ARRÊT DE LA COUR (cinquième chambre)
13 février 2025 (*)
« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 83, paragraphes 4 à 6 et 9 – Notion d’“entreprise” – Société mère et filiale – Violation de ce règlement par une filiale – Calcul du montant de l’amende – Prise en compte du chiffre d’affaires global du groupe comprenant cette filiale »
Dans l’affaire C‑383/23,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par le Vestre Landsret (cour d’appel de la région Ouest, Danemark), par décision du 3 mai 2023, parvenue à la Cour le 21 juin 2023, dans la procédure pénale contre
ILVA A/S,
LA COUR (cinquième chambre),
composée de M. I. Jarukaitis, président de la quatrième chambre, faisant fonction de président de la cinquième chambre, MM. D. Gratsias et Z. Csehi (rapporteur), juges,
avocat général : Mme L. Medina,
greffier : Mme C. Strömholm, administratrice,
vu la procédure écrite et à la suite de l’audience du 19 juin 2024,
considérant les observations présentées :
–        pour ILVA A/S, par Me D. B. Geary, advokat,
–        pour la Commission européenne, par MM. A. Bouchagiar, H. Kranenborg et C. Vang, en qualité d’agents,
ayant entendu l’avocate générale en ses conclusions à l’audience du 12 septembre 2024,
rend le présent
Arrêt
1        La demande de décision préjudicielle porte sur l’interprétation de l’article 83, paragraphes 4 à 6, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
2        Cette demande a été présentée dans le cadre d’une procédure pénale engagée par l’Anklagemyndigheden (ministère public, Danemark) contre ILVA A/S pour de prétendues violations des obligations incombant à cette société en vertu du RGPD en sa qualité de responsable du traitement des données à caractère personnel relatives à d’anciens clients.
Le cadre juridique
Le droit de l’Union
3        Les considérants 150 et 151 du RGPD sont libellés comme suit :
« (150) Afin de renforcer et d’harmoniser les sanctions administratives applicables en cas de violation du présent règlement, chaque autorité de contrôle devrait avoir le pouvoir d’imposer des amendes administratives. Le présent règlement devrait définir les violations, le montant maximal et les critères de fixation des amendes administratives dont elles sont passibles, qui devraient être fixés par l’autorité de contrôle compétente dans chaque cas d’espèce, en prenant en considération toutes les caractéristiques propres à chaque cas et compte dûment tenu, notamment, de la nature, de la gravité et de la durée de la violation et de ses conséquences, ainsi que des mesures prises pour garantir le respect des obligations découlant du règlement et pour prévenir ou atténuer les conséquences de la violation. Lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 [TFUE]. [...]
(151)      Les systèmes juridiques du Danemark et de l’Estonie ne permettent pas d’imposer des amendes administratives comme le prévoit le présent règlement. Les règles relatives aux amendes administratives peuvent être appliquées de telle sorte que, au Danemark, l’amende est imposée par les juridictions nationales compétentes sous la forme d’une sanction pénale et en Estonie, l’amende est imposée par l’autorité de contrôle dans le cadre d’une procédure de délit, à condition qu’une telle application des règles dans ces États membres ait un effet équivalent aux amendes administratives imposées par les autorités de contrôle. C’est pourquoi les juridictions nationales compétentes devraient tenir compte de la recommandation formulée par l’autorité de contrôle qui est à l’origine de l’amende. En tout état de cause, les amendes imposées devraient être effectives, proportionnées et dissuasives. »
4        L’article 5 du RGPD établit les principes relatifs au traitement des données à caractère personnel.
5        L’article 6 du RGPD détermine les conditions dans lesquelles un traitement des données à caractère personnel est considéré comme étant licite.
6        L’article 58 du RGPD, intitulé « Pouvoirs », dispose, à son paragraphe 2 :
« Chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes :
[...]
i)      imposer une amende administrative en application de l’article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas ;
[...] »
7        L’article 83 du RGPD, intitulé « Conditions générales pour imposer des amendes administratives », énonce, à ses paragraphes 1, 2, 4 à 6 et 9 :
« 1.      Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2.      Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l’article 58, paragraphe 2, points a) à h), et j). Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments suivants :
a)      la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi ;
b)      le fait que la violation a été commise délibérément ou par négligence ;
c)      toute mesure prise par le responsable du traitement ou le sous-traitant pour atténuer le dommage subi par les personnes concernées ;
d)      le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre en vertu des articles 25 et 32 ;
e)      toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;
f)      le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs ;
g)      les catégories de données à caractère personnel concernées par la violation ;
h)      la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i)      lorsque des mesures visées à l’article 58, paragraphe 2, ont été précédemment ordonnées à l’encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;
j)      l’application de codes de conduite approuvés en application de l’article 40 ou de mécanismes de certification approuvés en application de l’article 42 ; et
k)      toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.
[...]
4.      Les violations des dispositions suivantes font l’objet, conformément au paragraphe 2, d’amendes administratives pouvant s’élever jusqu’à 10 000 000 [d’euros] ou, dans le cas d’une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu :
[...]
5.      Les violations des dispositions suivantes font l’objet, conformément au paragraphe 2, d’amendes administratives pouvant s’élever jusqu’à 20 000 000 [d’euros] ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu :
[...]
6.      Le non-respect d’une injonction émise par l’autorité de contrôle en vertu de l’article 58, paragraphe 2, fait l’objet, conformément au paragraphe 2 du présent article, d’amendes administratives pouvant s’élever jusqu’à 20 000 000 [d’euros] ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
[...]
9.      Si le système juridique d’un État membre ne prévoit pas d’amendes administratives, le présent article peut être appliqué de telle sorte que l’amende est déterminée par l’autorité de contrôle compétente et imposée par les juridictions nationales compétentes, tout en veillant à ce que ces voies de droit soi[en]t effectives et aient un effet équivalent aux amendes administratives imposées par les autorités de contrôle. En tout état de cause, les amendes imposées sont effectives, proportionnées et dissuasives. Les États membres concernés notifient à la Commission [européenne] les dispositions légales qu’ils adoptent en vertu du présent paragraphe au plus tard le 25 mai 2018 et, sans tarder, toute disposition légale modificative ultérieure ou toute modification ultérieure les concernant. »
Le droit danois
8        La lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (loi no 502 portant dispositions complémentaires au [RGPD]), du 23 mai 2018, dispose, à son article 41 :
« 1.      À moins qu’une peine plus élevée ne soit prévue par une autre législation, sera puni d’une amende ou d’une peine d’emprisonnement pouvant aller jusqu’à six mois celui qui enfreint les dispositions relatives :
[...]
4)      aux principes de base du traitement, y compris les conditions relatives au consentement, prévus aux articles 5 à 7 et 9 du [RGPD]
[...]
3.      L’article 83, paragraphe 2, du [RGPD] s’applique lors de l’imposition d’une sanction conformément aux paragraphes 1 et 2.
[...]
6.      La responsabilité pénale d’une société e.a. (d’une personne morale) peut être constatée en application des dispositions du chapitre 5 du [straffeloven (code pénal)]. [...] »
Le litige au principal et les questions préjudicielles
9        ILVA exploite une chaîne de magasins de meubles et fait partie du groupe Lars Larsen Group. Le chiffre d’affaires total du groupe pour l’exercice 2016/2017 s’élevait à 6,57 milliards de couronnes danoises (DKK) (environ 881 millions d’euros) et le chiffre d’affaires d’ILVA s’élevait à près de 1,8 milliard DKK (environ 241 millions d’euros) pour le même exercice.
10      ILVA est poursuivie devant les juridictions danoises pour avoir manqué, pendant la période allant du mois de mai 2018 au mois de janvier 2019, aux obligations lui incombant en vertu du RGPD en sa qualité de responsable du traitement des données à caractère personnel dans le cadre de la conservation des données d’au moins 350 000 anciens clients.
11      Sur recommandation du Datatilsynet (Autorité chargée de la protection des données, Danemark), le ministère public a requis l’imposition d’une amende de 1,5 million DKK (environ 201 000 euros) à ILVA. Le calcul de ce montant était fondé non seulement sur le chiffre d’affaires d’ILVA, mais également sur le chiffre d’affaires global du groupe Lars Larsen Group.
12      Par jugement du 12 février 2021, le retten i Aarhus (tribunal municipal d’Aarhus, Danemark) a reconnu ILVA coupable des faits qui lui étaient reprochés et l’a condamnée au paiement d’une amende de 100 000 DKK (environ 13 400 euros). Cette juridiction a estimé qu’ILVA avait agi par négligence, contrairement à ce qu’avait soutenu le ministère public. Elle a en outre considéré que, dans la mesure où seule ILVA faisait l’objet de poursuites, il n’y avait pas lieu de prendre en compte le chiffre d’affaires du groupe Lars Larsen Group pour déterminer le montant de l’amende. Par ailleurs, elle a relevé qu’ILVA exerçait une activité de vente au détail indépendante et qu’elle n’avait pas été créée par la société mère de ce groupe dans le seul but d’assurer le traitement des données du groupe.
13      Le ministère public a interjeté appel de ce jugement devant le Vestre Landsret (cour d’appel de la région Ouest, Danemark), qui est la juridiction de renvoi. Le ministère public soutient que le terme « entreprise » figurant à l’article 83, paragraphes 4 à 6, du RGPD doit être compris en ce sens que, pour fixer une amende en cas de violation du RGPD par une société, il convient de se référer au chiffre d’affaires du groupe dont fait partie cette société. Il découlerait en effet du considérant 150 du RGPD que ce terme doit être compris conformément aux articles 101 et 102 TFUE.
14      ILVA est, en revanche, d’avis que, pour fixer une amende pour violation du RGPD par une société, il n’y a pas lieu de prendre en considération le chiffre d’affaires global du groupe dont celle-ci fait partie. En l’espèce, des poursuites auraient été engagées contre ILVA, et non pas également contre la société mère de cette dernière.
15      La juridiction de renvoi estime que la réponse à cette question ne ressort pas de manière claire du RGPD.
16      Dans ces conditions, le Vestre Landsret (cour d’appel de la région Ouest) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1)      Le terme “entreprise” figurant à l’article 83, paragraphes 4 à 6, du [RGPD] doit-il être compris comme une entreprise au sens des articles 101 et 102 TFUE, lus en combinaison avec le considérant 150 du [RGPD], et de la jurisprudence de la Cour dans le domaine du droit de la concurrence de l’Union, en ce sens que le terme “entreprise” couvre toute entité exerçant une activité économique, indépendamment de son statut juridique et de la manière dont elle est financée ?
2)      Si la réponse à la première question est affirmative : l’article 83, paragraphes 4 à 6, du [RGPD] doit-il être interprété en ce sens que, lors de l’imposition d’une amende à une entreprise, il convient de prendre en compte le chiffre d’affaires annuel total de l’entité économique dont l’entreprise fait partie, ou bien seulement le chiffre d’affaires annuel total de l’entreprise elle‑même ? »
Sur les questions préjudicielles
17      Par ses questions, qu’il convient d’examiner ensemble, la juridiction de renvoi demande, en substance, si l’article 83, paragraphes 4 à 6, du RGPD, lu à la lumière du considérant 150 de ce règlement, doit être interprété en ce sens que le terme « entreprise », figurant à ces dispositions, correspond à la notion d’« entreprise », au sens des articles 101 et 102 TFUE, de sorte que, lorsqu’une amende pour violation du RGPD est imposée à un responsable du traitement de données à caractère personnel, qui est ou fait partie d’une entreprise, le montant de l’amende est déterminé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise, au sens de ces articles 101 et 102.
18      D’emblée, il convient de relever que la Cour a déjà eu l’occasion d’apporter des réponses à certaines questions relatives à l’interprétation de l’article 83 du RGPD dans l’arrêt du 5 décembre 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, points 53 à 59), intervenu après la clôture de la procédure écrite dans la présente affaire.
19      La Cour a jugé que la notion d’« entreprise », au sens des articles 101 et 102 TFUE, n’a pas d’incidence sur le point de savoir si et dans quelles conditions une amende administrative peut être imposée en application de l’article 83 du RGPD à un responsable du traitement qui est une personne morale, cette question étant réglementée de manière exhaustive par l’article 58, paragraphe 2, et l’article 83, paragraphes 1 à 6, de ce règlement (arrêt du 5 décembre 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, point 53).
20      Cette notion n’est en effet pertinente que pour déterminer le montant de l’amende administrative imposée au titre de l’article 83, paragraphes 4 à 6, du RGPD à un responsable du traitement (arrêt du 5 décembre 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, point 54).
21      C’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’« entreprise », au sens des articles 101 et 102 TFUE (arrêt du 5 décembre 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, point 55).
22      À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 5 décembre 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, point 56 et jurisprudence citée).
23      Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, le montant maximal de l’amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée (arrêt du 5 décembre 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, point 57).
24      Cependant, la détermination de ce montant maximal est à distinguer du calcul même du montant d’une amende à imposer par l’autorité de contrôle compétente pour la ou les violations spécifiques du RGPD que cette amende sanctionne.
25      Ainsi, en vertu de l’article 83, paragraphe 1, du RGPD, chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu de cet article 83 pour des violations du RGPD visées aux paragraphes 4 à 6 de celui-ci soient, dans chaque cas, effectives, proportionnées et dissuasives.
26      Au-delà du respect de ces trois conditions, le paragraphe 2 de cet article 83 exige que l’autorité de contrôle compétente, afin de décider s’il y a lieu d’imposer une amende administrative et de fixer le montant de cette dernière, tienne dûment compte, dans chaque cas d’espèce, d’un certain nombre d’éléments.
27      Parmi ces éléments figurent, conformément à cette dernière disposition, notamment la nature, la gravité et la durée de la violation, le nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi, le fait que la violation a été commise délibérément ou par négligence, les mesures prises par le responsable du traitement de données à caractère personnel ou le sous-traitant de ce traitement pour atténuer le dommage subi, le degré de responsabilité de ce responsable ou de ce sous-traitant et les catégories de données à caractère personnel concernées par la violation.
28      Lesdits éléments caractérisent soit le comportement dudit responsable ou dudit sous-traitant, accusé de violations de certaines dispositions du RGPD, soit ces violations elles-mêmes. Ils servent ainsi à garantir que chacune desdites violations soit appréciée sur la base de l’ensemble des circonstances individuelles pertinentes et que les objectifs poursuivis par le système de sanctions prévu par le RGPD soient atteints.
29      Si ces éléments ne font pas référence à la notion d’entreprise, au sens des articles 101 et 102 TFUE, la Cour a déjà jugé que seule une amende qui tient compte non seulement de l’ensemble des éléments caractérisant ainsi les violations constatées du RGPD, mais également, le cas échéant, de la capacité économique réelle ou matérielle de son destinataire est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive. Or, pour apprécier ces conditions, il convient de tenir compte du point de savoir si ce destinataire fait partie d’une entreprise, au sens des articles 101 et 102 TFUE (voir, en ce sens, arrêt du 5 décembre 2023, Deutsche Wohnen, C‑807/21, EU:C:2023:950, point 58).
30      L’interprétation de l’article 83 du RGPD qui résulte des points 25 à 29 du présent arrêt est également applicable lorsque les violations constatées du RGPD sont sanctionnées non pas par une amende administrative, mais par une amende imposée par les juridictions nationales compétentes en tant que sanction pénale.
31      Ainsi qu’il est indiqué au considérant 151 du RGPD, certains systèmes juridiques nationaux, dont celui du Royaume de Danemark, ne permettent pas d’imposer des amendes administratives comme le prévoit le RGPD.
32      Pour régler ce cas de figure, l’article 83, paragraphe 9, du RGPD dispose que, si le système juridique d’un État membre ne prévoit pas d’amendes administratives, cet article 83 peut être appliqué de telle sorte que, comme en l’occurrence, l’amende est déterminée par l’autorité de contrôle compétente et imposée par les juridictions nationales compétentes.
33      Il est en outre précisé à cet article 83, paragraphe 9, tout comme au considérant 151 de ce règlement, qu’il est nécessaire que les voies de droit en question soient effectives et aient un effet équivalent aux amendes administratives imposées par les autorités de contrôle et que, en tout état de cause, les amendes imposées soient effectives, proportionnées et dissuasives.
34      Cela étant, le fait que l’amende soit imposée par une juridiction pénale dans le cadre d’une procédure pénale implique que cette juridiction doit à tout moment respecter les règles applicables en matière pénale, dont, plus particulièrement, les droits procéduraux dont bénéficie la personne accusée et le principe de proportionnalité de la peine, tels que garantis par la charte des droits fondamentaux de l’Union européenne.
35      À cet égard, comme l’a indiqué Mme l’avocate générale au point 74 de ses conclusions, l’article 83 du RGPD exige que les autorités de contrôle compétentes doivent, sans exception, veiller au respect du principe de proportionnalité dans le calcul du montant effectif de l’amende imposée, en ménageant un juste équilibre entre les impératifs de l’intérêt général en matière de protection des données à caractère personnel et ceux de la sauvegarde des droits du responsable du traitement de telles données, du sous-traitant de ce traitement ou de l’entreprise dont ceux-ci font partie. Il en résulte qu’une application de la notion d’« entreprise », au sens des articles 101 et 102 TFUE, dans le cadre de la mise en œuvre de l’article 83, paragraphes 4 à 6, du RGPD n’apparaît pas se heurter à des obstacles de principe lorsque des violations du RGPD sont sanctionnées non pas par des amendes administratives, mais par des amendes imposées par des juridictions pénales.
36      Eu égard aux considérations qui précèdent, il y a lieu de répondre aux questions posées que l’article 83, paragraphes 4 à 6, du RGPD, lu à la lumière du considérant 150 de ce règlement, doit être interprété en ce sens que le terme « entreprise », figurant à ces dispositions, correspond à la notion d’« entreprise », au sens des articles 101 et 102 TFUE, de sorte que, lorsqu’une amende pour violation du RGPD est imposée à un responsable du traitement de données à caractère personnel, qui est ou fait partie d’une entreprise, le montant maximal de l’amende est déterminé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise. La notion d’« entreprise » doit également être prise en compte afin d’apprécier la capacité économique réelle ou matérielle du destinataire de l’amende et ainsi vérifier si l’amende est à la fois effective, proportionnée et dissuasive.
Sur les dépens
37      La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (cinquième chambre) dit pour droit :
L’article 83, paragraphes 4 à 6, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lu à la lumière du considérant 150 de ce règlement,
doit être interprété en ce sens que :
le terme « entreprise », figurant à ces dispositions, correspond à la notion d’« entreprise », au sens des articles 101 et 102 TFUE, de sorte que, lorsqu’une amende pour violation du règlement 2016/679 est imposée à un responsable du traitement de données à caractère personnel, qui est ou fait partie d’une entreprise, le montant maximal de l’amende est déterminé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise. La notion d’« entreprise » doit également être prise en compte afin d’apprécier la capacité économique réelle ou matérielle du destinataire de l’amende et ainsi vérifier si l’amende est à la fois effective, proportionnée et dissuasive.
Signatures
*      Langue de procédure : le danois.