Considérant 152
Règlement général sur la protection des données · UE 2016/679
| (152) | Lorsque le présent règlement n'harmonise pas les sanctions administratives ou, si nécessaire dans d'autres circonstances, par exemple en cas de violation grave du présent règlement, les États membres devraient mettre en œuvre un système qui prévoit des sanctions effectives, proportionnées et dissuasives. La nature de ces sanctions, pénales ou administratives, devrait être déterminée par le droit des États membres. |
Au Luxembourg, la loi du 1er aout 2018 portant organisation de la Commission nationale pour la protection des données a fait un choix politique fort : elle a exclu les autorités publiques et établissements publics du champ des amendes administratives RGPD (art. 48). En contrepartie, elle a maintenu des sanctions penales (art. 46 et 47) pour entrave aux pouvoirs de la CNPD et pour traitement illicite, sanctions qui visent les personnes physiques dirigeantes. Le considérant 152 trouve ici sa pleine application : la nature penale ou administrative depend du droit national, et au Luxembourg les deux coexistent.
Pratique Luxgap : pour les acteurs publics luxembourgeois (communes, ministeres, établissements publics), nous calibrons la matrice d'exposition sur le risque penal personnel des dirigeants et sur le risque reputationnel, plutot que sur l'amende administrative ecartee par la loi de 2018.
