Le Comité européen de la protection des données a mis à profit sa séance plénière du 21 septembre pour adopter deux séries de lignes directrices : l'une portant sur les circonstances dans lesquelles les autorités de protection des données doivent imposer des amendes administratives en vertu du RGPD, seules ou conjointement à d'autres mesures correctives, et la version finale de ses lignes directrices sur l'interaction entre la loi sur les services numériques (DSA) et le RGPD. L'annonce est disponible sur le site du CEPD.

Les lignes directrices sur les amendes constituent la nouvelle la plus importante pour quiconque exploite des systèmes d'identité qui traitent des données relatives à des personnes dans l'UE. Le RGPD a conféré aux APD un large éventail de pouvoirs correctifs, et les amendes sont ceux qui apparaissent dans les présentations au conseil d'administration. Ce qu'il ne leur a pas fourni, c'est une méthode commune pour décider à quel moment une amende est l'outil approprié plutôt que l'une des autres mesures. Le CEPD présente les nouvelles lignes directrices comme « une étape majeure vers un meilleur alignement » de la manière dont les APD prennent cette décision.

« Le RGPD a considérablement accru les pouvoirs correctifs des APD, les amendes constituant un instrument important pour une application efficace. Les lignes directrices réaffirment notre engagement à apporter plus de clarté et à assurer l'application cohérente du RGPD à travers l'Europe », a déclaré la vice-présidente du CEPD, Jelena Virant Burnik.

Quiconque a tenté de prévoir les résultats en matière d'application dans les différents États membres sait que le terme « cohérent » a jusqu'à présent décrit davantage l'ambition que la réalité. Une méthode écrite transforme les discussions, car elle donne aux organisations quelque chose de concret à invoquer lorsqu'elles cherchent à déterminer à quel bout de l'échelle elles se situent.

Selon le résumé du CEPD, les APD doivent suivre une méthodologie en cinq étapes pour décider s'il y a lieu d'imposer une amende :

1. Fondement juridique de l'amende. L'APD vérifie si l'infraction peut donner lieu à une amende, en trouvant un appui soit directement dans le RGPD, soit dans le droit national.
2. Qui peut être sanctionné. L'APD détermine si la partie faisant l'objet de l'enquête peut être sanctionnée pour l'infraction en question. La question de savoir si le responsable du traitement ou le sous-traitant est tenu pour responsable dépend de qui est lié par la disposition enfreinte.
3. Culpabilité. L'APD évalue si l'infraction a été commise intentionnellement ou par négligence. Une infraction fautive est une condition préalable à l'imposition d'une amende.
4. Circonstances aggravantes et atténuantes. L'APD soupèse les facteurs qui rendent l'infraction plus ou moins grave.

L'annonce du CEPD ne détaille pas la cinquième étape avec le même niveau de précision, et elle ne résume pas la manière dont les lignes directrices traitent le choix entre une amende et d'autres pouvoirs correctifs. Les praticiens qui ont besoin de ce niveau de détail devraient lire les lignes directrices complètes plutôt que le communiqué de presse.

Deux de ces étapes concernent directement les équipes responsables des identités. L'étape 2 repose sur la distinction entre responsable du traitement et sous-traitant, ce qui correspond précisément à la zone grise dans laquelle se trouvent souvent les fournisseurs d'identité, les plateformes CIAM, les services d'annuaire et les solutions IAM externalisées pour la main-d'œuvre. C'est celui qui est lié par la disposition enfreinte qui reçoit la facture. L'étape 3 fait de l'intention ou de la négligence une condition préalable à l'amende. C'est là l'aspect encourageant, bien que légèrement paradoxal : un critère de culpabilité récompense le travail peu spectaculaire que représentent la documentation des décisions, la réalisation des revues d'accès dans les délais prévus et la conservation des journaux qui prouvent que l'on a été attentif. Les preuves ennuyeuses mais défendables ont rarement eu autant de valeur.

La deuxième adoption concerne la version finale des lignes directrices du CEPD sur l'interaction entre la DSA et le RGPD. L'annonce ne précise pas ce qui a changé par rapport à la version antérieure, de sorte que les organisations soumises aux deux régimes devront comparer les textes elles-mêmes. Pour les plateformes relevant de la DSA, la question pratique est de savoir quel ensemble d'obligations régit quelle activité de traitement, et ces lignes directrices constituent la réponse du CEPD à cette question.

Aucune de ces deux séries de lignes directrices ne crée de nouvelles obligations pour les responsables du traitement ou les sous-traitants. Elles décrivent la manière dont les régulateurs doivent raisonner. Mais connaître la façon de penser de l'arbitre n'est pas un avantage négligeable, et le CEPD vient de publier la liste de vérification de l'arbitre.

Voici ce que je vérifierais cette semaine. Premièrement, examinez les accords de traitement des données qui sous-tendent votre infrastructure d'identité et confirmez que chacun indique clairement si vous êtes responsable du traitement ou sous-traitant pour chaque flux, car l'étape 2 de cette méthodologie posera exactement cette question. Deuxièmement, assurez-vous que vos dossiers de revue des accès, vos chronologies d'incidents et vos décisions d'acceptation des risques sont consignés par écrit et récupérables, car « négligent » est le terme auquel une APD a recours lorsqu'il n'existe aucune preuve que quelqu'un faisait attention. Si votre programme répond déjà à ces deux exigences, félicitations : vous constituez discrètement un dossier d'atténuation depuis tout ce temps.