Une autorité de protection des données qui constate un manquement au RGPD ne sort pas directement sa calculatrice. Elle se pose d'abord une question : faut-il une amende, ou un rappel à l'ordre suffit-il ? Jusqu'ici, cette première décision reposait sur des lignes directrices du G29 datant de 2017. Le 17 septembre 2026, l'EDPB les a remplacées par une méthode en cinq étapes, les lignes directrices 04/2026, qui complètent la méthode de calcul du montant fixée en 2022.
Pour un DPO d'ETI, les deux textes forment désormais une grille complète : la décision, puis le chiffre. Ce guide les déroule dans l'ordre où l'autorité les applique, et en tire ce qui se prépare avant un contrôle.
Ce que l'EDPB a adopté le 17 septembre 2026
Lors de sa plénière du 17 septembre 2026, annoncée le 21 septembre, l'EDPB (le CEPD en français) a adopté deux textes. Le premier, ses lignes directrices 04/2026 « on the application of the power to impose administrative fines in relation to other corrective powers under the GDPR », est une version 1.0 soumise à consultation publique jusqu'au 13 novembre 2026. Il remplace les lignes directrices WP253 du G29 et complète les lignes directrices 04/2022 sur le calcul des amendes administratives (version 2.1 du 29 juin 2023).
Le second est la version finale des lignes directrices 3/2025 sur l'articulation entre le DSA et le RGPD, traitée plus bas. Nous avons couvert les deux annonces dans la veille : les nouvelles lignes directrices sur le choix de l'amende et la version finale des lignes directrices DSA et RGPD.
« Les nouvelles lignes directrices de l'EDPB sont une étape majeure pour aligner davantage la manière dont les autorités de protection des données décident si une amende administrative doit être infligée, seule ou aux côtés d'autres mesures correctrices », résume Jelena Virant Burnik, vice-présidente de l'EDPB.
L'amende n'est qu'une des mesures correctrices de l'article 58
Le texte de 2026 commence par rappeler la palette dont dispose l'autorité au titre de l'article 58, paragraphe 2, du RGPD : l'amende administrative, l'avertissement, le rappel à l'ordre, les injonctions, la limitation du traitement (interdiction comprise) et le retrait de certification. Chaque mesure a sa finalité propre, et l'autorité doit retenir celle qui est appropriée, nécessaire et proportionnée.
Avertissement et rappel à l'ordre : deux logiques différentes
L'avertissement (article 58, paragraphe 2, point a) vise un traitement envisagé qui risque d'enfreindre le RGPD. Aucun manquement n'est encore consommé, donc aucune amende ne peut l'accompagner pour le même comportement. L'EDPB l'illustre par un responsable de traitement qui annonce un système d'IA analysant les courriels et agendas des salariés pour mesurer leur productivité : l'autorité l'avertit (pas de base légale, pas d'AIPD, risque au regard de l'article 22). S'il passe outre, l'avertissement devient un indice d'intention, et l'amende redevient possible pour le système déployé.
Le rappel à l'ordre (point b) sanctionne au contraire un manquement constaté. Selon le considérant 148, il peut remplacer l'amende en cas de manquement mineur, ou lorsque l'amende ferait peser une charge disproportionnée sur une personne physique. L'EDPB précise que ces deux hypothèses ne sont pas limitatives : une charge disproportionnée pour une personne morale peut aussi justifier un rappel à l'ordre.
Premier temps : faut-il une amende ? La méthode des lignes directrices 04/2026
La méthode compte cinq étapes. Les trois premières vérifient les conditions légales, les deux dernières décident.
Étapes 1 à 3 : les conditions légales
- Étape 1, le manquement est-il passible d'amende ? Tous ne le sont pas. L'autorité doit trouver un fondement dans le RGPD (article 83, paragraphes 4 à 6) ou dans le droit national.
- Étape 2, qui est redevable ? Responsable de traitement ou sous-traitant : la réponse dépend de qui est tenu par la disposition enfreinte, pas d'un raisonnement général sur les rôles.
- Étape 3, y a-t-il faute ? Une amende suppose un manquement commis délibérément ou par négligence. L'EDPB s'appuie sur les arrêts de la CJUE du 5 décembre 2023, Deutsche Wohnen (C-807/21) et Nacionalinis visuomenės sveikatos centras (C-683/21).
Le seuil de la négligence est bas, et le texte l'assume en citant l'avocat général Emiliou : il est difficile d'imaginer des situations où il n'est pas atteint. Ce qui compte, c'est que l'organisme ne pouvait ignorer le caractère illicite de son comportement, pas qu'il en ait eu conscience. Trois exemples de l'EDPB méritent l'attention d'un DPO : un avis d'avocat contraire à la doctrine majoritaire n'exonère pas ; une analyse juridique interne contraire à la position connue de l'autorité non plus ; et un conseil externe dont on ne peut produire la trace écrite n'a aucun effet exonératoire.
Étape 4 : le manquement est-il mineur ?
C'est le point de bascule de toute la méthode. L'autorité passe en revue les critères de l'article 83, paragraphe 2, du point a) au point k) : nature, gravité et durée ; caractère délibéré ou négligent ; mesures prises pour atténuer le dommage ; degré de responsabilité ; manquements antérieurs ; coopération ; catégories de données ; manière dont l'autorité a eu connaissance du manquement ; respect des mesures déjà ordonnées ; codes de conduite et certifications ; autres circonstances.
La conclusion est binaire. Si le manquement est mineur, il n'y aura en règle générale pas d'amende, et un rappel à l'ordre pourra être prononcé. S'il ne l'est pas, il existe une présomption forte en faveur de l'amende. Plusieurs précisions comptent pour la préparation d'un dossier :
- La coopération ordinaire n'atténue rien. Elle est obligatoire au titre de l'article 31. Seule une coopération qui va au-delà et limite effectivement l'impact sur les personnes peut compter.
- L'absence d'antécédents n'est pas une circonstance atténuante : le respect du RGPD est la norme. À l'inverse, des manquements antérieurs, y compris constatés par une autre autorité européenne, pèsent.
- Ignorer l'avis du DPO est un signal. L'EDPB cite expressément les manquements nés d'un avis du DPO écarté comme indice de problèmes persistants dans l'organisation.
- Une notification de violation de l'article 33 est neutre. Elle est obligatoire. Seul le signalement spontané d'un manquement que l'autorité ignorait peut atténuer.
- Les données sensibles éloignent du « mineur ». Données des articles 9 et 10, mais aussi localisation, communications privées, numéros d'identification ou données financières.
La répétition fait basculer. Dans deux exemples, l'EDPB montre qu'un manquement d'abord jugé mineur (un retard d'un mois sur une demande d'information, des courriels envoyés après une demande d'effacement) cesse de l'être quand les plaintes identiques s'accumulent : le défaut n'est plus une exception, c'est un fonctionnement.
Étape 5 : l'amende serait-elle effective, proportionnée et dissuasive ?
L'autorité vérifie enfin, au regard de l'article 83, paragraphe 1, si l'amende remplit ces trois critères dans le cas d'espèce. Elle peut s'écarter de la règle générale dans les deux sens : renoncer à une amende pour un manquement qui n'est pas mineur, ou en infliger une pour un manquement mineur, si les circonstances le justifient.
Second temps : combien ? La méthode de calcul des lignes directrices 04/2022
Une fois l'amende décidée, le montant suit une autre méthode en cinq étapes, adoptée en version finale le 24 mai 2023. L'EDPB insiste : ce n'est pas un exercice mathématique, et le montant final peut aller jusqu'au plafond légal.
Le point de départ : catégorie et gravité
Après avoir identifié les traitements en cause et appliqué les règles de cumul de l'article 83, paragraphe 3, l'autorité fixe un montant de départ. Elle part du plafond légal applicable (10 millions d'euros ou 2 % du chiffre d'affaires annuel mondial pour l'article 83, paragraphe 4 ; 20 millions ou 4 % pour les paragraphes 5 et 6), puis le module selon la gravité constatée :
- Gravité faible : entre 0 et 10 % du plafond applicable, soit 0 à 2 millions d'euros pour un manquement de l'article 83, paragraphe 5.
- Gravité moyenne : entre 10 et 20 %, soit 2 à 4 millions d'euros.
- Gravité élevée : entre 20 et 100 %, soit 4 à 20 millions d'euros.
L'ajustement à la taille de l'entreprise
Pour les entreprises dont le chiffre d'affaires annuel ne dépasse pas 500 millions d'euros, l'autorité peut réduire ce montant de départ selon leur taille. C'est le palier qui concerne la plupart des ETI :
- jusqu'à 2 millions d'euros de chiffre d'affaires : 0,2 à 0,4 % du montant de départ ;
- de 2 à 10 millions : 0,3 à 2 % ;
- de 10 à 50 millions : 1,5 à 10 % ;
- de 50 à 100 millions : 8 à 20 % ;
- de 100 à 250 millions : 15 à 50 % ;
- de 250 à 500 millions : 40 à 100 % ;
- au-delà de 500 millions : pas d'ajustement, la taille étant déjà reflétée par le plafond en pourcentage du chiffre d'affaires.
Le chiffre d'affaires retenu est celui de l'entreprise au sens du droit de la concurrence, c'est-à-dire du groupe : la CJUE l'a confirmé dans Deutsche Wohnen, puis dans l'arrêt ILVA du 13 février 2025 (C-383/23). Une filiale d'ETI ne se juge pas sur son seul bilan.
Circonstances, plafond et contrôle final
L'autorité applique ensuite les circonstances aggravantes et atténuantes de l'article 83, paragraphe 2, vérifie que le total ne dépasse pas le plafond légal, puis contrôle une dernière fois que le montant est effectif, proportionné et dissuasif. Les mêmes critères servent donc deux fois : en 2026 pour décider s'il y a amende, en 2022 pour en fixer le montant. Un même dossier de preuves nourrit les deux.
Ce que ça change pour un DPO d'ETI
La conséquence pratique tient en une phrase : ce qui se prépare avant un contrôle, ce ne sont pas des arguments sur le montant, ce sont des preuves rangées selon les points a) à k) de l'article 83, paragraphe 2. Concrètement :
- Dater et tracer les actions correctives. Une mesure prise dès la découverte d'un écart, documentée, pèse au point c). Une mesure dont personne ne retrouve la date ne pèse rien.
- Consigner les avis du DPO et leur suite. Un avis écarté sans motivation est désormais cité par l'EDPB comme indice d'un problème structurel. Un avis suivi, ou écarté pour une raison écrite, protège.
- Garder la trace des consultations juridiques. Un conseil externe non documenté n'exonère pas, et un conseil documenté n'exonère pas s'il contredit la position connue de l'autorité.
- Surveiller la répétition. Demandes d'accès en retard, effacements mal exécutés : un incident isolé peut rester mineur, une série ne l'est plus. Le suivi des demandes de droits devient un indicateur de risque, pas une statistique.
- Cartographier les obligations entre responsable de traitement et sous-traitant, article par article, puisque l'étape 2 désigne le redevable selon la disposition enfreinte. Notre guide sur la répartition des rôles détaille les cas limites, et l'audit IA des sous-traitants montre comment documenter la chaîne sans y passer des semaines.
Tout cela relève de l'accountability : le registre, les AIPD, l'historique des violations et des actions correctives doivent être consultables en quelques minutes, pas reconstitués après réception d'un courrier de l'autorité. C'est le quotidien que Leto outille, avec un logiciel RGPD qui garde l'historique de chaque décision et Hari, son IA, pour l'audit des sous-traitants.
Et le DSA dans tout ça ?
La même plénière a adopté la version finale des lignes directrices 3/2025 sur l'articulation entre le DSA et le RGPD. Le message central vaut pour le sujet des sanctions : le DSA n'est pas une lex specialis qui écarterait le RGPD. Un hébergeur ou une plateforme qui traite des données personnelles pour remplir une obligation du DSA doit toujours rattacher ce traitement à une base légale du RGPD, et reste exposé à la méthode décrite plus haut s'il ne le fait pas. L'EDPB indique que le texte doit encore passer les vérifications linguistiques avant publication.
Pour la plupart des ETI de l'assurance, de la banque ou de la santé, qui ne sont pas des prestataires intermédiaires au sens du DSA, l'enjeu immédiat reste la méthode des amendes. Pour les éditeurs SaaS B2B qui hébergent du contenu de leurs clients, la qualification au regard du DSA mérite une vérification.
Si vous voulez voir comment ranger vos preuves de conformité selon cette grille, demandez une démonstration de Leto.
Questions fréquemment posées
Quelle est la différence entre les lignes directrices 04/2022 et 04/2026 de l'EDPB ?
Les lignes directrices 04/2022 fixent la méthode de calcul du montant d'une amende RGPD. Les lignes directrices 04/2026, adoptées le 17 septembre 2026, se placent en amont : elles disent comment une autorité décide s'il faut une amende plutôt qu'une autre mesure correctrice. Elles remplacent les lignes directrices WP253 du G29 et complètent celles de 2022.
Les lignes directrices 04/2026 sont-elles définitives ?
Non. Il s'agit d'une version 1.0 soumise à consultation publique jusqu'au 13 novembre 2026. Le texte peut encore évoluer avant son adoption en version finale. Le formulaire de consultation de l'EDPB prévoit une catégorie dédiée aux DPO et associations professionnelles.
Qu'est-ce qu'un manquement mineur au sens du RGPD ?
La notion vient du considérant 148. Selon l'EDPB, un manquement peut être jugé mineur lorsqu'il ne présente pas de risque significatif pour les personnes concernées et n'atteint pas l'essence de l'obligation, au vu des critères de l'article 83, paragraphe 2. Dans ce cas, il n'y a en règle générale pas d'amende et un rappel à l'ordre peut être prononcé.
Peut-on être sanctionné sans avoir eu l'intention d'enfreindre le RGPD ?
Oui. L'amende suppose une faute, délibérée ou par négligence, mais le seuil de la négligence est bas : il suffit que l'organisme n'ait pas pu ignorer le caractère illicite de son comportement. La CJUE l'a jugé le 5 décembre 2023 dans les affaires C-807/21 et C-683/21.
Un avis juridique peut-il éviter une amende RGPD ?
Rarement. L'EDPB donne trois exemples où il n'exonère pas : un avis d'avocat contraire à la doctrine majoritaire, une analyse interne contraire à la position connue de l'autorité, et un conseil externe dont l'organisme ne peut produire la trace. Un conseil externe ne doit jamais être suivi aveuglément.
Comment le chiffre d'affaires influence-t-il le montant d'une amende RGPD ?
Il intervient deux fois. Il fixe le plafond (2 % ou 4 % du chiffre d'affaires annuel mondial lorsque ce montant dépasse 10 ou 20 millions d'euros), et il permet de réduire le montant de départ pour les entreprises de moins de 500 millions d'euros de chiffre d'affaires. Le chiffre retenu est celui du groupe, au sens du droit de la concurrence.
Bien coopérer avec la CNIL réduit-il l'amende ?
Pas en soi. La coopération est une obligation de l'article 31 du RGPD, et l'EDPB rappelle qu'elle ne peut pas être une circonstance atténuante. Seule une coopération qui dépasse cette obligation et limite réellement l'impact sur les personnes concernées peut être prise en compte.
