GDPR : plus d’amendes, mais moins lourdes
Alors que le nombre d’infractions a progressé de 39 %, les montants des amendes tendent à baisser. Une conséquence de la pandémie.
Le GDPR sous l’effet de la crise… D’après le dernier rapport du cabinet d’avocats DLA Piper, les amendes infligées en Europe pour avoir enfreint le règlement général sur la protection des données personnelles ont atteint près de 159 millions EUR l’an dernier.
Pour Ewa Kurowska-Tober, coprésidente mondiale du groupe de protection et de sécurité des données de DLA Piper, cela aurait cependant pu être bien pire. «Les régulateurs ont testé les limites de leurs pouvoirs cette année. Mais ils n’ont certainement pas fait les choses comme ils le souhaitaient, avec quelques appels réussis notables et des réductions importantes des amendes proposées en raison des conséquences économiques de la crise sanitaire…» C’est ainsi que British Airways a vu son amendé fondre de 183 millions GBP à 20 millions GBP ! En Autriche, l’amende de 18 millions EUR qui avait été notifiée à l’encontre d’Österreichische Post a été purement et simplement annulée en appel en décembre 2020.
2020 : 19 % de violations du GDPR en plus
En 2020, 121 165 violations ont été notifiées… en hausse de 19% par rapport à l’année précédente. Depuis 2018, ce sont plus de 281 000 notifications de violation, dont 77 747 en Allemagne, 66 527 aux Pays-Bas et 30 536 au Royaume-Uni. Les volumes totaux de signalements les plus faibles ont été relevés en France et en Italie, qui ont enregistré respectivement 5 389 et 3 460 violations.
En revanche, l’Italie a infligé les amendes globales les plus élevées de 69,3 millions d’EUR, et la France a imposé la sanction individuelle la plus élevée à ce jour – une amende de 50 millions d’EUR contre Google en 2019 pour des violations présumées des principes de transparence et le défaut d’obtenir un consentement valide.
«Les amendes et les notifications de violation poursuivent leur croissance annuelle à deux chiffres et les régulateurs européens ont montré leur volonté d’utiliser leurs pouvoirs d’application, a déclaré Ross McKean, président du groupe britannique de protection des données et de sécurité de DLA Piper. Ils ont également adopté des interprétations extrêmement strictes du GDPR, ouvrant la voie à de vives batailles juridiques dans les années à venir.»
2021, transfert de données vers les Etats-Unis…
Et Ross McKean d’ajouter : «Au cours de cette année, les premières mesures d’application liées aux restrictions du GDPR sur les transferts de données personnelles vers les États-Unis et d’autres ‘pays tiers’. Les répliques de la décision de la plus haute juridiction européenne dans l’affaire Schrems II continuent de se faire sentir…»
Il est important de noter que les données de DLA Piper ne sont pas nécessairement une image complète de la situation concernant l’application du GDPR. En effet, tous les États membres de l’Espace économique européen ne rendent pas publics les détails des statistiques de notification des violations. Par ailleurs, plusieurs autres fournissent des statistiques incomplètes ou des chiffres ne couvrant qu’une partie de la période.
