Recevoir une notification de l'Agence espagnole de protection des données (AEPD) est une situation qui mérite une réaction immédiate et méthodique. Les entreprises qui paniquent ou qui ignorent la notification s'exposent à des sanctions bien plus lourdes. Notre service de protection des données gère l'ensemble de la procédure de réponse à l'AEPD. que celles qui répondent de manière constructive et diligente. Ce guide vous explique ce qui se passe, comment réagir à chaque étape et comment minimiser l'impact. Notre service de DPO externalisé gère l'intégralité de la procédure.
Les types d’actes d’ouverture de procédure de l’AEPD
Demande d’information préalable
La première prise de contact de l’AEPD est souvent une simple demande d’information, avant l’ouverture formelle d’une procédure. Elle peut faire suite à une plainte d’une personne concernée ou à une initiative de contrôle de l’AEPD. À ce stade, une réponse coopérative et complète peut éviter l’ouverture d’une procédure formelle.
Procédure d’investigation (diligencias previas)
L’AEPD ouvre une phase d’investigation pour analyser les faits. Cette phase n’implique pas encore de sanction. L’entreprise reçoit une notification l’invitant à fournir des informations et des documents sur ses pratiques de traitement.
Procédure de sanction
Si l’investigation révèle une infraction, l’AEPD ouvre formellement une procédure de sanction. Elle notifie à l’entreprise les faits qui lui sont reprochés, les infractions présumées et les sanctions potentielles.
Ce que vous devez faire dès réception de la notification
1. Ne pas ignorer la notification. Les délais de réponse sont juridiquement contraignants. Un silence peut être interprété comme un aveu ou entraîner une procédure par défaut.
2. Consulter immédiatement un avocat spécialisé en protection des données. La réponse à une procédure AEPD requiert une expertise technique (droit du RGPD et de la LOPDGDD) et procédurale (délais, formes, recours).
3. Rassembler la documentation. Identifiez et compilez tous les documents relatifs aux faits signalés : politiques de protection des données, registre des activités de traitement (outil central de toute politique de protection des données), contrats de sous-traitance, analyses d’impact, preuves de formation des employés, communications avec les personnes concernées.
4. Évaluer les pratiques actuelles. Analysez si les pratiques décrites dans la notification sont effectivement non conformes. Si oui, adoptez les mesures correctives immédiatement — même avant la réponse formelle.
Les phases de la procédure de sanction
Phase 1 — Notification de l’ouverture : L’entreprise reçoit la notification de l’ouverture de la procédure avec un délai pour présenter ses allégations (généralement 15 jours).
Phase 2 — Allégations : L’entreprise présente ses arguments de défense, ses preuves et ses mesures correctives. Cette phase est déterminante : les arguments non présentés ici ne pourront pas l’être en appel.
Phase 3 — Proposition de résolution : L’AEPD émet une proposition de résolution indiquant l’infraction retenue et la sanction proposée. L’entreprise dispose d’un nouveau délai pour formuler ses observations (généralement 10 jours).
Phase 4 — Résolution définitive : L’AEPD émet sa décision définitive. En cas de sanction, elle est exécutoire à compter de la notification.
Le règlement volontaire : une option à considérer
La LOPDGDD espagnole prévoit un mécanisme de règlement volontaire pour certaines infractions. Si l’entreprise reconnaît sa responsabilité dans les 30 jours suivant la notification de la proposition de résolution et paie la sanction proposée, elle bénéficie d’une réduction de 20 % du montant.
Ce mécanisme est pertinent lorsque l’infraction est clairement établie et que la sanction proposée est raisonnable. Dans les cas où les faits sont contestables ou la sanction disproportionnée, il est préférable de défendre sa position.
Les recours disponibles
- Recours de réformation (recurso de reposición) : Devant l’AEPD elle-même, dans un délai d’un mois à compter de la notification de la résolution.
- Recours contentieux-administratif : Devant les juridictions administratives (Audiencia Nacional pour les sanctions de l’AEPD), dans un délai de deux mois.
BMC dispose d’une équipe spécialisée en protection des données qui accompagne les entreprises dans les procédures AEPD et dans la mise en conformité RGPD.
Cadre réglementaire : la procédure de sanction de l’AEPD
La procédure de sanction de l’AEPD est encadrée par plusieurs textes normatifs qui définissent ses phases, les droits du mis en cause et les critères de fixation des sanctions.
Règlement (UE) 2016/679 (RGPD), article 83 : L’article 83 RGPD établit le cadre général des amendes administratives pour les violations du RGPD. Il distingue deux niveaux de sanctions maximales : pour les violations « moins graves » (article 83.4) — notamment les obligations des sous-traitants, les obligations de base des responsables du traitement — le plafond est de 10 millions d’euros ou 2 % du chiffre d’affaires annuel mondial. Pour les violations « graves » (article 83.5) — notamment les principes fondamentaux du traitement, les droits des personnes concernées, les transferts internationaux illicites — le plafond est de 20 millions d’euros ou 4 % du chiffre d’affaires annuel mondial. L’article 83.2 liste les critères que l’AEPD doit prendre en compte pour fixer le montant effectif de la sanction : nature, gravité et durée de la violation, caractère intentionnel ou négligent, mesures prises pour atténuer le préjudice, degré de coopération avec l’autorité, catégories de données concernées, manière dont l’AEPD a été informée, et antécédents.
Loi Organique 3/2018 (LOPDGDD), articles 70–77 : La LOPDGDD adapte le régime de sanctions du RGPD au droit espagnol. L’article 70 LOPDGDD définit les « infractions très graves » (infracciones muy graves), qui correspondent aux violations de l’article 83.5 RGPD. L’article 71 définit les infractions graves (infractor grave) et l’article 72 les infractions légères. La LOPDGDD a introduit une disposition unique en Europe : l’article 77 LOPDGDD prévoit un régime spécifique pour les administrations publiques espagnoles, remplaçant les amendes par des avertissements (apercibimientos) accompagnés d’une obligation de mise en conformité, afin de ne pas pénaliser financièrement les services publics.
Loi 39/2015, de 1er octobre, de procédure administrative commune (LPAC) : La procédure de sanction de l’AEPD suit les règles de la procédure administrative commune espagnole. L’article 89 LPAC prévoit le droit à la terminaison simplifiée de la procédure : si le mis en cause reconnaît sa responsabilité dès l’ouverture de la procédure et paie la sanction dans les délais, il bénéficie d’une réduction de 20 % de la sanction, cumulable avec la réduction pour paiement volontaire en période de paiement volontaire (20 % supplémentaires en vertu de l’article 62 LGT). Ces deux réductions peuvent réduire la sanction effective à 64 % du montant initial.
Erreurs fréquentes lors d’un contrôle AEPD
Erreur 1 : Répondre aux demandes d’information de l’AEPD sans assistance juridique. La première demande d’information (requerimiento de información) de l’AEPD marque l’ouverture d’une enquête préliminaire et n’est pas encore la procédure de sanction formelle. Cependant, les réponses fournies à ce stade peuvent devenir des éléments de preuve à charge dans la procédure de sanction ultérieure. Les organisations qui répondent sans l’assistance d’un avocat spécialisé en protection des données risquent de reconnaître des faits, de produire des documents ou de formuler des réponses qui aggravent leur position juridique.
Erreur 2 : Ne pas mettre en oeuvre les mesures correctrices immédiatement après la notification du contrôle. L’un des critères que l’AEPD prend en compte pour moduler la sanction (article 83.2.c RGPD) est la réaction de l’organisation face à la violation : les mesures prises pour en atténuer les effets et pour se mettre en conformité. Les organisations qui, informées du contrôle, attendent l’issue de la procédure avant d’agir, perdent l’opportunité de démontrer une réaction diligente qui pourrait réduire significativement le montant de la sanction.
Erreur 3 : Négliger les voies de recours disponibles contre la résolution de sanction. La résolution de sanction de l’AEPD n’est pas définitive. L’article 123 LPAC permet au mis en cause de former un recours en réexamen (recurso de reposición) devant l’AEPD dans le délai d’un mois, ou de former directement un recours contentieux-administratif (recurso contencioso-administrativo) devant les tribunaux administratifs dans le délai de deux mois. L’Audience Nationale (Audiencia Nacional) est compétente pour les recours contre les résolutions de l’AEPD. Le taux de succès partiel ou total de ces recours n’est pas négligeable, notamment lorsque l’AEPD n’a pas correctement appliqué les critères de proportionnalité.
