Précisions sur l’interprétation du RGPD

Par 2 arrêts du 5 décembre 2023, affaires C-683/21 et C-807/21, la CJUE vient notamment préciser la portée du RGPD sur l’application notamment des amendes, la notion de groupe de sociétés, la violation fautive du RGPD et la possibilité pour un responsable du traitement de se voir infliger une amende également pour des opérations effectuées par un sous-traitant

1./ « Il découle ainsi du libellé de l’article 83, paragraphe 2, du RGPD que seules les violations des dispositions de ce règlement commises de manière fautive par le responsable du traitement, à savoir celles commises délibérément ou par négligence, peuvent conduire à l’imposition d’une amende administrative à ce dernier en application de cet article ».

Voici ce que nous dit en substance l’arrêt C 807-21 rendu le 5 décembre 2023

Il reste que cette déclaration doit être prise avec précaution.

En effet, la Cour précise que s’agissant de la question de savoir si une violation a été commise délibérément ou par négligence et est, de ce fait, susceptible d’être sanctionnée par une amende administrative au titre de l’article 83 du RGPD, un responsable du traitement peut être sanctionné pour un comportement entrant dans le champ d’application du RGPD, dès lors que ce responsable du traitement ne pouvait ignorer le caractère infractionnel de son comportement, qu’il ait eu ou non conscience d’enfreindre les dispositions du RGPD

C’est donc bien sous ce prisme qu’une amende administrative peut être imposée

La Cour ajoute qu’une amende peut être infligée à une personne morale sans que cette violation ait été imputée préalablement à une personne physique identifiée.

2./ La CJUE précise aussi la notion d’entreprise (telle que visée à l’article 83 du RGPD) pour le calcul des amendes, notamment au titre de la prise en compte d’un chiffre d'affaires annuel.

Ainsi, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé

3./ S’agissant de l’arrêt C683/21, ce dernier vient préciser qu’un responsable des traitements peut se voir infliger une amende pour des agissements de ses sous-traitants

Ainsi la CJUE précise qu’un responsable du traitement est responsable non seulement pour tout traitement de données à caractère personnel qu’il effectue lui-même, mais également pour les traitements réalisés pour son compte.

Dès lors le responsable des traitements peut se voir imposer une amende administrative en application de l’article 83 du RGPD dans une situation où des données à caractère personnel font l’objet d’un traitement illicite et où ce n’est pas un tel responsable, mais un sous–traitant auquel celui-ci a fait appel, qui a effectué ledit traitement pour le compte de ce dernier.

Toutefois, précise la Cour, la responsabilité du responsable du traitement pour le comportement d’un sous-traitant ne saurait s’étendre aux situations dans lesquelles le sous-traitant a traité des données à caractère personnel pour des finalités qui lui sont propres ou dans lesquelles ce dernier a traité ces données de manière incompatible avec le cadre ou les modalités du traitement tels qu’ils avaient été déterminés par le responsable du traitement ou d’une façon telle qu’il ne saurait être raisonnablement considéré que ce responsable y aurait consenti.

4./ Cet arrêt précise également s’agissant de la responsabilité conjointe de deux ou de plusieurs entités, que la qualification de deux entités comme étant responsables conjoints du traitement ne présuppose ni l’existence d’un accord entre ces entités sur la détermination des finalités et des moyens du traitement des données à caractère personnel en cause ni l’existence d’un accord qui fixe les conditions relatives à la responsabilité conjointe du traitement. Il est donc à nouveau rappelé qu’il existe des « responsables conjoints du traitement » lorsque deux responsables du traitement ou plus déterminent conjointement les finalités et les moyens du traitement

Mathieu MARTIN