Une amende administrative peut être infligée en cas de violation de certaines dispositions du règlement 2016/679 du 27 avril 2016 (dit « RGPD ») (art. 83). Lorsque le destinataire de l'amende est une entreprise, le montant maximal de l’amende est calculé sur la base d’un pourcentage du chiffre d’affaires mondial total de l’exercice précédent (art. 83, § 4 à 6). Le considérant 150 du RGPD précise que le terme « entreprise » doit être compris au sens des articles 101 et 102 du TFUE (dispositions relatives au droit de la concurrence) .
Une société danoise faisant partie d’un groupe de sociétés exploite une chaîne de magasins de meubles. Il lui est reproché d’avoir manqué à ses obligations de responsable de traitement concernant la conservation de données personnelles d’au moins 35 000 anciens clients. Le chiffre d’affaires servant de base au calcul du montant de l’amende encourue est contesté devant le juge danois : l’autorité de poursuite danoise soutient qu’il convient de se référer au chiffre d’affaires du groupe dont fait partie cette société, tandis que la filiale fait valoir que les poursuites n’ont été engagées que contre elle et non pas également contre la société mère du groupe, de sorte qu’il ne faudrait tenir compte que du chiffre d’affaires de la seule filiale.
Dans ce contexte, la CJUE a été interrogée sur l’interprétation de la notion d'« entreprise » au sens de l’article 83 du RGPD précité.
1° La CJUE juge que ce terme doit être interprété, à la lumière du considérant 150 du règlement, au sens du droit européen de la concurrence. Par conséquent, l’entreprise « comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement » (CJCE 23-4-1991 aff. 41/90). Cette notion désigne une unité économique même si elle se trouve juridiquement constituée de plusieurs personnes physiques ou morales.
Ainsi, lorsque le destinataire de l’amende est une filiale d’un groupe avec lequel elle forme une entreprise au sens des articles 101 et 102 du TFUE, la détermination du montant maximal de l’amende doit prendre en compte le chiffre d’affaires du groupe.
2° Cependant, relève la CJUE, la détermination du montant maximal de l’amende est à distinguer du calcul du montant effectif de cette amende, laquelle doit être effective, proportionnée et dissuasive (RGPD art. 83, §1).
Pour fixer le montant de l'amende, le RGPD (art. 83, § 2 et 3) prévoit la prise en compte d'un certain nombre d'éléments (notamment la gravité, la nature et la durée de la violation, le nombre de personnes concernées affectées, le fait que la violation a été commise délibérément ou par négligence, les mesures prises par le responsable de traitement pour atténuer le dommage subi, le degré de responsabilité). Le chiffre d’affaires ne figure ainsi pas parmi les critères spécifiques de détermination de l’amende.
Or, la notion d'« entreprise » au sens du droit de la concurrence constitue à cet égard une donnée essentielle pour apprécier la capacité économique réelle ou matérielle du destinataire de l’amende. Dans l’affaire commentée, la Cour précise que le chiffre d’affaires du groupe peut être pris en compte pour évaluer la capacité économique de la filiale destinataire de l’amende sans pour autant être le critère principal à retenir.
A noter :
1° La CJUE avait déjà jugé que, dans le cas où le destinataire de l’amende est ou fait partie d’une entreprise au sens du droit européen de la concurrence, le montant maximal de l’amende doit être calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée, vue dans son ensemble (CJUE 5-12-2023 aff. 807/21 et aff. 683/21). Comme l’a rappelé l’avocat général, le plafond légal fixé par le RGPD en fonction du chiffre d’affaires ne concerne que les très grandes entreprises dont le chiffre d’affaires mondial total est supérieur à 500 millions d’euros, puisque la limite ne s’applique pas si l’amende encourue par application du pourcentage de chiffre d’affaires est inférieure aux montant visé dans l’article 83 (10 M€ ou 20 M€) (conclusions point 35). Dans l’affaire commentée, l’enjeu est de taille, le chiffre d’affaires de la filiale (environ 241 millions d’euros) étant inférieur à celui du groupe (environ 881 millions d’euros).
2° Il appartiendra au juge de renvoi de déterminer si, en l’espèce, la filiale et la société mère font partie ou non de la même entité économique au sens du droit de la concurrence, de sorte que le chiffre d'affaires à prendre en compte est, ou non, celui du groupe.
Documents et liens associés :
Retrouvez toute l'actualité en matière de droit des sociétés, droit commercial et de la concurrence dans Navis Droit des Affaires !
Vous êtes abonné ? Accédez à votre Navis Droit des affaires à distance
Pas encore abonné ? Nous vous offrons un accès au fonds documentaire Navis Droit des Affaires pendant 10 jours.
