La CJUE applique la notion d’entité économique à une violation du RGPD

 La Cour de justice de l’union européenne a été interrogée sur la notion d’entreprise, en présence d’une société mère et sa filiale, pour la détermination du montant de l’amende administrative infligée pour un manquement au Règlement général sur la protection des données personnelles. 

Dans le cadre de cette affaire, la filiale du groupe Lars Larsen Group, la société ILVA est poursuivie par les autorités danoises pour avoir manqué aux obligations lui incombant en vertu du Règlement général sur la protection des données (RGPD) en sa qualité de responsable de traitement des données à caractère personnel dans le cadre de la conservation des données d’au moins 350 000 anciens clients.  

Pour sanctionner la filiale, l’autorité en charge de la protection des données au Danemark a, dans un premier temps, justifié le montant de la sanction prononcée par la prise en compte du chiffre d’affaires global du groupe Lars Larsen Group, ce qui a eu pour effet de sanctionner sévèrement la filiale. Une action a été intentée devant la juridiction compétente danoise, qui a rejeté l’application du chiffre d’appel global du groupe, pour réévaluer le montant de l’amende au montant de 13 400 euros.  

Le ministère public a interjetté appel de ce jugement en considérant que « le terme « entreprise » figurant à l’article 83, paragraphes 4 à 6, du RGPD doit être compris en ce sens que, pour fixer une amende en cas de violation du RGPD par une société, il convient de se référer au chiffre d’affaires du groupe dont fait partie cette société. Il découlerait en effet du considérant 150 du RGPD que ce terme doit être compris conformément aux articles 101 et 102 TFUE » (paragraphe 13). 

Pour rappel l’article 150 du RGPD dispose que « Lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du traité sur le fonctionnement de l’Union européenne ». 

C’est dans ce contexte que la Cour de justice de l’union européenne est interrogée sur la question de savoir si la notion d’entreprise doit être entendue comme une « entité économique », comme c’est le cas en droit de la concurrence, et si dans l’affirmative, cette appréhension doit conduire le juge à calculer le montant de l’amende à partir du chiffre d’affaires global de l’exercice annuel du groupe ou celui de la filiale.   

Pour rappel, la notion « d’entité économique » invite à envisager l’entreprise comme une unité économique, même si d’un point de vue juridique, cette unité est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 5 décembre 2023, Deutsche Wohnen. C-807/21) 

Pour répondre à cette question, la Cour de justice de l’union européenne a considéré que l’article 83, paragraphes 4 à 6, du RGPD, lu à la lumière du considérant 150 de ce règlement, doit être interprété en ce sens que le terme « entreprise », figurant à ces dispositions , correspond à la notion d’ « entreprise », au sens des articles 101 et 102 TFUE, de sorte que, lorsqu’une amende pour violation du règlement 2016/679 est imposée à un responsable du traitement de données à caractère personnel, qui est ou fait partie d’une entreprise, le montant maximal de l’amende est déterminé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise. A cet égard, la CJUE précise que la notion d’« entreprise » doit être prise en compte pour apprécier la capacité économique réelle ou matérielle du destinataire de l’amende et ainsi vérifier si l’amende est à la fois effective, proportionnée et dissuasive (paragraphe 36). 

Ainsi, par cet arrêt la CJUE semble prendre le parti d’étendre l’application de cette définition d’entreprise propre au droit de la concurrence aux sanctions résultant de la non-conformité au RGPD dans un objectif de garantir le caractère effectif, proportionné et dissuasif de l’amende. 

Références : CJUE 13 février 2025 / n° C-383/23