Violation du RGPD : l’« entreprise » comme unité économique, une définition déterminante dans le calcul de l’amende administrative prévue par l’article 83 du RGPD

A – La lettre du RGPD comme point de départ de la notion d’« entreprise »

Comme tout commentaire, il convient avant tout de s’intéresser au visa de l’arrêt du 13 février 2025. Plus qu’une règle méthodologique enseignée aux étudiants de première année, c’est l’essence même d’un droit issu d’une tradition civiliste tel que le droit européen : il convient de s’intéresser à ce que dit le texte avant de s’intéresser à ce que dit le juge.

Au visa de la présente décision, se trouve : l’article 5 du RGPD qui établit les principes relatifs au traitement des données à caractère personnel ; l’article 6 qui détermine les conditions dans lesquelles le traitement des données personnelles est considéré par le règlement comme licite ; l’article 58 qui énonce les pouvoirs dont disposent les autorités de contrôle pour leur permettre de garantir la bonne application du texte et qui prévoit notamment en son paragraphe 2. i. que chaque autorité de contrôle dispose du pouvoir d’« imposer une amende administrative en application de l’article 83 » ; et enfin le fameux article 83 qui précise les conditions selon lesquelles les amendes administratives doivent être imposées.

Pour connaître les modalités d’imposition de cette amende il faut donc se tourner vers cet article 83, objet de toutes les exégèses. Le terme d’entreprise apparaît pour la première fois en son paragraphe 4 : « Les violations des dispositions suivantes font l’objet (…) d’amendes administratives pouvant s’élever jusqu’à 10 000 000 [d’euros] ou, dans le cas d’une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent ». Dans une acception analogue on le retrouve au paragraphe 5 : « Les violations des dispositions suivantes font l’objet (…) d’amendes administratives pouvant s’élever jusqu’à 20 000 000 [d’euros] ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent » et au paragraphe 6 : « Le non-respect d’une injonction émise par l’autorité de contrôle en vertu de l’article 58, paragraphe 2, fait l’objet (…) d’amendes administratives pouvant s’élever jusqu’à 20 000 000 [d’euros] ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent ».

Il apparaît ainsi que l’article 83, en lui-même, ne fournit aucune indication quant au sens du terme « entreprise » tel qu’il ressort de ladite disposition. Il convient dès lors de se tourner vers les considérants, dont l’une des fonctions est précisément d’éclairer la signification des dispositions qu’ils accompagnent.

Le considérant n° 150 est celui qui vient préciser ce que le législateur européen a voulu signifier par le terme « entreprise » figurant à l’article 83. Il précise que : « Lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 du Traité sur le fonctionnement de l’Union européenne ». Cette phrase constitue le point de départ de l’interprétation de l’article 83. Elle oriente le juge européen vers le droit de la concurrence dont la jurisprudence des articles 101 et 102 du TFUE a façonné la notion d’entreprise.

B – La construction jurisprudentielle de la notion d’entreprise à partir des articles 101 et 102 du TFUE

En droit de la concurrence européen, la question qui entoure la notion d’entreprise a plus de 50 ans. En effet, nombre de décisions ont été rendues au visa des articles 101 et 102 du TFUE, et avant eux au visa des articles 81 et 82 du Traité de Rome dans sa version consolidée de 1997, eux-mêmes issus des articles 85 et 86 du Traité de Rome de 1957. Ces jurisprudences ont donc permis au fil des années de préciser la notion.

L’article 101 débute par les termes suivants : « Sont incompatibles avec le marché intérieur et interdits tous accords entre entreprises » tandis que l’article 102 énonce : « Est incompatible avec le marché intérieur et interdit, dans la mesure où le commerce entre États membres est susceptible d’en être affecté, le fait pour une ou plusieurs entreprises d’exploiter de façon abusive une position dominante ».

Une première question mérite d’être posée : pourquoi le législateur européen a-t-il fait le choix terminologique de retenir la notion d’« entreprise » et non celle de « société » ou de « personne morale » ? Cette préférence pour la notion économique d’entreprise plutôt que pour la notion juridique de société ou de personne morale s’explique par une considération fonctionnelle2, à savoir la volonté de ne pas limiter le champ d’application du texte à une société ou une personne morale précisément identifiée3. L’entreprise étant un concept économique aux critères généraux, il laisse une grande marge d’appréciation aux autorités et aux juges leur permettant d’adapter le concept dans un but d’effectivité du droit de la concurrence4. Cependant, comme toute construction jurisprudentielle, cette flexibilité comporte un revers : le risque de favoriser une certaine insécurité juridique.

La seconde question porte sur le contenu de la définition que la jurisprudence européenne a progressivement façonnée autour de la notion d’entreprise. Bien que la notion d’entreprise ne soit pas définie dans les textes, il n’en reste pas moins que la construction jurisprudentielle dont elle est issue est d’une solidité remarquable. Déjà en 1972, dans l’affaire des matières colorantes, la Cour soutenait qu’il pouvait exister une unité économique entre une société mère et sa filiale, permettant d’appliquer les règles de concurrence à la société mère en vertu d’une unité de comportement qui découlerait de l’unité économique5. C’est à l’occasion de l’arrêt Hydrotherm que cette notion d’unité économique a été explicitement utilisée et développée par la Cour pour définir l’entreprise : « La notion d’entreprise, placée dans un contexte de droit de la concurrence, doit être comprise comme désignant une unité économique du point de vue de l’objet de l’accord en cause même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes, physiques ou morales »6. Autrement dit, dès lors qu’il existe une unité économique entre plusieurs personnes, celle-ci est qualifiée d’« entreprise », ce qui permet d’appliquer à cette dernière les dispositions qui y font référence. Il convient néanmoins de rappeler que cette entité économique qu’est l’entreprise ne constitue nullement une entité juridique7, de sorte que l’action en justice ne peut être engagée qu’envers une des entités juridiques qui composent l’entreprise (société mère, filiale)8. Ainsi, après l’arrêt Hydrotherm ayant établi la première composante de la définition de l’entreprise, la Cour, dans l’arrêt Höfner de 1991, va enrichir cette définition en affirmant que, « dans le contexte du droit de la concurrence, la notion d’entreprise comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement »9.

Aujourd’hui c’est la combinaison des éléments de définition apportés tant par l’arrêt Hydrotherm que par l’arrêt Höfner qui permet de définir avec précision la notion d’entreprise10 figurant aux articles 101 et 102 du TFUE, et que le juge européen a choisi de transposer à la notion d’entreprise prévue à l’article 83 du RGPD11.

A – Une clarification bienvenue de la jurisprudence Deutsche Wohnen : l’unité économique au cœur de la notion d’« entreprise » de l’article 83

À la lecture de l’arrêt, il apparaît rapidement que les juges européens fondent l’essentiel de leur raisonnement relatif à la définition de la notion d’entreprise sur une décision rendue deux ans plus tôt, dans laquelle la Cour avait déjà eu à interpréter cette notion au sens de l’article 83. Dès les premières lignes, ils se réfèrent ainsi à l’arrêt Deutsche Wohnen, dont ils tirent toute la substance pour réaffirmer le sens du terme « entreprise » dans le cadre de l’article 8312.

Pour comprendre l’approche de la Cour concernant la transposition de la définition de la notion d’entreprise des articles 101 et 102 du TFUE à l’article 83 du RGPD, il convient de se tourner vers l’arrêt Deutsche Wohnen, dont émergent deux choix inattendus de la part des juges, appelés à préciser la notion d’entreprise figurant à l’article 83.

D’une part, il faut relever que l’arrêt fonde son interprétation du terme « entreprise » figurant à l’article 83 sur le considérant 150, lequel renvoie aux articles 101 et 102 du TFUE, ces derniers s’appuyant eux-mêmes sur la jurisprudence européenne pour définir ce terme13. L’arrêt rappelle donc que la notion d’entreprise « comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé »14. Les juges attribuent cette définition à l’arrêt Sumal15. Or, ce choix interpelle à deux égards. Premièrement, cette définition a été consacrée dans bien des arrêts, antérieurs à l’arrêt Sumal16. Deuxièmement, l’arrêt Sumal n’est pas un arrêt d’espèce où la définition de l’entreprise a été classiquement appliquée. C’est un arrêt dont la portée est significative à double titre. D’abord l’arrêt a admis une responsabilité descendante, c’est-à-dire qu’il affirme que la responsabilité d’une société mère peut être étendue à sa filiale17. Ensuite la Cour décide, pour la deuxième fois seulement18, d’appliquer la notion d’entreprise en tant qu’entité économique à l’action en dommages et intérêts19, là où elle était jusqu’à présent réservé à l’action publique destinée à sanctionner l’entreprise ; cela permet alors à la victime d’une pratique anti-concurrentielle d’obtenir une réparation indifféremment auprès de la société mère, identifiée comme la personne morale coupable de la pratique anti-concurrentielle, ou auprès de sa filiale. Il est donc difficile de saisir pour quelles raisons les juges européens ont fait le choix de faire référence à cet arrêt plutôt qu’à un autre alors que l’arrêt Deutsche Wohnen est issu d’une action publique et que la responsabilité recherchée est ascendante. L’explication la plus plausible réside sans doute dans le fait que l’arrêt Sumal constitue la décision la plus récente qui ait réaffirmé la définition de la notion d’entreprise au sens des articles 101 et 102 du TFUE.

D’autre part, si la présente décision renvoie à l’arrêt Deutsche Wohnen s’agissant de l’interprétation de l’article 83, il n’en reste pas moins que la solution de ce dernier reste imprécise et que l’arrêt ILVA est en cela salvateur. En effet, alors que la Cour était appelée à se prononcer dans l’arrêt Deutsche Wohnen sur la notion d’entreprise figurant à l’article 83 du RGPD, aucune précision à cet égard n’apparaît dans la solution de l’arrêt. C’est donc la décision commentée qui vient utilement apporter une clarification importante, en consacrant explicitement le sens à attribuer au terme « entreprise » figurant à l’article 83 du RGPD : « Le terme “entreprise”, figurant à ces dispositions, correspond à la notion d’“entreprise”, au sens des articles 101 et 102 TFUE ». La Cour opère ainsi une transposition assumée de la notion d’entreprise issue du droit de la concurrence vers le champ de la protection des données à caractère personnel, avant de préciser les modalités entourant le calcul du montant maximal de l’amende dont l’objectif est d’assurer la mise en œuvre effective du RGPD.

B – Une décision au service de l’effectivité du RGPD par l’application de sanctions dissuasives

Tout l’intérêt d’une définition « fonctionnelle » de la notion d’entreprise en droit de la concurrence est de conserver une certaine souplesse, permettant au juge d’en adapter l’interprétation afin d’éviter qu’une entreprise n’échappe à la sanction grâce à des montages relatifs à sa structure. L’objectif recherché par le juge européen en matière de protection des données à caractère personnel semble être similaire : prononcer une sanction dissuasive.

En effet, en consacrant l’entreprise comme une entité économique, le juge européen permet aux autorités de contrôle de retenir le chiffre d’affaires annuel mondial total du groupe comme base de calcul du montant maximal de l’amende, et ce alors même que seule une filiale du groupe serait reconnue comme fautive d’une violation du RGPD. Autrement dit, la violation du RGPD par une filiale peut entraîner la sanction du groupe comprenant cette filiale. Il faut cependant préciser qu’il est regrettable que la solution jette un flou dans sa solution en n’opérant pas une distinction claire entre le responsable de traitement fautif et l’entreprise, en l’espèce le groupe, dont le chiffre d’affaires servira de base au calcul du montant maximal de l’amende. Il aurait été opportun d’énoncer explicitement ce que le juge européen entendait par « entreprise » dans cette partie de la solution : « le montant maximal de l’amende est déterminé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise ».

Par ailleurs, la Cour insiste à la fin de sa réponse aux questions préjudicielles sur le rôle effectif et dissuasif de la sanction, justifiant une définition fonctionnelle de l’entreprise. Elle rappelle les trois conditions posées par l’article 83 quant à la détermination du montant de l’amende qui se doit donc d’être « effective, proportionnée et dissuasive » de sorte que ce soit bien « la capacité économique réelle ou matérielle du destinataire de l’amende »20 qui soit prise en compte lors du calcul de l’amende21.

Cette décision, rendue dans la continuité de l’arrêt Deutsche Wohnen, pourrait constituer un tournant important dans le droit européen et plus spécifiquement dans la régulation européenne puisque plusieurs textes relatifs au secteur numérique22 prévoient des amendes administratives calculées au regard du chiffre d’affaires… de l’entreprise.