|
Art. 84
1. Les États membres déterminent le régime des autres sanctions applicables en cas de violations du présent règlement, en particulier pour les violations qui ne font pas l'objet des amendes administratives prévues à l'article 83, et prennent toutes les mesures nécessaires pour garantir leur mise en oeuvre. Ces sanctions sont effectives, proportionnées et dissuasives.
2. Chaque État membre notifie à la Commission les dispositions légales qu'il adopte en vertu du paragraphe 1, au plus tard le … [deux ans à compter de la date d'entrée en vigueur du présent règlement], et, sans tarder, toute modification ultérieure les concernant.
|
1. Chaque autorité de contrôle est habilitée à infliger des sanctions administratives en conformité avec le présent article.
2. Dans chaque cas, la sanction administrative doit être effective, proportionnée et dissuasive. Le montant de l'amende administrative est fixé en tenant dûment compte de la nature, de la gravité et de la durée de la violation, du fait que l'infraction a été commise de propos délibéré ou par négligence, du degré de responsabilité de la personne physique ou morale en cause et de violations antérieurement commises par elle, des mesures et procédures techniques et d'organisation mises en œuvre conformément à l'article 23 et du degré de coopération avec l’autorité de contrôle en vue de remédier à la violation. 3. Lors du premier manquement non intentionnel au présent règlement, l'autorité de contrôle peut donner un avertissement par écrit mais n'impose aucune sanction: a) lorsqu'une personne physique traite des données à caractère personnel en l'absence de tout intérêt commercial; ou b) lorsqu'une entreprise ou un organisme comptant moins de 250 salariés traite des données à caractère personnel uniquement dans le cadre d'une activité qui est accessoire à son activité principale. 4. L'autorité de contrôle inflige une amende pouvant s'élever à 250 000 EUR ou, dans le cas d'une entreprise, à 0,5 % de son chiffre d’affaires annuel mondial, à quiconque, de propos délibéré ou par négligence: a) ne prévoit pas les mécanismes permettant aux personnes concernées de formuler des demandes ou ne répond pas sans tarder ou sous la forme requise aux personnes concernées conformément à l'article 12, paragraphes 1 et 2; b) perçoit des frais pour les informations ou pour les réponses aux demandes de personnes concernées en violation de l’article 12, paragraphe 4. 5. L'autorité de contrôle inflige une amende pouvant s'élever à 500 000 EUR ou, dans le cas d'une entreprise, à 1 % de son chiffre d’affaires annuel mondial, à quiconque, de propos délibéré ou par négligence: a) ne fournit pas les informations, fournit des informations incomplètes ou ne fournit pas les informations de façon suffisamment transparente à la personne concernée conformément à l'article 11, à l'article 12, paragraphe 3, et à l'article 14; b) ne fournit pas un accès à la personne concernée, ne rectifie pas les données à caractère personnel conformément aux articles 15 et 16 ou ne communique pas les informations en cause à un destinataire conformément à l'article 13; c) ne respecte pas le droit à l'oubli numérique ou à l'effacement, omet de mettre en place des mécanismes garantissant le respect des délais ou ne prend pas toutes les mesures nécessaires pour informer les tiers qu'une personne concernée demande l’effacement de tout lien vers les données à caractère personnel, ou la copie ou la reproduction de ces données conformément à l'article 17. d) omet de fournir une copie des données à caractère personnel sous forme électronique ou fait obstacle à ce que la personne concernée transmette ses FR 102 FR données à caractère personnel à une autre application en violation de l’article 18; e) omet de définir ou ne définit pas suffisamment les obligations respectives des responsables conjoints du traitement conformément à l'article 24; f) ne tient pas, ou pas suffisamment, à jour la documentation conformément à l'article 28, à l'article 31, paragraphe 4, et à l'article 44, paragraphe 3; g) ne respecte pas, lorsque des catégories particulières de données ne sont pas concernées, conformément aux articles 80, 82 et 83, les règles en matière de liberté d’expression, les règles sur le traitement de données à caractère personnel en matière d'emploi ou les conditions de traitement à des fins de recherche historique, statistique et scientifique. 6. L'autorité de contrôle inflige une amende pouvant s'élever à 1 000 000 EUR ou, dans le cas d'une entreprise, à 2 % de son chiffre d’affaires annuel mondial, à quiconque, de propos délibéré ou par négligence: a) traite des données à caractère personnel sans base juridique ou sans base juridique suffisante à cette fin ou ne respecte pas les conditions relatives au consentement conformément aux articles 6, 7 et 8; b) traite des catégories particulières de données en violation des articles 9 et 81; c) ne respecte pas une opposition ou ne se conforme pas à l'obligation prévue à l’article 19; d) ne respecte pas les conditions relatives aux mesures fondées sur le profilage conformément à l'article 20; e) omet d'adopter des règles internes ou de mettre en œuvre les mesures requises pour assurer et prouver le respect des obligations énoncées aux articles 22, 23 et 30; f) omet de désigner un représentant conformément à l’article 25; g) traite des données à caractère personnel ou donne l'instruction d'en effectuer le traitement en violation des obligations, énoncées aux articles 26 et 27, en matière de traitement réalisé pour le compte d'un responsable du traitement; h) omet de signaler ou de notifier une violation de données à caractère personnel, ou omet de notifier la violation en temps utile ou de façon complète à l'autorité de contrôle ou à la personne concernée conformément aux articles 31 et 32; i) omet d'effectuer une analyse d'impact relative à la protection des données ou traite des données à caractère personnel sans autorisation préalable ou consultation préalable de l'autorité de contrôle conformément aux articles 33 et 34; FR 103 FR j) omet de désigner un délégué à la protection des données ou de veiller à ce que les conditions pour l'accomplissement de ses missions soient réunies conformément aux articles 35, 36 et 37; k) fait un usage abusif d'une marque ou d'un label de protection des données au sens de l'article 39; l) effectue ou donne l'instruction d'effectuer, vers un pays tiers ou à une organisation internationale, un transfert de données qui n'est pas autorisé par une décision relative au caractère adéquat du niveau de protection, couvert par des garanties appropriées ou par une dérogation conformément aux articles 40 à 44; m) ne respecte pas une injonction, une interdiction temporaire ou définitive de traitement ou la suspension de flux de données par l'autorité de contrôle conformément à l'article 53, paragraphe 1; n) ne respecte pas l'obligation de prêter assistance, de répondre ou de fournir des informations utiles à l'autorité de contrôle ou de lui donner accès aux locaux conformément à l'article 28, paragraphe 3, à l'article 29, à l'article 34, paragraphe 6, et à l'article 53, paragraphe 2; o) ne respecte pas les règles de protection du secret professionnel conformément à l'article 84.
7. La Commission est habilitée à adopter des actes délégués en conformité avec l’article 86 aux fins d'adapter le montant des amendes administratives prévues aux paragraphes 4, 5 et 6, en tenant compte des critères énoncés au paragraphe 2.
|
1. Chaque autorité de contrôle (...) veille à ce que les amendes administratives visées à l'article 79 bis qui sont imposées en vertu du présent article pour des violations du présent règlement (...) soient, dans chaque cas, effectives, proportionnées et dissuasives.
2. (…)
2 bis. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l'article 53, paragraphe 1 ter, points a) à f). Lorsqu'il est décidé d'imposer ou non une amende administrative (...) et que le montant de l'amende administrative est fixé, il est dûment tenu compte dans chaque cas des éléments suivants:
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que le nombre de personnes concernées en jeu et le niveau de dommage qu'elles ont subi;
b) le fait que l'infraction a été commise de propos délibéré ou par négligence,
c) (...);
d) les mesures prises par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées;
e) le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu'ils ont mises en œuvre en vertu des articles 23 et 30;
f) toute violation antérieure pertinente commise par le responsable du traitement ou le sous-traitant;
g) (…);
h) la manière dont l'autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant ont notifié la violation;
i) lorsque des mesures telles que celles visées à l'article 53, (…) paragraphe 1 ter, points a), d), e) et f), ont été précédemment décidées à l'encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures;
j) l'adhésion à des codes de conduites approuvés, conformément à l'article 38, ou à des mécanismes de certification, conformément à l'article 39;
k) (…);
l) (…);
m) toute autre circonstance aggravante ou atténuante applicable au cas concerné.
3. (…)
3 bis. (…)
3 ter. Tout État membre peut établir les règles déterminant si et dans quelle mesure des amendes peuvent être infligées à des autorités et des organismes publics établis sur son territoire.
4. L'exercice, par l'autorité de contrôle (…), des pouvoirs que lui confère le présent article est soumis à des garanties procédurales appropriées conformément au droit de l'Union ou à la législation d'un État membre, y compris le droit à un recours effectif et à une procédure régulière.
5. Les États membres peuvent s'abstenir de mettre en place les règles régissant les amendes administratives visées à l'article 79 bis, paragraphes 1, 2 et 3, lorsque leur système juridique ne prévoit pas d'amendes administratives et que les violations visées font déjà l'objet de sanctions pénales dans le cadre de leur droit interne à la date du [date visée à l'article 91, paragraphe 2], tout en prenant les mesures nécessaires pour que ces sanctions pénales soient effectives, proportionnées et dissuasives, compte tenu du niveau des amendes administratives prévues dans le présent règlement. Dans ce cas, les États membres notifient à la Commission les parties de leur droit pénal concernées.
Art. 79 biss
1. L'autorité de contrôle (...) peut infliger une amende n'excédant pas 250 000 EUR, ou, dans le cas d'une entreprise, 0,5 % de son chiffre d'affaires annuel total au niveau mondial pour l'exercice précédent, à un responsable du traitement qui, de propos délibéré ou par négligence:
a) ne répond pas dans les délais prévus à l'article 12, paragraphe 2, aux demandes de la personne concernée;
b) perçoit des frais (…) en violation de l'article 12, paragraphe 4, première phrase.
2. L'autorité de contrôle (...) peut infliger une amende n'excédant pas 500 000 EUR ou, dans le cas d'une entreprise, 1 % de son chiffre d'affaires annuel (…) total au niveau mondial pour l'exercice précédent, à un responsable du traitement ou à un sous-traitant qui, de propos délibéré ou par négligence:
a) ne fournit pas les informations, fournit des informations incomplètes ou ne fournit pas les informations [en temps voulu ou] de façon [suffisamment] transparente à la personne concernée conformément à l'article 12, paragraphe 3, et aux articles 14 et 14 bis
b) ne fournit pas un accès à la personne concernée ou ne rectifie pas les données à caractère personnel conformément aux articles 15 et 16 (...);
c) n'efface pas les données à caractère personnel en violation du droit à l'effacement et à l'"oubli numérique" conformément à l'article 17, paragraphe 1, points a), b), d) ou e);
d) (…)
d bis) traite des données à caractère personnel en violation du droit à la limitation du traitement prévu à l'article 17 bis ou n'informe pas la personne concernée avant que la limitation du traitement soit levée conformément à l'article 17 bis, paragraphe 4;
d ter) ne communique pas à chaque destinataire à qui le responsable du traitement a communiqué des données à caractère personnel toute rectification, tout effacement ou toute limitation du traitement en violation de l'article 17 ter;
d quater) ne fournit pas à la personne concernée les données à caractère personnel la concernant (...) en violation de l'article 18;
d quinquies) traite des données à caractère personnel après que la personne concernée s'y soit opposée conformément à l'article 19, paragraphe 1, et n'établit pas l'existence de raisons impérieuses et légitimes justifiant le traitement, qui priment les intérêts, les droits et les libertés de la personne concernée, ou la constatation, l'exercice ou la défense d'un droit en justice;
d sexies) ne fournit pas à la personne concernée d'informations concernant le droit de s'opposer au traitement à des fins de prospection conformément à l'article 19, paragraphe 2, ou continue le traitement de données à des fins de prospection après l'opposition de la personne concernée, en violation de l'article 19, paragraphe 2 bis;
e) omet de définir ou ne définit pas suffisamment les obligations respectives des responsables conjoints du traitement conformément à l'article 24;
f) ne tient pas, ou pas suffisamment, à jour la documentation conformément à l'article 28 et à l'article 31, paragraphe 4.
g) (…)
3. L'autorité de contrôle (...) peut infliger une amende n'excédant pas 1 000 000 EUR ou, dans le cas d'une entreprise, 2 % de son chiffre d'affaires annuel total au niveau mondial pour l'exercice précédent, à un responsable du traitement ou à un sous-traitant qui, de propos délibéré ou par négligence:
a) traite des données à caractère personnel sans base juridique (...) à cette fin ou ne respecte pas les conditions relatives au consentement conformément aux articles 6, 7, 8 et 9;
b) (…);
c) (…);
d) ne respecte pas les conditions relatives à la prise de décision individuelle automatisée, y compris le (…) profilage conformément à l'article 20;
d bis) omet (…) de mettre en œuvre les mesures appropriées ou n'est pas à même d'établir le respect des obligations énoncées aux articles 22 (…) et 30;
d ter) omet de désigner un représentant en violation de l'article 25;
d quater) traite des données à caractère personnel ou donne l'instruction d'en effectuer le traitement en violation (…) de l'article 26;
d quinquies) omet de signaler ou de notifier une violation de données à caractère personnel, ou omet de notifier la violation [en temps utile ou] de façon complète à l'autorité de contrôle ou à la personne concernée en violation des articles 31 et 32;
d sexies) omet d'effectuer une analyse d'impact relative à la protection des données en violation de l'article 33 ou traite des données à caractère personnel sans consultation préalable de l'autorité de contrôle en violation de l'article 34, paragraphe 2;
e) (…);
f) fait un usage abusif d'une marque ou d'un label de protection des données au sens de l'article 39 ou ne respecte par les conditions et les procédures prévues aux articles 38 bis et 39 bis;
g) effectue ou donne l'instruction d'effectuer, vers un destinataire situé dans un pays tiers ou à une organisation internationale, un transfert de données en violation des articles 41 à 44;
h) ne respecte pas une injonction, une limitation temporaire ou définitive de traitement ou la suspension de flux de données par l'autorité de contrôle conformément à l'article 53, paragraphe 1 ter, ou ne fournit pas l'accès en violation de l'article 53, paragraphe 1.
i) (…)
j) (…).
3 bis. Si un responsable du traitement ou un sous-traitant enfreint délibérément ou par négligence plusieurs dispositions du présent règlement énumérées aux paragraphes 1, 2 ou 3, le montant total de l'amende ne peut pas excéder le montant fixé pour la violation la plus grave. 4. (...)
|
Art. 24
Les États membres prennent les mesures appropriées pour assurer la pleine application des dispositions de la présente directive et déterminent notamment les sanctions à appliquer en cas de violation des dispositions prises en application de la présente directive.
|
Pas de disposition correspondante
|
55A. Power of Commissioner to impose monetary penalty
(1) The Commissioner may serve a data controller with a monetary penalty notice if the Commissioner is satisfied that—
(a) there has been a serious contravention of section 4(4) by the data controller,
(b) the contravention was of a kind likely to cause substantial damage or substantial distress, and
(c) subsection (2) or (3) applies.
(2) This subsection applies if the contravention was deliberate.
(3) This subsection applies if the data controller—
(a) knew or ought to have known —
(i) that there was a risk that the contravention would occur, and
(ii) that such a contravention would be of a kind likely to cause substantial damage or substantial distress, but
(b) failed to take reasonable steps to prevent the contravention.
(3A) The Commissioner may not be satisfied as mentioned in subsection (1) by virtue of any matter which comes to the Commissioner's attention as a result of anything done in pursuance of—
(a) an assessment notice;
(b) an assessment under section 51(7).
(4) A monetary penalty notice is a notice requiring the data controller to pay to the Commissioner a monetary penalty of an amount determined by the Commissioner and specified in the notice.
(5) The amount determined by the Commissioner must not exceed the prescribed amount.
(6) The monetary penalty must be paid to the Commissioner within the period specified in the notice.
(7) The notice must contain such information as may be prescribed.
(8) Any sum received by the Commissioner by virtue of this section must be paid into the Consolidated Fund.
(9) In this section—
“data controller” does not include the Crown Estate Commissioners, a relevant person or a person who is a data controller by virtue of section 63(3);
“prescribed” means prescribed by regulations made by the Secretary of State; and
“relevant person” means a person who is discharging functions in relation to the management of any property, rights or interests to which section 90B(5) of the Scotland Act 1998 applies.
55B. Monetary penalty notices: procedural rights
(1) Before serving a monetary penalty notice, the Commissioner must serve the data controller with a notice of intent.
(2) A notice of intent is a notice that the Commissioner proposes to serve a monetary penalty notice.
(3) A notice of intent must—
(a) inform the data controller that he may make written representations in relation to the Commissioner's proposal within a period specified in the notice, and
(b) contain such other information as may be prescribed.
(4) The Commissioner may not serve a monetary penalty notice until the time within which the data controller may make representations has expired.
(5) A person on whom a monetary penalty notice is served may appeal to the Tribunal against—
(a) the issue of the monetary penalty notice;
(b) the amount of the penalty specified in the notice.
(6) In this section, “prescribed” means prescribed by regulations made by the Secretary of State.
55C. Guidance about monetary penalty notices
(1) The Commissioner must prepare and issue guidance on how he proposes to exercise his functions under sections 55A and 55B.
(2) The guidance must, in particular, deal with—
(a) the circumstances in which he would consider it appropriate to issue a monetary penalty notice, and
(b) how he will determine the amount of the penalty.
(3) The Commissioner may alter or replace the guidance.
(4) If the guidance is altered or replaced, the Commissioner must issue the altered or replacement guidance.
(5) The Commissioner must consult the Secretary of State before issuing any guidance under this section.
(6) The Commissioner must lay any guidance issued under this section before each House of Parliament.
(7) The Commissioner must arrange for the publication of any guidance issued under this section in such form and manner as he considers appropriate.
(8) In subsections (5) to (7), “guidance” includes altered or replacement guidance.
55D. Monetary penalty notices: enforcement
(1) This section applies in relation to any penalty payable to the Commissioner by virtue of section 55A.
(2) In England and Wales, the penalty is recoverable—
(a) if the county court so orders, as if it were payable under an order of that court;
(b) if the High Court so orders, as if it were payable under an order of that court.
(3) In Scotland, the penalty may be enforced in the same manner as an extract registered decree arbitral bearing a warrant for execution issued by the sheriff court of any sheriffdom in Scotland.
(4) In Northern Ireland, the penalty is recoverable—
(a) if a county court so orders, as if it were payable under an order of that court;
(b) if the High Court so orders, as if it were payable under an order of that court.
55E. Notices under sections 55A and 55B: supplemental
(1) The Secretary of State may by order make further provision in connection with monetary penalty notices and notices of intent.
(2) An order under this section may in particular—
(a) provide that a monetary penalty notice may not be served on a data controller with respect to the processing of personal data for the special purposes except in circumstances specified in the order;
(b) make provision for the cancellation or variation of monetary penalty notices;
(c) confer rights of appeal to the Tribunal against decisions of the Commissioner in relation to the cancellation or variation of such notices;
(d) F12. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
(e) make provision for the determination of [F13appeals made by virtue of paragraph (c)];
(f) F14. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . .
(3) An order under this section may apply any provision of this Act with such modifications as may be specified in the order.
(4) An order under this section may amend this Act.
|
