Le 13 février 2025, la Cour de justice de l'Union européenne (CJUE) a rendu une décision dans l'affaire C-383/23, qui a des conséquences importantes pour le calcul des amendes en vertu du règlement général sur la protection des données (RGPD) pourrait avoir. La décision portait essentiellement sur la question de savoir si le terme "entreprise" utilisé à l'article 83, paragraphes 4 à 6, de la loi sur les cartels pouvait être interprété de manière restrictive. RGPD doit être interprété au sens du droit de la concurrence de l'UE. Dans ce cas, le chiffre d'affaires total d'un groupe pourrait être pris en compte lors du calcul d'une amende si une filiale enfreint la RGPD n'est pas respectée.
Contexte de l'affaire
L'affaire concerne la chaîne danoise de magasins de meubles ILVA A/S, une filiale du groupe Lars Larsen. ILVA a été poursuivie par le ministère public danois pour avoir enfreint le règlement général sur la protection des données (RGPD) a été mise en accusation. La société est accusée données à caractère personnel d'au moins 350.000 anciens clients sur une période excessivement longue. Cela se ferait sans base légale et contrairement aux exigences de la RGPD en ce qui concerne la minimisation et la limitation du stockage des données.
L'autorité danoise de protection des données Datatilsyn a conclu, après enquête, que le Violation devait être considérée comme grave. Elle a recommandé une amende de 1,5 million de couronnes danoises (environ 201 000 euros). Le calcul de cette amende n'était pas uniquement basé sur le chiffre d'affaires d'ILVA, mais incluait le chiffre d'affaires total de la société mère Lars Larsen Group. L'autorité a fait valoir que l'unité économique était déterminante pour le montant de l'amende. L'effet dissuasif ne peut être garanti que si l'amende est calculée sur la base du chiffre d'affaires total du groupe.
Le tribunal de première instance, le Ret i Aarhus (tribunal d'Aarhus, au Danemark), a toutefois considérablement réduit l'amende à 100 000 DKK (environ 13 400 euros). Il a justifié cette décision en indiquant que seule ILVA, en tant que personne morale, faisait l'objet de la procédure, et non l'ensemble du groupe. De plus, le tribunal a estimé qu'ILVA avait agi par négligence dans cette affaire, et non de manière intentionnelle.
Le ministère public danois a fait appel de ce jugement devant le Vestre Landsret (tribunal de grande instance pour l'ouest du Danemark). Il a fait valoir que le terme "entreprise" utilisé à l'article 83, paragraphes 4 à 6, de la loi sur la concurrence, n'était pas suffisamment précis. RGPD doit être interprétée conformément à la notion d'entreprise en droit de l'Union. Selon elle, le chiffre d'affaires total de l'entité économique, c'est-à-dire du groupe, doit être pris en compte dans le calcul de l'amende. Cela a finalement conduit à la présentation de l'affaire devant la CJCE afin d'obtenir une clarification contraignante de cette question juridique.
Ces questions juridiques ont été portées devant la CJCE
Le Vestre Landsret a posé deux questions préjudicielles centrales à la CJCE :
- La notion d'"entreprise" visée à l'article 83, paragraphes 4 à 6, est-elle RGPD doit-il être compris conformément au droit de la concurrence de l'UE, c'est-à-dire comprend-il toute entité économique, indépendamment de sa forme juridique ?
- Dans l'affirmative, faut-il prendre en compte le chiffre d'affaires annuel total de l'entité économique ou uniquement celui de la filiale concernée pour le calcul de l'amende ?
Conseil de lecture : Arrêt de la CJUE concernant les amendes au titre du RGPD : quelle marge d'appréciation dispose une autorité de protection des données ?
CJCE : les entreprises doivent être interprétées selon le droit de la concurrence
La CJCE a décidé que le terme "entreprise" de l'art. 83, paragraphes 4 à 6 RGPD doit être interprétée conformément au droit de la concurrence. La Cour suit ainsi sa jurisprudence antérieure relative à la responsabilité des entreprises en vertu du droit de la concurrence, conformément aux articles 101 et 102 du TFUE.
Dans les motifs détaillés de son arrêt, la CJCE a souligné que RGPD ne doit pas être considérée isolément. Elle doit être comprise dans le contexte des règles économiques du droit de l'Union. Cela signifie que la notion d'"entreprise" ne se limite pas aux seules personnes morales, mais qu'elle englobe l'ensemble de l'entité économique, qui peut inclure les sociétés mères et les filiales.
La CJUE a en outre précisé qu'une amende infligée pour un RGPD- ne peut être calculée uniquement sur la base du chiffre d'affaires de la filiale directement responsable. C'est plutôt le chiffre d'affaires total du groupe qui est pertinent, dans la mesure où la concernés société fait partie intégrante de l'entité économique et que la société mère exerce une influence sur ses décisions commerciales.
Un aspect central de l'arrêt était de savoir si et dans quelle mesure la réalité économique l'emportait sur la considération juridique. La Cour a réaffirmé que le principe de "l'unité économique" était déjà ancré dans le droit de la concurrence de l'UE et qu'il était nécessaire pour l'application des RGPD s'applique de la même manière. Cela empêche les entreprises de contourner des amendes moins élevées en mettant en place des structures internes complexes.
Enfin, la CJCE s'est penchée sur l'impact sur l'effet dissuasif des amendes en vertu de la RGPD. Une amende qui ne prendrait en compte que le chiffre d'affaires d'une filiale pourrait constituer une sanction relativement faible pour les grands groupes et n'aurait donc pas l'effet dissuasif souhaité. Une approche à l'échelle du groupe est donc nécessaire pour garantir que les amendes soient proportionnées et efficaces.
La CJUE se montre pragmatique dans ses motifs
Dans son arrêt, la CJCE adopte une approche pragmatique qui permet une mise en œuvre effective des RGPD sans pour autant négliger les droits des entreprises concernées.
Le raisonnement de la CJUE repose sur les arguments suivants :
- Objectif d'harmonisation de la RGPD: Le site RGPD poursuit l'objectif d'une application uniforme du droit de la protection des données dans toute l'Union européenne. Pour garantir cela, les amendes doivent non seulement être efficaces et proportionnées, mais aussi avoir un effet dissuasif. La CJUE a souligné la nécessité d'empêcher les grands groupes de contourner l'application des règles relatives aux amendes en structurant habilement leur entreprise, ce qui leur permettrait d'obtenir des amendes moins élevées.
- Parallèles avec le droit de la concurrence : La CJCE a fondé sa décision sur la notion d'entreprise en droit de l'Union, conformément aux articles 101 et 102 du TFUE. Selon cette conception, une entité économique est considérée comme un tout, quel que soit le nombre de personnes morales qui la composent. Cela signifie que la réalité économique prime sur la structure juridique formelle. L'objectif est d'éviter que les entreprises ne s'isolent en répartissant en interne la responsabilité de la Responsabilité civile se priver.
- Effet dissuasif des sanctions : La Cour a souligné qu’une amende calculée uniquement sur la base du chiffre d’affaires de la filiale directement concernée représente souvent une charge économique négligeable pour les grandes entreprises multinationales. Afin de garantir un effet dissuasif suffisant, il convient donc de se baser sur le chiffre d'affaires de l'ensemble de l'entité économique. Cela permet également d'empêcher que les groupes ne contournent la réglementation en créant de nombreuses petites filiales, ce qui RGPD- contournent les mécanismes de sanction.
- Principe de proportionnalité : Dans le même temps, la CJUE a précisé que le principe de proportionnalité devait toujours être respecté lors de la fixation concrète du montant de l'amende. Cela signifie que le montant maximal de l'amende n'est pas automatiquement appliqué, mais que toutes les circonstances propres à chaque cas doivent être prises en compte, telles que la nature, la gravité et la durée de l'infraction, ainsi que la volonté de l'entreprise de coopérer avec les autorités de contrôle.
Impact sur la pratique des entreprises
La décision de la CJCE a des implications importantes pour le calcul et l'imposition d'amendes dans le cadre de la RGPD. Elle entraîne des changements considérables, en particulier pour les entreprises et les groupes opérant à l'échelle internationale. Les principales conséquences peuvent être regroupées en plusieurs aspects essentiels :
- étendu Responsabilité civile pour les grands groupes : En confirmant le principe d'unité économique, les sociétés mères seront potentiellement plus Responsabilité civile pour les violations de données de leurs filiales. Cela signifie que les violations sont considérées non seulement au niveau de l'entreprise, mais aussi au niveau du groupe, ce qui augmente considérablement l'exposition au risque pour les groupes d'entreprises.
- Augmentation des amendes : Étant donné que le chiffre d'affaires total de l'entité économique peut servir de base de calcul pour les amendes, celles-ci pourraient, dans la pratique, s'avérer nettement plus élevées qu'auparavant. Cela peut avoir des conséquences financières considérables, en particulier pour les grandes entreprises multinationales dont le chiffre d'affaires total est élevé.
- Nouveau Conformité-Stratégies : Les entreprises doivent veiller davantage à ce que toutes leurs filiales respectent des directives strictes en matière de protection des données. Cela implique que la gestion de la protection des données doive être systématiquement étendue à l'ensemble des groupes d'entreprises. Les mécanismes d'audit internes et les structures de contrôle vont gagner en importance afin de prévenir les infractions à l'échelle du groupe.
- Pression accrue sur les structures des entreprises : Les groupes d'entreprises doivent définir plus clairement leurs responsabilités internes et veiller à ce que les RGPD-Conformité ne se limite pas à une seule personne morale. Cette jurisprudence pourrait amener les entreprises à repenser la structure de leur groupe afin de mieux gérer les risques.
- Harmonisation des sanctions au sein de l'UE : En se référant au droit de la concurrence, la CJUE renforce l'harmonisation des sanctions applicables aux RGPD-les infractions dans l'ensemble de l'Union européenne. Cela garantit une application plus uniforme des dispositions et empêche que certains États membres n'autorisent des sanctions moins sévères en raison d'interprétations divergentes.
- Des mesures dissuasives plus fortes pour les entreprises : Cette décision garantit que les violations de la protection des données ne pourront plus être sanctionnées par des amendes relativement faibles. Les entreprises doivent désormais veiller à ce que la protection des données—Conformité reste un élément central de la gestion d'entreprise afin d'éviter de lourdes sanctions financières.
Conclusion
L'arrêt de la CJCE dans l'affaire C-383/23 représente un jalon important dans l'application de la RGPD et renforce considérablement l'efficacité des règles de protection des données dans l'Union européenne. Cette décision montre que les principes du droit de la concurrence peuvent également s'appliquer aux sanctions prévues par la législation sur la protection des données, afin de garantir une sanction efficace et équitable des infractions.
L'inclusion du chiffre d'affaires du groupe comme base de calcul des amendes garantit que même les grands groupes d'entreprises sont tenus pour responsables de manière appropriée des infractions à la protection des données. Cela empêche les groupes d'éviter ou de minimiser les amendes par des structurations internes habiles. La décision contribue ainsi à garantir une application uniforme et équitable des RGPD dans toute l'UE.
De plus, cet arrêt envoie un signal clair aux entreprises : les violations de la protection des données peuvent entraîner de graves conséquences financières. L'effet dissuasif de cette réglementation incitera les entreprises à respecter la protection des données—Conformité les intégrer encore davantage dans leurs stratégies commerciales et veiller à ce que toutes les filiales respectent les directives de la RGPD correspondent.
Dans l'ensemble, l'arrêt contribue à faciliter l'application des RGPD de renforcer la protection des consommateurs en fixant des critères clairs pour l'évaluation des amendes et en encourageant les entreprises à le faire, Protection des données comme une obligation légale et éthique centrale. Cette décision aura sans aucun doute un impact à long terme sur la conception des politiques de protection des données et des structures d'entreprise.
German 
English 
Italian 
French