Volkswagen se défend avec succès contre une forte amende et des avertissements liés au RGPD

juin 16, 2025

Catégories :

Conformité, Protection des données en Allemagne

La procédure RGPD contre Volkswagen se termine de manière plutôt curieuse. Le groupe automobile a contesté à la fois une amende de 4,3 millions d'euros et plusieurs avertissements du commissaire à la protection des données du Land de Basse-Saxe (LfD). Le tribunal régional de Hanovre a annulé l'amende, car il n'a pas constaté d'infraction grave au RGPD. Le parquet a finalement dû retirer le recours juridique contre le jugement en raison d'une signature manquante. En revanche, le jugement du tribunal administratif de Hanovre est juridiquement plus intéressant. Le tribunal a donné raison à VW dans deux cas sur cinq.

Révision du scandale du diesel avec des conséquences sur la protection des données

Dans le cadre de l'enquête sur le scandale du diesel, Volkswagen AG (VW) a conclu plusieurs accords avec des autorités pénales et civiles aux États-Unis afin de mettre fin aux procédures en cours et de prévenir d'autres risques juridiques. La mise en place d'un "monitoring" faisait partie de ces accords : L'ancien procureur général adjoint des États-Unis Larry Thompson a été nommé moniteur de conformité externe. Celui-ci devait vérifier les systèmes de conformité et de contrôle existants du groupe, les développer et surveiller leur mise en œuvre.

Pour mener à bien cette mission, le Monitor a obtenu un accès complet aux documents et données de VW, y compris des informations personnelles sur les anciens employés et les employés actifs. Il s'agissait aussi bien de noms en clair et de numéros personnels que d'évaluations liées au service. Le commissaire à la protection des données du Land de Basse-Saxe (LfD) a estimé que cet accès aux données constituait une atteinte grave à la protection des données. Le LfD a alors engagé une procédure de surveillance contre Volkswagen et a identifié cinq faits concrets qu'il a considérés comme des violations du RGPD. Il a prononcé des avertissements à l'encontre de VW conformément à l'article 58, paragraphe 2, point b) du RGPD.

Avertissement 1 : liste de noms en clair avec "connaissance directe" - inadmissible ?

VW avait transmis au moniteur américain une liste de 22 noms en clair, accompagnée du titre "direct knowledge". Dans le cadre du processus Fast Lane, VW a transmis des données pseudonymisées par e-mail crypté en cours de transport. Le LfD a toutefois exigé un cryptage de bout en bout. Le tribunal a rejeté cette demande. Les données n'avaient pas besoin d'une protection particulière et, sans nom en clair, il n'y avait pas de risque concret de ré-identification, d'autant plus que la clé d'attribution n'avait pas été transmise.

Le tribunal concrétise le niveau de protection technique selon l'article 32 du RGPD et souligne la proportionnalité dans le cas de données pseudonymisées. Il faut néanmoins tenir compte du fait que l'état de la technique et, par conséquent, les mesures techniques et organisationnelles raisonnables évoluent en permanence. La décision ne doit donc pas être généralisée, mais doit toujours être comprise à la lumière de l'évaluation concrète des risques.

Avertissement 2 : données pseudonymisées dans le "processus de voie rapide" - pas d'obligation de cryptage de bout en bout

Dans le cadre du processus Fast-Lane, VW a transmis des données pseudonymisées par e-mail crypté en cours de transport. Le LfD a toutefois exigé un cryptage de bout en bout. Le tribunal a rejeté cette demande. Les données n'avaient pas besoin d'une protection particulière et, sans nom en clair, il n'y avait pas de risque concret de ré-identification, d'autant plus que la clé d'attribution n'avait pas été transmise.

Avertissement 3 : violation de l'obligation d'information lors de la transmission de données au moniteur

Le tribunal a vu les choses différemment en ce qui concerne l'avertissement pour information insuffisante des employés. Dans le cadre du monitoring, VW avait transmis des données à caractère personnel concernant des employés, y compris des informations pseudonymisées. Le tribunal a précisé que ces données étaient également considérées comme des données à caractère personnel en vertu de l'article 4, point 1, du RGPD, étant donné que le moniteur aurait été en mesure, moyennant un effort raisonnable, de demander la clé d'affectation permettant d'identifier les personnes concernées. Contrairement à l'avis de VW, il n'y a donc pas eu d'anonymisation.

En outre, le tribunal a constaté que la transmission des données par Volkswagen au moniteur américain constituait un changement de finalité au sens de l'article 6, paragraphe 4, du RGPD. La collecte initiale des données avait servi à des fins d'emploi, mais la transmission dans le cadre du monitoring n'avait pas pour objectif direct l'exécution de la relation de travail. VW n'a pas non plus pu démontrer que le traitement ultérieur était dans l'intérêt légitime de l'employeur sans porter simultanément atteinte aux droits de la personne concernée.

Enfin, le tribunal a critiqué la manière dont les personnes concernées ont été informées. Certes, VW avait publié des indications sur le monitoring dans l'Intranet, mais il manquait une information concrète, ciblée et individuelle des collaborateurs concernés. Le tribunal a jugé que la simple mise en ligne d'informations générales sans communication active était insuffisante au sens des obligations de transparence prévues par les articles 13 et 14 du RGPD.

Evaluation : La décision souligne les exigences strictes en matière d'obligation de transparence conformément à l'article 13 du RGPD. En cas de transmission à des tiers, comme le moniteur américain, l'article 14 du RGPD peut également être pertinent, en particulier lorsque les informations n'ont pas été collectées directement auprès des personnes concernées. L'interprétation restrictive du principe de finalité de l'article 5, paragraphe 1, point b), du RGPD apparaît également clairement. Du point de vue de l'autorité de contrôle, il convient en outre d'apprécier le fait qu'une ré-identification cumulative par la combinaison de plusieurs jeux de données pseudonymisés représente un risque à ne pas sous-estimer.

Avertissement 4 : manque d'informations lors de l'audit de l'OEB

Le quatrième avertissement concernait le traitement des données dans le cadre d'un audit supplémentaire réalisé sur la base d'un accord administratif entre VW et l'Agence américaine de protection de l'environnement (EPA). L'objectif de cette mesure était de sécuriser à long terme l'accès aux marchés publics aux États-Unis. Pour ce faire, un auditeur a été désigné pour développer le système interne de gestion de la conformité et en vérifier le respect.

Le LfD a toutefois contesté le fait que VW ait à nouveau transmis à cet auditeur des données à caractère personnel, en partie pseudonymisées et en partie munies de noms en clair, sans informer suffisamment les collaborateurs concernés de la nature, de l'étendue et de la finalité du traitement des données. Dans ce cas également, l'autorité de contrôle s'est appuyée sur le point de vue selon lequel la pseudonymisation ne conduit pas à la dépersonnalisation si un tiers peut, moyennant un effort raisonnable, obtenir l'attribution des données à des personnes réelles. Le tribunal a suivi cette argumentation et a également jugé que l'information fournie par VW était insuffisante. Selon le tribunal, des indications générales ou une information retardée ne satisfont pas aux exigences des articles 13 et 14 du RGPD.

Avertissement 5 : absence de registre de traitement au début de l'audit

Le cinquième avertissement concernait le fait que VW n'avait pas établi, au début de l'audit de l'OEB, un registre de traitement autonome conformément à l'article 30 du RGPD. VW a fait valoir que le registre préexistant issu du monitoring était suffisant. Le tribunal a toutefois rejeté cette argumentation : il y avait certes des recoupements thématiques, mais il s'agissait de deux opérations de traitement des données formellement indépendantes, avec des finalités et des destinataires différents.

Le tribunal a certes tenu compte du fait que le registre a été complété ultérieurement pour atténuer la sanction, mais il a néanmoins considéré que l'avertissement était légal. L'autorité de contrôle était donc en droit d'attirer l'attention, par le biais d'un avertissement, sur l'obligation de documentation et son importance pour la vérifiabilité des opérations relevant de la législation sur la protection des données.

Conclusion : le tribunal indique clairement qu'un registre séparé est nécessaire conformément à l'article 30 du RGPD, même en cas de proximité formelle avec d'autres opérations de traitement des données, dès lors que la finalité ou la structure du traitement diffère. Du point de vue des autorités de contrôle, l'absence d'un tel registre constitue en outre un indice de déficits structurels dans la gestion de la protection des données.

Conseil de lecture : Le BfDI inflige à Vodafone des amendes d'un montant de 45 millions d'euros

Des critères différenciés pour les processus de conformité internationaux

L'arrêt illustre le difficile équilibre entre les exigences en matière de protection des données et les obligations internationales de conformité. D'une part, le tribunal donne raison à l'autorité en ce qui concerne les obligations de transparence et de documentation, mais d'autre part, il montre les limites du pouvoir d'intervention en cas de mesures techniquement et juridiquement justifiables de la part des entreprises.

Pour les entreprises, ce jugement signifie

Renforcer la mise en balance des intérêts et les mesures techniques de protection, à condition qu'elles soient bien documentées et proportionnées.
Clarification des obligations d'information, y compris pour les données pseudonymisées, notamment en cas de traitement ultérieur à de nouvelles fins.
Obligation de documentation autonome en cas de contextes de traitement délimitables.

VW peut demander l'autorisation de faire appel auprès du tribunal administratif supérieur de Basse-Saxe.

Le tribunal de grande instance encaisse une forte amende RGPD contre Volkswagen

Dans le cadre d'une procédure menée en parallèle devant le tribunal de grande instance de Hanovre, VW a contesté une amende de 4,3 millions d'euros infligée par l'ONDRP. L'amende a été imposée notamment parce que Volkswagen aurait manqué à ses obligations de transparence vis-à-vis de ses employés.

"Le tribunal régional de Hanovre a précisé que, contrairement à l'argumentation du LfD, la divulgation d'informations dans le cadre du monitoring ne présentait pas de risques importants pour les employés concernés", rapporte Tim Wybitul, le représentant de VW au procès, dans une entrée de blog sur LinkedIn.

Curieux : le parquet a certes fait appel de la décision du tribunal régional auprès de la Cour d'appel de Celle. Toutefois, la signature manuscrite du procureur compétent manquait dans la motivation, de sorte que le recours a dû être retiré. Le jugement du tribunal régional de Hanovre a donc force de loi, VW ne doit pas payer d'amende.

Source : VW a partiellement ignoré la protection des données lors de l'enquête sur le scandale des moteurs diesel truqués - Communiqué de presse du tribunal administratif de Basse-Saxe

Les tags :

Partager ce post :

Catégories populaires

Bulletin d'information

Abonnez-vous à notre lettre d'information sur la protection des données pour recevoir les dernières mises à jour, conseils et connaissances directement dans votre boîte de réception.