piège : croire qu'une amende CNPD epuise le risque. En réalité, au Luxembourg comme en France, certaines violations RGPD (collecte deloyale, traitement illicite de données sensibles, entrave a l'exercice des droits) peuvent déclencher des poursuites pénales parallèles, avec saisie des profits. La règle ne bis in idem telle qu'interpretée par la CJUE (arrets bpost et Nordzucker de 2022) n'interdit pas le cumul si les procédures poursuivent des finalités complémentaires et restent proportionnées.
Les zones d'exposition pénale a cartographier
- Collecte frauduleuse ou deloyale de données personnelles (typiquement scraping massif, faux formulaires, achat de bases illicites).
- Traitement de données sensibles (santé, opinions politiques, orientation sexuelle) sans base légale, expressement reprime par les codes pénaux nationaux.
- Entrave a l'autorité de contrôle : refus de cooperer avec la CNPD, destruction de preuves, fausses déclarations lors d'un contrôle.
- Reidentification volontaire de données pseudonymisées ou anonymisées.
- Profits illicites saisissables : le considérant autorise expressement la confiscation du chiffre d'affaires génère par le traitement illicite, ce qui peut depasser largement le plafond de 20 M'EUR ou 4 pourcent du CA mondial.
Le cumul pénal + administratif : conditions de validité
La CJUE exige trois conditions cumulatives pour valider le double track : finalités distinctes des deux procédures, coordination effective entre parquet et autorité administrative, proportionnalité globale de la sanction totale. En pratique cela signifié qu'une défense efficace doit être construite des le premier contrôle CNPD, car les pièces produites peuvent être transmises au parquet.
Comment Luxgap automatise ce risque
Notre Luxgap Criminal Exposure Mapper transforme votre cartographie des traitements en radar du risque pénal cache, distinct du risque administratif classique. L'outil croise votre registre article 30, vos bases légales déclarées, vos catégories de données et la jurisprudence pénale luxembourgeoise et européenne pour identifier les traitements ou un double track CNPD + parquet est juridiquement possible, bien avant qu'un signalement n'arrive au procureur d'état.
- Détecte automatiquement les traitements a risque pénal eleve en croisant catégories de données, finalités déclarées et qualifications pénales du Code pénal luxembourgeois et des codes nationaux concernés.
- Calcule un score d'exposition ne bis in idem selon la grille CJUE bpost et Nordzucker, en mesurant la proximite des finalités entre procédure administrative et pénale envisageable.
- Simule le montant des profits saisissables sur la base de vos données comptables Odoo, Sage BOB 50 ou SAP, en isolant le chiffre d'affaires attribuable au traitement litigieux.
- Génère une note de défense prête a remettre a votre conseil pénal en cas de contrôle CNPD, documentant les arguments de proportionnalité et de coordination.
- Alerte en temps réel via Teams ou Slack des qu'un nouveau traitement enregistré dans votre registre franchit un seuil d'exposition pénale predefini.
- Produit un rapport PDF horodate, opposable devant la CNPD comme devant le jugé d'instruction, démontrant votre démarché proactive d'évaluation du risque.
Disponible en complément d'un mandat DPO Luxgap ou en brique SaaS dédiée selon votre périmètre. Demandez un devis personnalisé et nos équipes préparent une démonstration sur vos traitements réels, avec un audit blanc gratuit sous 48h pour mesurer votre exposition pénale avant tout engagement.
