Les plafonds du RGPD attirent l'attention, mais ils ne prédisent pas le montant d'un dossier. L'autorité apprécie la nature du manquement, sa durée, ses effets, le comportement de l'organisme, sa coopération et les corrections apportées.
Deux plafonds ne forment pas un barème automatique
Le RGPD distingue deux niveaux de plafond administratif selon les obligations concernées. Certains manquements peuvent aller jusqu'à dix millions d'euros ou deux pour cent du chiffre d'affaires annuel mondial, d'autres jusqu'à vingt millions ou quatre pour cent. Pour une entreprise, le montant le plus élevé de l'alternative sert de borne.
Ces chiffres encadrent le pouvoir de sanction, ils ne signifient pas qu'une erreur produit mécaniquement un pourcentage. L' article 83 dans le texte publié par la CNIL énumère des critères d'appréciation qui demandent une lecture individualisée.
La gravité part des conséquences pour les personnes
Regardez la nature des données, le nombre de personnes, l'étendue du dommage possible et le contexte. Une exposition de données de santé, une décision automatisée injustifiée ou une surveillance cachée n'ont pas le même effet qu'une information secondaire incomplète rapidement corrigée.
Décrivez les conséquences sans les minimiser ni les amplifier. Perte de confidentialité, usurpation, discrimination, exclusion d'un service, atteinte à la réputation ou difficulté d'exercer un droit doivent être reliées à des faits observables. Cette analyse guide aussi les mesures urgentes.
La durée et la répétition aggravent un défaut connu
Une configuration erronée pendant quelques heures et détectée par un contrôle interne n'a pas la même trajectoire qu'une pratique poursuivie après plusieurs alertes. Conservez la chronologie : première mise en service, signalement, décision, correction et vérification.
Les tickets fermés sans test ou les recommandations reportées montrent que l'organisation connaissait le sujet. Le risque ne vient pas seulement du document gênant, mais de l'écart entre ce que la gouvernance annonçait et ce qu'elle a laissé durer.
L'intention n'efface pas la négligence
Une exploitation volontaire peut peser lourd, mais l'absence d'intention ne suffit pas à rassurer. Une négligence répétée, l'absence de contrôle ou des moyens manifestement insuffisants restent des facteurs sérieux. Demandez quelles précautions raisonnables étaient disponibles au moment des faits.
La preuve utile contient le choix, les alternatives, les limites connues et les validations. Une politique générique signée ne montre pas que le risque du traitement précis a été examiné.
Coopérer signifie produire des faits vérifiables
Répondre vite avec des informations incomplètes peut créer de nouvelles contradictions. Organisez un point d'entrée, un journal des demandes, un propriétaire par pièce et une relecture de cohérence. Signalez les inconnues au lieu de combler les trous par des affirmations.
La coopération se voit aussi dans l'accès aux systèmes, la conservation des preuves et l'exécution des mesures. Une promesse de correction ne vaut pas un déploiement vérifié. Fournissez les résultats, les dates et le périmètre restant.
Les mesures correctrices prises tôt changent le dossier
Bloquer un accès, arrêter un envoi, prévenir les personnes, corriger un algorithme ou retirer un tag peut réduire les effets. Ces actions ne suppriment pas le manquement antérieur, mais elles montrent la capacité à protéger rapidement.
Séparez l'endiguement de la correction durable. Le premier limite l'urgence. La seconde traite la cause : gouvernance, architecture, procédure, contrat, formation ou contrôle. Ajoutez un test qui empêche le défaut de revenir.
Les antécédents et le degré de responsabilité comptent
Une injonction ignorée ou un manquement similaire déjà signalé fragilise la position. À l'inverse, un programme de contrôle réel, une détection interne et des mesures cohérentes peuvent montrer que l'événement n'est pas le résultat d'une indifférence organisée.
Le recours à un prestataire ne transfère pas automatiquement la responsabilité. Examinez les instructions, la sélection, les audits, les réglages et la réaction aux alertes. Le contrat ne protège pas contre une pratique que l'entreprise pouvait observer et corriger.
Préparer un dossier de réponse avant l'incident
Constituez un index des traitements à risque, des analyses, des contrats, des tests, des habilitations et des incidents. N'entassez pas les pièces dans un dossier unique. L'index explique ce que chaque preuve démontre, sa version et son propriétaire.
Lors d'un incident, ouvrez une chronologie et congelez les éléments pertinents. Attribuez les actions, documentez les décisions de notification et préparez une synthèse fidèle. Une réponse ordonnée réduit le risque de déclarations incompatibles entre technique, juridique et direction.
La question à poser au comité de direction
Demandez non pas « quelle amende risquons-nous ? », mais « quelles conséquences pour les personnes laissons-nous durer, et quelle preuve avons-nous de leur réduction ? ». Cette formulation conduit aux bons investissements. Elle fait émerger les accès excessifs, les traitements sans propriétaire et les corrections jamais vérifiées.
Le montant reste incertain tant que l'autorité n'a pas apprécié le dossier. L'entreprise peut cependant agir sur sa trajectoire : connaître ses traitements, répondre aux alertes, documenter ses choix, limiter les effets et coopérer avec précision. Ce sont ces pratiques quotidiennes qui évitent qu'un défaut isolé devienne une histoire longue et aggravée.
Relier chaque correction à une preuve
Une action n'est pas close parce qu'un document a été approuvé. Associez-la à un résultat observable : droit retiré, durée exécutée, information affichée, fournisseur revu ou contrôle passé. Conservez l'avant, l'après et la personne qui a vérifié. Cette discipline permet à la direction de distinguer une intention d'une réduction réelle du risque, sans transformer le suivi en accumulation de pièces.
Commentaires
Aucun commentaire pour le moment