{"id":38709,"date":"2025-06-16T15:37:28","date_gmt":"2025-06-16T15:37:28","guid":{"rendered":"https:\/\/2b-advice.com\/?p=38709"},"modified":"2026-04-14T15:55:02","modified_gmt":"2026-04-14T13:55:02","slug":"volkswagen-se-defend-avec-succes-contre-les-amendes-et-avertissements-eleves-du-dsgvo","status":"publish","type":"post","link":"https:\/\/2b-advice.com\/fr\/2025\/06\/16\/volkswagen-wehrt-sich-erfolgreich-gegen-hohes-dsgvo-bussgeld-und-verwarnungen\/","title":{"rendered":"Volkswagen se d\u00e9fend avec succ\u00e8s contre une forte amende et des avertissements li\u00e9s au RGPD"},"content":{"rendered":"
\n\t\t\t\t
\n\t\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

La proc\u00e9dure RGPD contre Volkswagen se termine de mani\u00e8re assez curieuse. Le groupe automobile a fait appel \u00e0 la fois d'une amende de 4,3 millions d'euros et de plusieurs avertissements du m\u00e9diateur r\u00e9gional pour la protection des donn\u00e9es. Protection des donn\u00e9es<\/a> Basse-Saxe (LfD). Le tribunal r\u00e9gional de Hanovre a annul\u00e9 l'amende, car il n'a pas pu constater d'infraction grave au RGPD. Le parquet a finalement d\u00fb retirer le recours juridique contre le jugement en raison d'une signature manquante. En revanche, le jugement du tribunal administratif de Hanovre est juridiquement plus int\u00e9ressant. Le tribunal a donn\u00e9 raison \u00e0 VW dans deux cas sur cinq.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

R\u00e9vision du scandale du diesel avec des cons\u00e9quences sur la protection des donn\u00e9es<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Dans le cadre de l'enqu\u00eate sur le scandale du diesel, Volkswagen AG (VW) a conclu plusieurs accords avec des autorit\u00e9s p\u00e9nales et civiles aux \u00c9tats-Unis afin de mettre fin aux proc\u00e9dures en cours et de pr\u00e9venir d'autres risques juridiques. La mise en place d'un \"monitoring\" faisait partie de ces accords : L'ancien procureur g\u00e9n\u00e9ral adjoint des \u00c9tats-Unis Larry Thompson a \u00e9t\u00e9 nomm\u00e9 moniteur de conformit\u00e9 externe. Celui-ci devait v\u00e9rifier les syst\u00e8mes de conformit\u00e9 et de contr\u00f4le existants du groupe, les d\u00e9velopper et surveiller leur mise en \u0153uvre.<\/p>

Pour mener \u00e0 bien cette mission, le Monitor a obtenu un acc\u00e8s complet aux documents et donn\u00e9es de VW, y compris des informations personnelles sur les anciens employ\u00e9s et les employ\u00e9s actifs. Il s'agissait aussi bien de noms en clair et de num\u00e9ros personnels que d'\u00e9valuations li\u00e9es au service. Le commissaire \u00e0 la protection des donn\u00e9es du Land de Basse-Saxe (LfD) a estim\u00e9 que cet acc\u00e8s aux donn\u00e9es constituait une atteinte grave \u00e0 la protection des donn\u00e9es. Le LfD a alors engag\u00e9 une proc\u00e9dure de surveillance contre Volkswagen et a identifi\u00e9 cinq faits concrets qu'il a consid\u00e9r\u00e9s comme des violations du RGPD. Il a prononc\u00e9 des avertissements \u00e0 l'encontre de VW conform\u00e9ment \u00e0 l'article 58, paragraphe 2, point b) du RGPD.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Avertissement 1 : liste de noms en clair avec \"connaissance directe\" - inadmissible ?<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

VW avait transmis au moniteur am\u00e9ricain une liste de 22 noms en clair, accompagn\u00e9e du titre \"direct knowledge\". Dans le cadre du processus Fast Lane, VW a transmis des donn\u00e9es pseudonymis\u00e9es par e-mail crypt\u00e9 en cours de transport. Le LfD a toutefois exig\u00e9 un cryptage de bout en bout. Le tribunal a rejet\u00e9 cette demande. Les donn\u00e9es n'avaient pas besoin d'une protection particuli\u00e8re et, sans nom en clair, il n'y avait pas de risque concret de r\u00e9-identification, d'autant plus que la cl\u00e9 d'attribution n'avait pas \u00e9t\u00e9 transmise.<\/p>

Le tribunal concr\u00e9tise le niveau de protection technique selon l'article 32 du RGPD et souligne la proportionnalit\u00e9 dans le cas de donn\u00e9es pseudonymis\u00e9es. Il faut n\u00e9anmoins tenir compte du fait que l'\u00e9tat de la technique et, par cons\u00e9quent, les mesures techniques et organisationnelles raisonnables \u00e9voluent en permanence. La d\u00e9cision ne doit donc pas \u00eatre g\u00e9n\u00e9ralis\u00e9e, mais doit toujours \u00eatre comprise \u00e0 la lumi\u00e8re de l'\u00e9valuation concr\u00e8te des risques.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Avertissement 2 : donn\u00e9es pseudonymis\u00e9es dans le \"processus de voie rapide\" - pas d'obligation de cryptage de bout en bout<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Dans le cadre du processus Fast-Lane, VW a transmis des donn\u00e9es pseudonymis\u00e9es par e-mail crypt\u00e9 en cours de transport. Le LfD a toutefois exig\u00e9 un cryptage de bout en bout. Le tribunal a rejet\u00e9 cette demande. Les donn\u00e9es n'avaient pas besoin d'une protection particuli\u00e8re et, sans nom en clair, il n'y avait pas de risque concret de r\u00e9-identification, d'autant plus que la cl\u00e9 d'attribution n'avait pas \u00e9t\u00e9 transmise.<\/p>

Le tribunal concr\u00e9tise le niveau de protection technique selon l'article 32 du RGPD et souligne la proportionnalit\u00e9 dans le cas de donn\u00e9es pseudonymis\u00e9es. Il faut n\u00e9anmoins tenir compte du fait que l'\u00e9tat de la technique et, par cons\u00e9quent, les mesures techniques et organisationnelles raisonnables \u00e9voluent en permanence. La d\u00e9cision ne doit donc pas \u00eatre g\u00e9n\u00e9ralis\u00e9e, mais doit toujours \u00eatre comprise \u00e0 la lumi\u00e8re de l'\u00e9valuation concr\u00e8te des risques.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Avertissement 3 : violation de l'obligation d'information lors de la transmission de donn\u00e9es au moniteur<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Le tribunal a vu les choses diff\u00e9remment en ce qui concerne l'avertissement pour information insuffisante des employ\u00e9s. Dans le cadre du monitoring, VW avait transmis des donn\u00e9es \u00e0 caract\u00e8re personnel concernant des employ\u00e9s, y compris des informations pseudonymis\u00e9es. Le tribunal a pr\u00e9cis\u00e9 que ces donn\u00e9es \u00e9taient \u00e9galement consid\u00e9r\u00e9es comme des donn\u00e9es \u00e0 caract\u00e8re personnel en vertu de l'article 4, point 1, du RGPD, \u00e9tant donn\u00e9 que le moniteur aurait \u00e9t\u00e9 en mesure, moyennant un effort raisonnable, de demander la cl\u00e9 d'affectation permettant d'identifier les personnes concern\u00e9es. Contrairement \u00e0 l'avis de VW, il n'y a donc pas eu d'anonymisation.<\/p>

En outre, le tribunal a constat\u00e9 que la transmission des donn\u00e9es par Volkswagen au moniteur am\u00e9ricain constituait un changement de finalit\u00e9 au sens de l'article 6, paragraphe 4, du RGPD. La collecte initiale des donn\u00e9es avait servi \u00e0 des fins d'emploi, mais la transmission dans le cadre du monitoring n'avait pas pour objectif direct l'ex\u00e9cution de la relation de travail. VW n'a pas non plus pu d\u00e9montrer que le traitement ult\u00e9rieur \u00e9tait dans l'int\u00e9r\u00eat l\u00e9gitime de l'employeur sans porter simultan\u00e9ment atteinte aux droits de la personne concern\u00e9e.<\/p>

Enfin, le tribunal a critiqu\u00e9 la mani\u00e8re dont les personnes concern\u00e9es ont \u00e9t\u00e9 inform\u00e9es. Certes, VW avait publi\u00e9 des indications sur le monitoring dans l'Intranet, mais il manquait une information concr\u00e8te, cibl\u00e9e et individuelle des collaborateurs concern\u00e9s. Le tribunal a jug\u00e9 que la simple mise en ligne d'informations g\u00e9n\u00e9rales sans communication active \u00e9tait insuffisante au sens des obligations de transparence pr\u00e9vues par les articles 13 et 14 du RGPD.<\/p>

Evaluation : La d\u00e9cision souligne les exigences strictes en mati\u00e8re d'obligation de transparence conform\u00e9ment \u00e0 l'article 13 du RGPD. En cas de transmission \u00e0 des tiers, comme le moniteur am\u00e9ricain, l'article 14 du RGPD peut \u00e9galement \u00eatre pertinent, en particulier lorsque les informations n'ont pas \u00e9t\u00e9 collect\u00e9es directement aupr\u00e8s des personnes concern\u00e9es. L'interpr\u00e9tation restrictive du principe de finalit\u00e9 de l'article 5, paragraphe 1, point b), du RGPD appara\u00eet \u00e9galement clairement. Du point de vue de l'autorit\u00e9 de contr\u00f4le, il convient en outre d'appr\u00e9cier le fait qu'une r\u00e9-identification cumulative par la combinaison de plusieurs jeux de donn\u00e9es pseudonymis\u00e9s repr\u00e9sente un risque \u00e0 ne pas sous-estimer.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Avertissement 4 : manque d'informations lors de l'audit de l'OEB<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Le quatri\u00e8me avertissement concernait le traitement des donn\u00e9es dans le cadre d'un audit suppl\u00e9mentaire r\u00e9alis\u00e9 sur la base d'un accord administratif entre VW et l'Agence am\u00e9ricaine de protection de l'environnement (EPA). L'objectif de cette mesure \u00e9tait de s\u00e9curiser \u00e0 long terme l'acc\u00e8s aux march\u00e9s publics aux \u00c9tats-Unis. Pour ce faire, un auditeur a \u00e9t\u00e9 d\u00e9sign\u00e9 pour d\u00e9velopper le syst\u00e8me interne de gestion de la conformit\u00e9 et en v\u00e9rifier le respect.<\/p>

Le LfD a toutefois contest\u00e9 le fait que VW ait \u00e0 nouveau transmis \u00e0 cet auditeur des donn\u00e9es \u00e0 caract\u00e8re personnel, en partie pseudonymis\u00e9es et en partie munies de noms en clair, sans informer suffisamment les collaborateurs concern\u00e9s de la nature, de l'\u00e9tendue et de la finalit\u00e9 du traitement des donn\u00e9es. Dans ce cas \u00e9galement, l'autorit\u00e9 de contr\u00f4le s'est appuy\u00e9e sur le point de vue selon lequel la pseudonymisation ne conduit pas \u00e0 la d\u00e9personnalisation si un tiers peut, moyennant un effort raisonnable, obtenir l'attribution des donn\u00e9es \u00e0 des personnes r\u00e9elles. Le tribunal a suivi cette argumentation et a \u00e9galement jug\u00e9 que l'information fournie par VW \u00e9tait insuffisante. Selon le tribunal, des indications g\u00e9n\u00e9rales ou une information retard\u00e9e ne satisfont pas aux exigences des articles 13 et 14 du RGPD.<\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Avertissement 5 : absence de registre de traitement au d\u00e9but de l'audit<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

Le cinqui\u00e8me avertissement concernait le fait que VW n'avait pas \u00e9tabli, au d\u00e9but de l'audit de l'OEB, un registre de traitement autonome conform\u00e9ment \u00e0 l'article 30 du RGPD. VW a fait valoir que le registre pr\u00e9existant issu du monitoring \u00e9tait suffisant. Le tribunal a toutefois rejet\u00e9 cette argumentation : il y avait certes des recoupements th\u00e9matiques, mais il s'agissait de deux op\u00e9rations de traitement des donn\u00e9es formellement ind\u00e9pendantes, avec des finalit\u00e9s et des destinataires diff\u00e9rents.<\/p>

Le tribunal a certes tenu compte du fait que le registre a \u00e9t\u00e9 compl\u00e9t\u00e9 ult\u00e9rieurement pour att\u00e9nuer la sanction, mais il a n\u00e9anmoins consid\u00e9r\u00e9 que l'avertissement \u00e9tait l\u00e9gal. L'autorit\u00e9 de contr\u00f4le \u00e9tait donc en droit d'attirer l'attention, par le biais d'un avertissement, sur l'obligation de documentation et son importance pour la v\u00e9rifiabilit\u00e9 des op\u00e9rations relevant de la l\u00e9gislation sur la protection des donn\u00e9es.<\/p>

Conclusion : le tribunal indique clairement qu'un registre s\u00e9par\u00e9 est n\u00e9cessaire conform\u00e9ment \u00e0 l'article 30 du RGPD, m\u00eame en cas de proximit\u00e9 formelle avec d'autres op\u00e9rations de traitement des donn\u00e9es, d\u00e8s lors que la finalit\u00e9 ou la structure du traitement diff\u00e8re. Du point de vue des autorit\u00e9s de contr\u00f4le, l'absence d'un tel registre constitue en outre un indice de d\u00e9ficits structurels dans la gestion de la protection des donn\u00e9es.<\/p>

Conseil de lecture : Le BfDI inflige \u00e0 Vodafone des amendes d'un montant de 45 millions d'euros<\/a><\/p>\t\t\t\t\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t

\n\t\t\t\t
\n\t\t\t\t\t

Des crit\u00e8res diff\u00e9renci\u00e9s pour les processus de conformit\u00e9 internationaux<\/h2>\t\t\t\t<\/div>\n\t\t\t\t<\/div>\n\t\t\t\t
\n\t\t\t\t
\n\t\t\t\t\t\t\t\t\t

L'arr\u00eat illustre le difficile \u00e9quilibre entre les exigences en mati\u00e8re de protection des donn\u00e9es et les obligations internationales de conformit\u00e9. D'une part, le tribunal donne raison \u00e0 l'autorit\u00e9 en ce qui concerne les obligations de transparence et de documentation, mais d'autre part, il montre les limites du pouvoir d'intervention en cas de mesures techniquement et juridiquement justifiables de la part des entreprises.

Pour les entreprises, ce jugement signifie<\/p>