Actualité juridique · Publié le
Amendes RGPD contre les entreprises : pas d’imputation préalable à un dirigeant, mais une violation délibérée ou négligente
Par un arrêt de Grande chambre du 5 décembre 2023 (Deutsche Wohnen SE c. Staatsanwaltschaft Berlin, aff. C-807/21, ECLI:EU:C:2023:950), la Cour de justice juge qu’une amende administrative peut être infligée à une personne morale responsable du traitement sans qu’il soit nécessaire d’imputer d’abord la violation à une personne physique identifiée. Elle précise toutefois que l’amende suppose une violation commise délibérément ou par négligence.
Sommaire de l’article
01
Synthèse de la décision
L’arrêt Deutsche Wohnen fixe deux règles complémentaires sur le régime des amendes administratives prévues par le RGPD.
- Aucune imputation préalable à une personne physique : Les articles 58, paragraphe 2, sous i), et 83 s’opposent à une réglementation nationale qui subordonne l’amende infligée à une personne morale à l’imputation préalable de la violation à une personne physique identifiée.
- Pas de responsabilité objective : Une amende ne peut être imposée que s’il est établi que le responsable du traitement a commis la violation délibérément ou par négligence.
- Un enjeu d’effectivité : La solution évite que l’organisation interne d’une entreprise fasse obstacle à la sanction, sans pour autant instaurer une sanction automatique.
02
Un système d’archivage conservant les données de locataires et une amende de 14 385 000 euros
Deutsche Wohnen, société immobilière cotée dont le siège est à Berlin, détient indirectement environ 163 000 logements et 3 000 locaux commerciaux. Lors d’un contrôle sur place du 23 juin 2017, l’autorité de protection des données de Berlin a relevé que les sociétés du groupe conservaient des documents contenant des données personnelles de locataires (pièces d’identité, données fiscales, sociales et d’assurance maladie, contrats antérieurs) dans un système d’archivage électronique qui ne permettait ni de vérifier la nécessité de leur conservation ni d’effacer les données devenues inutiles.
Par une décision du 30 octobre 2019, l’autorité a infligé à la société une amende de 14 385 000 euros pour violation délibérée de l’article 5, paragraphe 1, sous a), c) et e), et de l’article 25, paragraphe 1, du RGPD, ainsi que quinze autres amendes comprises entre 3 000 et 17 000 euros. Saisi du litige, le Kammergericht Berlin (tribunal régional supérieur de Berlin) a interrogé la Cour de justice par une décision du 6 décembre 2021.
03
La personne morale peut être sanctionnée directement
Le droit allemand subordonnait la sanction d’une personne morale à la constatation préalable d’une infraction commise par une personne physique identifiée, par exemple un dirigeant. La Grande chambre juge que les articles 58, paragraphe 2, sous i), et 83, paragraphes 1 à 6, du RGPD s’opposent à une telle réglementation lorsque la personne morale agit en qualité de responsable du traitement.
Le règlement définit lui-même les conditions dans lesquelles une amende peut être infligée au responsable du traitement, et les États membres ne peuvent pas y ajouter une condition qui en compromettrait l’application effective.
04
Une amende subordonnée à une violation délibérée ou négligente
La Cour précise ensuite que l’article 83 du RGPD ne permet pas une responsabilité sans faute : une amende administrative ne peut être imposée que s’il est établi que le responsable du traitement, à la fois personne morale et entreprise, a commis la violation délibérément ou par négligence.
L’arrêt trace ainsi un équilibre : les autorités de contrôle n’ont pas à identifier un dirigeant fautif, mais elles doivent caractériser le caractère délibéré ou négligent de la violation imputable à l’entreprise. Pour les groupes de sociétés, la question de la gouvernance des données, et notamment de l’effacement des données devenues inutiles, devient directement un enjeu de sanction.
05
Tableau comparatif
| Question | Réponse de la Cour | Disposition interprétée |
|---|---|---|
| Faut-il imputer d’abord la violation à une personne physique identifiée ? | Non : une telle exigence nationale est contraire au RGPD | Articles 58, paragraphe 2, sous i), et 83, paragraphes 1 à 6 |
| Une amende peut-elle être infligée sans faute ? | Non : la violation doit avoir été commise délibérément ou par négligence | Article 83 |
06
Questions fréquentes
- Une entreprise peut-elle être sanctionnée sans qu’un dirigeant soit identifié comme responsable ?
Oui. Selon l’arrêt C-807/21, le RGPD s’oppose à une règle nationale qui exige l’imputation préalable de la violation à une personne physique identifiée.
- L’amende RGPD est-elle automatique dès qu’une violation est constatée ?
Non. L’autorité doit établir que la violation a été commise délibérément ou par négligence par le responsable du traitement.
- Quelles violations étaient reprochées à Deutsche Wohnen ?
L’autorité de Berlin lui reprochait la conservation de données de locataires dans un système d’archivage ne permettant pas l’effacement des données devenues inutiles, au regard des articles 5, paragraphe 1, et 25, paragraphe 1, du RGPD.
07
Sources
Votre situation
Une question sur votre dossier ?
Le cabinet examine la situation sur pièces. Cette page est une information générale ; elle ne remplace pas l’analyse d’un dossier.