La Cour de justice de l’Union européenne, par un arrêt rendu le 13 février 2025, précise les modalités de calcul des amendes pour violation du règlement général sur la protection des données. Cette décision porte sur l’interprétation de la notion d’entreprise au sein de l’article 83 de ce texte européen.
Une société commerciale a conservé illicitement les données personnelles de milliers d’anciens clients entre le mois de mai 2018 et le mois de janvier 2019. Le ministère public a engagé des poursuites pénales devant le tribunal municipal d’Aarhus qui a rendu un jugement de condamnation le 12 février 2021. La juridiction de première instance a toutefois refusé de prendre en compte le chiffre d’affaires du groupe d’appartenance pour fixer le montant de la sanction. Saisie en appel, la Cour d’appel de la région Ouest, au Danemark, a sollicité une décision préjudicielle afin de déterminer l’étendue du terme entreprise dans ce cadre.
Les juges luxembourgeois doivent ainsi décider si cette notion correspond à celle employée en droit de la concurrence pour le calcul du plafond des amendes administratives. La Cour répond positivement en affirmant que l’entreprise désigne l’unité économique globale, indépendamment de la structure juridique ou du mode de financement de ses composantes. L’étude de cette solution suppose d’analyser d’abord l’identification de l’entreprise comme une unité économique cohérente, avant d’envisager les modalités d’application de la sanction pécuniaire.
**I. L’identification de l’entreprise comme unité économique cohérente**
**A. L’assimilation de la notion au régime du droit de la concurrence**
La Cour de justice confirme que le terme entreprise utilisé pour les sanctions doit être compris conformément aux articles 101 et 102 du Traité sur le fonctionnement de l’Union européenne. Elle précise que « cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement ». Cette approche fonctionnelle privilégie l’existence d’une unité économique sur la simple personnalité juridique des différentes sociétés composant un groupe. Le juge européen souligne que cette unité consiste en une « organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé ». L’interprétation retenue assure ainsi une cohérence transversale entre le droit des données personnelles et le droit des pratiques anticoncurrentielles.
**B. La recherche d’une sanction effective et dissuasive**
L’alignement sur le droit de la concurrence permet de garantir que les amendes imposées par les autorités de contrôle restent pleinement opérantes. La Cour rappelle que chaque autorité doit veiller à ce que les sanctions soient, dans chaque cas d’espèce, « effectives, proportionnées et dissuasives ». Cette exigence impose de prendre en compte la puissance économique réelle de l’entité sanctionnée pour éviter que les plafonds légaux ne deviennent dérisoires. L’utilisation de la notion d’entreprise empêche ainsi les groupes de sociétés de limiter leur responsabilité financière en isolant les activités de traitement au sein de filiales faiblement dotées. Cette conception renforce la valeur de la sanction en l’adaptant à la réalité des structures资本istes modernes sans se heurter aux obstacles de principe.
**II. L’application du calcul de la sanction pécuniaire**
**A. La base de calcul étendue au chiffre d’affaires mondial du groupe**
La détermination du montant maximal de l’amende repose désormais explicitement sur les revenus générés par l’ensemble de l’unité économique concernée. La décision énonce que « le montant maximal de l’amende est déterminé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise ». Cette règle s’applique dès lors que le responsable du traitement fait partie d’une structure économique plus vaste que sa seule entité légale. L’autorité de contrôle doit néanmoins distinguer la fixation du plafond maximal du calcul effectif de la somme à payer. Le juge doit apprécier la capacité économique réelle du destinataire tout en respectant l’ensemble des circonstances individuelles propres à la violation constatée.
**B. L’harmonisation des sanctions pénales et administratives nationales**
L’arrêt précise que cette interprétation s’impose également aux États membres dont le système juridique prévoit des amendes imposées par les juridictions pénales. La Cour souligne que ces voies de droit doivent avoir un « effet équivalent aux amendes administratives imposées par les autorités de contrôle » selon le règlement. Les juridictions nationales compétentes sont tenues de respecter les droits procéduraux fondamentaux tout en garantissant l’efficacité du droit de l’Union. Le principe de proportionnalité exige alors un juste équilibre entre la protection des données et la sauvegarde des droits du responsable du traitement. Cette décision consacre ainsi une portée large à la notion d’entreprise afin d’assurer une application uniforme du régime répressif sur tout le territoire européen.
