Le Comité européen de la protection des données (EDPB) a publié un projet de lignes directrices qui pourrait changer la manière dont l'application du RGPD fonctionne en pratique. Selon un résumé du projet, la proposition établit une présomption de l'EDPB d'amendes au titre du RGPD pour les infractions non mineures, assortie d'un seuil délibérément bas pour établir la négligence. En termes simples, les autorités de contrôle partiraient de l'hypothèse qu'une violation grave mérite une amende, et les entreprises assumeraient davantage la charge de démontrer pourquoi il ne devrait pas en être ainsi.

Le matériel source disponible pour cet article se limite à un résumé, de sorte que ce billet s'en tient à ce que ce résumé énonce et explique les implications probables en termes généraux.

Ce que propose le projet de lignes directrices de l'EDPB

Le cœur du projet est un changement de la règle par défaut. Jusqu'à présent, les autorités de contrôle disposaient d'un éventail de pouvoirs correctifs au titre du RGPD, allant des réprimandes et des injonctions de se conformer jusqu'aux amendes administratives. Le projet de lignes directrices propose que, pour les infractions qui ne sont pas mineures, une amende soit le résultat attendu plutôt qu'une option parmi d'autres.

Deux éléments ressortent du résumé :

  • Une présomption en faveur des amendes pour les infractions non mineures.
  • Un seuil délibérément bas pour la négligence, ce qui importe car la faute est une condition essentielle pour imposer une amende.

Le résumé note également que les organisations devront démontrer des mesures robustes pour prouver qu'elles ont agi avec la diligence appropriée. Le projet est une proposition, et non des orientations définitives, de sorte que les détails peuvent changer après la consultation.

Pourquoi un seuil de négligence bas change l'application

Les amendes au titre du RGPD dépendent généralement de la question de savoir si une infraction était intentionnelle ou négligente. Si prouver la négligence est difficile, les autorités de contrôle peuvent hésiter à infliger une amende, ou les affaires peuvent s'enliser dans des débats sur ce qu'une entreprise savait ou aurait dû savoir.

Un seuil bas modifie cette dynamique. Si une entreprise n'a pas pris les mesures qu'une organisation raisonnablement prudente aurait prises, la négligence peut être établie sans beaucoup d'examen supplémentaire. Combiné à une présomption d'amendes, cela rendrait plus difficile pour une organisation de soutenir qu'une violation n'était qu'une malchance ou un oubli honnête.

Cela s'inscrit dans la tendance plus large vers la cohérence. L'EDPB a déjà introduit une approche en cinq étapes pour calculer les amendes, que nous avons traitée dans notre explication sur la méthode en cinq étapes de l'EDPB pour les amendes au titre du RGPD. Cette méthode porte sur le montant d'une amende. Le nouveau projet aborde la question antérieure de savoir si une amende doit être imposée du tout. Pour un contexte sur les paliers d'amendes et le rôle de la faute, consultez notre guide sur les amendes et sanctions au titre du RGPD en 2026.

Ce que cela signifie pour vous

Pour les particuliers, l'effet pratique serait indirect mais significatif. Les droits à la vie privée sur le papier ne comptent que s'il existe des conséquences lorsqu'ils sont ignorés. Si les amendes deviennent la réponse attendue aux violations graves, les entreprises ont une raison financière plus forte de :

  • Collecter moins de données personnelles dès le départ.
  • Sécuriser les données qu'elles conservent, et documenter comment.
  • Répondre aux demandes d'accès, d'effacement et d'opposition dans les délais.
  • Former le personnel et vérifier les sous-traitants qui traitent les données des clients.

Cela ne signifie pas que chaque plainte aboutira à une sanction, et cela ne garantit pas des résultats plus rapides pour les individus. Les infractions mineures devraient être traitées différemment, et les lignes directrices sont encore à l'état de projet. Mais la direction prise est celle d'une application qui a un poids réel.

Les organisations, quant à elles, se concentreront probablement sur les preuves. Dans cette approche, être en mesure de présenter des registres, des évaluations des risques et des mesures correctives rapides pourrait faire la différence entre une amende et une réponse moins sévère.

Comment exercer vos droits au titre du RGPD dès aujourd'hui

Vous n'avez pas besoin d'attendre que les lignes directrices soient finalisées. Si vous êtes dans l'UE ou l'EEE, ou qu'une entreprise traite vos données au titre du RGPD, vous pouvez déjà agir :

  1. Demandez l'accès. Envoyez une demande d'accès de la personne concernée pour savoir ce qu'une entreprise détient à votre sujet et comment elle l'utilise.
  2. Demandez l'effacement. Si les données ne sont plus nécessaires ou si vous retirez votre consentement, demandez à l'entreprise de les supprimer.
  3. Opposez-vous au traitement. Vous pouvez vous opposer à certaines utilisations, y compris le marketing direct.
  4. Conservez une trace. Gardez des copies de vos demandes et des réponses, avec les dates.
  5. Escaladez en cas de silence. Si une entreprise ne répond pas correctement, vous pouvez déposer une plainte auprès de votre autorité nationale de protection des données.

Une plainte documentée et bien fondée est le type de preuve sur lequel les autorités de contrôle peuvent agir, et une position d'application plus ferme rendrait ces plaintes plus conséquentes.

Points clés à retenir

La présomption de l'EDPB d'amendes au titre du RGPD, si elle est adoptée telle que rédigée, ferait des sanctions la réponse normale aux violations non mineures et rendrait la négligence plus facile à établir. Cela met la pression sur les entreprises pour qu'elles traitent les données personnelles avec soin et donne aux droits des individus une force plus pratique.

Exercez les droits que vous avez déjà : demandez l'accès, demandez l'effacement et opposez-vous le cas échéant. Pour comprendre comment les sanctions sont calculées une fois qu'une amende est envisagée, lisez nos explications sur la méthode en cinq étapes de l'EDPB pour les amendes et les paliers de sanctions du RGPD.