Sanctions RGPD de 2020 : vérifier les vrais motifs
Deux décisions de 2020 relues à la source : consentements mal gérés et fichier de crédit. Une méthode pour transformer la veille en actions.
Cette archive présentait une sélection de sanctions sous le titre « 29 décisions le mois dernier ». Ce décompte, sans corpus exhaustif conservé sur la page, ne permet pas d’établir un rythme officiel des sanctions en Europe. La sélection réunissait en outre des événements de dates différentes. La présente revue reprend deux dossiers dont les sources primaires permettent de corriger les motifs et les enseignements.
Ce qu’il faut retenir
- Une sanction doit être rattachée à sa décision, à sa date et au manquement effectivement retenu.
- Dans l’affaire AOK, l’autorité a sanctionné des mesures de protection insuffisantes au titre de l’Art. 32 RGPD ; il ne s’agissait pas d’un tarif par courriel.
- Dans l’affaire Equifax examinée ici, la sanction reposait sur l’Art. 6(1)(f) et les conditions du fichier de crédit, pas simplement sur un refus d’effacement.
AOK : des consignes existaient, mais les contrôles ne suffisaient pas
L’autorité du Bade-Wurtemberg a annoncé le 30 juin 2020 une sanction de 1 240 000 euros, décidée le 25 juin, contre AOK Baden-Württemberg. Des données recueillies à l’occasion de jeux-concours avaient été utilisées à des fins publicitaires sans consentement pour plus de 500 participants. L’autorité relève que les mesures prévues, y compris les directives internes et la formation, étaient insuffisantes au regard de l’Art. 32. Elle a tenu compte des corrections et de la coopération. Source : communiqué de l’autorité.
Ces dates montrent notamment pourquoi cette affaire ne pouvait pas être décrite comme une sanction du mois précédant la date historique de cette page, le 2 juin 2020. Elles sont désormais explicites, sans modifier la date de publication d’origine.
L’ancienne division du montant par le nombre de personnes pour annoncer un « prix par email » était trompeuse. L’amende répond aux circonstances du dossier ; le communiqué ne fournit aucun barème de ce type. Il ne permet pas non plus de conclure qu’une formation supplémentaire aurait nécessairement empêché l’incident, puisque des formations existaient déjà.
Pour votre propre organisation, vérifiez le parcours complet : preuve du choix, import, segment de campagne, exclusion des oppositions et contrôle avant envoi. Le guide sur la migration des preuves de consentement aide à prévenir les pertes de contexte entre outils. Le contrôle des fournisseurs de leads complète cette vérification lorsque les coordonnées proviennent d’un tiers.
Equifax : lire le fondement juridique de la décision
La décision espagnole PS/00451/2019, datée du 3 juin 2020, prononce une amende de 75 000 euros contre Equifax Iberica sur le fondement de l’Art. 6(1)(f) RGPD. Elle examine notamment l’absence de blocage initial des informations pendant trente jours, exigé dans le régime espagnol du fichier de crédit concerné. Des demandes de suppression apparaissent dans les faits, mais le dispositif retient le manquement à la licéité du traitement. Source : décision intégrale de l’AEPD.
Il serait donc inexact de résumer le dossier à une simple « méconnaissance du droit à l’effacement ». Il serait également erroné de transformer ce délai espagnol en règle générale applicable à tous les fichiers français.
L’enseignement opérationnel est de vérifier les conditions qui rendent le traitement licite, puis leur traduction dans le système. Un fondement inscrit dans une notice ne remplace pas les restrictions d’accès, les contrôles ou les délais exigés par le régime applicable. Lorsqu’une demande est reçue, identifiez aussi précisément les données concernées au lieu de considérer automatiquement une nouvelle demande comme identique à la précédente.
Une grille pour exploiter une décision étrangère
Avant d’en tirer une consigne, renseignez les éléments suivants :
| Question | Pourquoi la vérifier |
|---|---|
| Quelle autorité et quelle décision ? | Retrouver le texte, son contexte et ses éventuelles suites |
| Quels faits sont établis ? | Distinguer les constatations des arguments des parties |
| Quel manquement est retenu ? | Éviter de confondre origine de la plainte et motif de sanction |
| Une règle nationale intervient-elle ? | Ne pas la transposer automatiquement en France |
| Quelle correction correspond à notre situation ? | Transformer l’analyse en action vérifiable |
La formation peut contribuer à ces actions, mais elle ne remplace ni les paramètres techniques, ni les moyens, ni le contrôle d’exécution. Le guide de la procédure de sanction CNIL permet de comparer prudemment les étapes françaises. Pour les montants, l’Art. 83(2) RGPD exige une appréciation des circonstances, et non un calcul forfaitaire par personne ou message. Source : Art. 83 RGPD.
Questions fréquentes
Le chiffre de 29 représente-t-il un bilan officiel mensuel ?
La page ne conserve pas de corpus permettant de le vérifier comme tel. Il n’est plus utilisé pour annoncer un rythme officiel ou actuel des sanctions.
Une sanction étrangère s’applique-t-elle directement à mon entreprise ?
Elle peut éclairer une obligation commune du RGPD, mais ses faits, sa procédure et les règles nationales doivent être examinés avant toute transposition.
Peut-on calculer son risque en euros par destinataire ?
Pas à partir de ces dossiers. Le nombre de personnes est un élément parmi d’autres ; il ne crée pas un tarif général.
Recevez nos analyses pratiques sur la conformité : inscrivez-vous à la newsletter.
Thiébaut Devergranne est docteur en droit et fondateur de donneespersonnelles.fr. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données personnelles.