CONCLUSIONS DE L’AVOCAT GÉNÉRAL
M. MANUEL CAMPOS SÁNCHEZ-BORDONA
présentées le 27 avril 2023 (1)
Affaire C‑807/21
Deutsche Wohnen SE
contre
Staatsanwaltschaft Berlin
[demande de décision préjudicielle formée par le Kammergericht Berlin (tribunal régional supérieur de Berlin, Allemagne)]
« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Violations – Imputation à une entreprise d’une violation commise par ses employés – Éventuelle responsabilité sans faute – Transposition de notions développées en droit de la concurrence »
1.        Le présent renvoi préjudiciel offre à la Cour l’occasion de se prononcer sur les conditions dans lesquelles une amende administrative peut être infligée à une personne morale pour des violations du règlement (UE) 2016/679 (2).
2.        Il s’agit en particulier de déterminer :
–      s’il est possible de sanctionner la personne morale sans qu’il soit nécessaire de constater au préalable la responsabilité d’une personne physique ;
–      si la violation qui est sanctionnée doit être, en tout état de cause, commise délibérément ou par négligence, ou si le simple manquement objectif à une obligation suffit.
I.      Le cadre juridique
A.      Le droit de l’Union : le RGPD
3.        Le considérant 74 du RGPD énonce ce qui suit :
« Il y a lieu d’instaurer la responsabilité du responsable du traitement pour tout traitement de données à caractère personnel qu’il effectue lui‑même ou qui est réalisé pour son compte. Il importe, en particulier, que le responsable du traitement soit tenu de mettre en œuvre des mesures appropriées et effectives et soit à même de démontrer la conformité des activités de traitement avec le présent règlement, y compris l’efficacité des mesures. Ces mesures devraient tenir compte de la nature, de la portée, du contexte et des finalités du traitement ainsi que du risque que celui-ci présente pour les droits et libertés des personnes physiques. »
4.        Le considérant 150 du RGPD est ainsi rédigé :
« Afin de renforcer et d’harmoniser les sanctions administratives applicables en cas de violation du présent règlement, chaque autorité de contrôle devrait avoir le pouvoir d’imposer des amendes administratives. Le présent règlement devrait définir les violations, le montant maximal et les critères de fixation des amendes administratives dont elles sont passibles, qui devraient être fixés par l’autorité de contrôle compétente dans chaque cas d’espèce, en prenant en considération toutes les caractéristiques propres à chaque cas et compte dûment tenu, notamment, de la nature, de la gravité et de la durée de la violation et de ses conséquences, ainsi que des mesures prises pour garantir le respect des obligations découlant du règlement et pour prévenir ou atténuer les conséquences de la violation. Lorsque des amendes administratives sont imposées à une entreprise, ce terme doit, à cette fin, être compris comme une entreprise conformément aux articles 101 et 102 [TFUE]. [...] Il peut en outre être recouru au mécanisme de contrôle de la cohérence pour favoriser une application cohérente des amendes administratives [...] »
5.        L’article 4 du RGPD (intitulé « Définitions ») dispose :
« Aux fins du présent règlement, on entend par :
[...]
7)      “responsable du traitement”, la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; lorsque les finalités et les moyens de ce traitement sont déterminés par le droit de l’Union ou le droit d’un État membre, le responsable du traitement peut être désigné ou les critères spécifiques applicables à sa désignation peuvent être prévus par le droit de l’Union ou par le droit d’un État membre ;
8)      “sous-traitant”, la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui traite des données à caractère personnel pour le compte du responsable du traitement ;
[...]
18)      “entreprise”, une personne physique ou morale exerçant une activité économique, quelle que soit sa forme juridique, y compris les sociétés de personnes ou les associations qui exercent régulièrement une activité économique ;
[...] »
6.        Aux termes de l’article 58 (intitulé « Pouvoirs »), paragraphe 2, du RGPD :
« Chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes :
a)      avertir un responsable du traitement ou un sous-traitant du fait que les opérations de traitement envisagées sont susceptibles de violer les dispositions du présent règlement ;
b)      rappeler à l’ordre un responsable du traitement ou un sous-traitant lorsque les opérations de traitement ont entraîné une violation des dispositions du présent règlement ;
c)      ordonner au responsable du traitement ou au sous-traitant de satisfaire aux demandes présentées par la personne concernée en vue d’exercer ses droits en application du présent règlement ;
d)      ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé ;
[...]
i)      imposer une amende administrative en application de l’article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas ;
[...] »
7.        L’article 83 du RGPD (intitulé « Conditions générales pour imposer des amendes administratives ») se lit comme suit :
« 1.      Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.
2.      Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l’article 58, paragraphe 2, points a) à h), et j). Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments suivants :
a)      la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi ;
b)      le fait que la violation a été commise délibérément ou par négligence ;
c)      toute mesure prise par le responsable du traitement ou le sous‑traitant pour atténuer le dommage subi par les personnes concernées ;
d)      le degré de responsabilité du responsable du traitement ou du sous-traitant, compte tenu des mesures techniques et organisationnelles qu’ils ont mises en œuvre en vertu des articles 25 et 32 ;
e)      toute violation pertinente commise précédemment par le responsable du traitement ou le sous-traitant ;
f)      le degré de coopération établi avec l’autorité de contrôle en vue de remédier à la violation et d’en atténuer les éventuels effets négatifs ;
g)      les catégories de données à caractère personnel concernées par la violation ;
h)      la manière dont l’autorité de contrôle a eu connaissance de la violation, notamment si, et dans quelle mesure, le responsable du traitement ou le sous-traitant a notifié la violation ;
i)      lorsque des mesures visées à l’article 58, paragraphe 2, ont été précédemment ordonnées à l’encontre du responsable du traitement ou du sous-traitant concerné pour le même objet, le respect de ces mesures ;
j)      l’application de codes de conduite approuvés en application de l’article 40 ou de mécanismes de certification approuvés en application de l’article 42 ; et
k)      toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation.
3.      Si un responsable du traitement ou un sous-traitant viole délibérément ou par négligence plusieurs dispositions du présent règlement, dans le cadre de la même opération de traitement ou d’opérations de traitement liées, le montant total de l’amende administrative ne peut pas excéder le montant fixé pour la violation la plus grave.
4.      Les violations des dispositions suivantes font l’objet, conformément au paragraphe 2, d’amendes administratives pouvant s’élever jusqu’à 10 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu :
[...]
5.      Les violations des dispositions suivantes font l’objet, conformément au paragraphe 2, d’amendes administratives pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu :
[...]
6.      Le non‑respect d’une injonction émise par l’autorité de contrôle en vertu de l’article 58, paragraphe 2, fait l’objet, conformément au paragraphe 2 du présent article, d’amendes administratives pouvant s’élever jusqu’à 20 000 000 EUR ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.
[...]
8.      L’exercice, par l’autorité de contrôle, des pouvoirs que lui confère le présent article est soumis à des garanties procédurales appropriées conformément au droit de l’Union et au droit des États membres, y compris un recours juridictionnel effectif et une procédure régulière.
[...] »
B.      Le droit allemand : la loi allemande sur les infractions administratives
8.        En vertu de l’article 9, paragraphe 1, du Gesetz über Ordnungswidrigkeiten (loi allemande sur les infractions administratives) (3), lorsqu’une personne agit en qualité : a) d’organe habilité à représenter une personne morale ou en qualité de membre d’un tel organe ; b) d’associé habilité à représenter une société de personnes ayant la capacité juridique, ou c) de représentant légal d’un tiers, il lui est fait application de toute loi en vertu de laquelle des fonctions, des relations ou des circonstances personnelles particulières justifient une sanction éventuelle, lorsque ces circonstances n’existent pas dans son chef, mais dans celui de la personne représentée.
9.        Selon l’article 9, paragraphe 2, de l’OWiG, ce qui précède s’applique également au cas du propriétaire d’un établissement (entreprise) qui confie à une autre personne, en tout ou en partie, le soin de diriger l’établissement ou de remplir, sous sa propre responsabilité, les missions incombant au propriétaire.
10.      L’article 30, paragraphe 1, de l’OWiG permet d’infliger une amende administrative à une personne morale lorsque la personne physique qui la représente, la dirige ou assume la responsabilité de sa gestion a commis une infraction pénale ou a manqué aux obligations qui incombent à la personne morale.
11.      Conformément à l’article 30, paragraphe 4, de l’OWiG, l’imposition d’une amende autonome à une personne morale exige qu’aucune procédure ne soit engagée contre le membre de l’organe ou le représentant de la personne morale ou qu’une procédure engagée soit interrompue.
12.      En vertu de l’article 130, paragraphe 1, de l’OWiG, quiconque, en qualité de propriétaire d’un établissement ou d’une entreprise, omet, volontairement ou par négligence, de prendre les mesures de surveillance nécessaires pour prévenir, au sein de l’établissement ou de l’entreprise, les manquements aux obligations qui incombent au propriétaire et dont la violation est passible d’une peine ou d’une amende, commet une infraction administrative lorsqu’un tel manquement survient alors que des mesures de surveillance adéquates, parmi lesquelles la désignation, la sélection minutieuse et le contrôle des personnes chargées de la surveillance, auraient permis de l’empêcher ou de l’entraver.
II.    Les faits, le litige et les questions préjudicielles
13.      Deutsche Wohnen SE est une société immobilière cotée en Bourse dont le siège est à Berlin (Allemagne). Elle détient indirectement, par l’entremise de participations, quelque 163 000 unités de logement et 3 000 unités commerciales.
14.      Les propriétaires de ces unités sont des filiales de Deutsche Wohnen appelées « sociétés propriétaires », qui gèrent les activités opérationnelles, tandis que Deutsche Wohnen se concentre sur la direction générale du groupe. Les sociétés propriétaires louent les unités commerciales et de logement, dont la gestion est assurée par d’autres sociétés du groupe, dites « sociétés de services ».
15.      Dans le cadre de leurs activités commerciales, Deutsche Wohnen et les sociétés du groupe traitent des données à caractère personnel des locataires des unités commerciales et de logement. Ces données sont, par exemple, des preuves d’identité, des données fiscales, sociales et d’assurance maladie, ainsi que des informations sur les contrats de location antérieurs.
16.      Le 23 juin 2017, dans le cadre d’un contrôle sur place, la Berliner Beauftragte für den Datenschutz [autorité de contrôle berlinoise en matière de protection des données (Allemagne) ; ci-après l’« autorité de contrôle »] a attiré l’attention de Deutsche Wohnen sur le fait que les sociétés de son groupe sauvegardaient des données à caractère personnel de locataires dans un système d’archivage électronique qui ne permettait pas de vérifier si la sauvegarde était nécessaire et de garantir que les données qui n’étaient plus nécessaires soient effacées.
17.      L’autorité de contrôle a demandé à Deutsche Wohnen de supprimer, à partir de ce moment et au plus tard avant la fin de l’année 2017, des documents de son système d’archivage électronique.
18.      Deutsche Wohnen a rejeté cette demande au motif qu’une telle suppression n’était pas possible pour des raisons techniques et juridiques. Cette objection a été abordée lors d’une réunion entre Deutsche Wohnen et l’autorité de contrôle, au cours de laquelle cette dernière a indiqué qu’il existait des solutions techniques pour l’effacement des données. Les discussions se sont poursuivies et Deutsche Wohnen a annoncé qu’elle envisageait de mettre en place un nouveau système destiné à se substituer à celui que l’autorité de contrôle avait contesté.
19.      Le 5 mars 2020, l’autorité de contrôle a effectué une inspection au siège central du groupe, au cours de laquelle un total de seize échantillons a été prélevé dans la base de données. Dans le même temps, Deutsche Wohnen a informé l’autorité de contrôle que le système d’archivage controversé avait déjà été mis hors service et que la migration des données vers le nouveau système était imminente.
20.      Le 30 octobre 2020, l’autorité de contrôle a sanctionné Deutsche Wohnen pour :
–      avoir délibérément omis, entre le 25 mai 2018 et le 5 mars 2019, de prendre les mesures nécessaires pour permettre l’effacement régulier des données des locataires qu’il n’était plus nécessaire de conserver ou qui avaient été sauvegardées à tort pour d’autres motifs ;
–      avoir continué à sauvegarder les données personnelles d’au moins quinze locataires identifiés plus précisément, alors qu’elle savait que ces données n’étaient pas ou plus nécessaires.
21.      Les amendes infligées s’élevaient à 14 385 000 euros au titre de la violation délibérée de l’article 25, paragraphe 1, et de l’article 5, paragraphe 1, sous a), c) et e), du RGPD, et à des montants compris entre 3 000 et 17 000 euros au titre des quinze violations de l’article 6, paragraphe 1, du RGPD.
22.      Deutsche Wohnen a introduit un recours contre ces sanctions devant le Landgericht Berlin (tribunal régional de Berlin, Allemagne), qui y a fait droit.
23.      La Staatsanwaltschaft Berlin (parquet de Berlin, Allemagne) a formé un recours contre la décision de première instance devant le Kammergericht Berlin (tribunal régional supérieur de Berlin, Allemagne), qui a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1)      L’article 83, paragraphes 4 à 6, du RGPD doit-il être interprété en ce sens qu’il incorpore dans le droit national la notion fonctionnelle d’“entreprise” et le principe de l’entité fonctionnelle (“Funktionsträgerprinzip”) attachés aux articles 101 et 102 TFUE, avec pour conséquence que, en étendant le principe de l’entité juridique (“Rechtsträgerprinzip”) sur lequel repose l’article 30 du Gesetz über Ordnungswidrigkeiten (loi sur les infractions administratives), une procédure contraventionnelle administrative peut être menée directement à l’encontre d’une entreprise et l’imposition d’une amende ne nécessite pas la constatation d’une infraction administrative commise par une personne physique identifiée, remplissant, le cas échéant, tous les éléments constitutifs de l’infraction ?
2)      En cas de réponse affirmative à la première question : l’article 83, paragraphes 4 à 6, du RGPD doit-il être interprété en ce sens que l’entreprise doit avoir commis de manière fautive l’infraction commise par l’entremise d’un collaborateur [voir article 23 du règlement (CE) no 1/2003 du Conseil, du 16 décembre 2002, relatif à la mise en œuvre des règles de concurrence prévues aux articles 81 et 82 du traité] [(4)], ou, aux fins d’infliger une amende à l’entreprise, suffit-il en principe une violation objective d’une obligation qui lui est imputable (strict liability) ? »
III. La procédure devant la Cour
24.      La demande de décision préjudicielle a été enregistrée au greffe de la Cour le 23 décembre 2021.
25.      Des observations écrites ont été déposées par Deutsche Wohnen, les gouvernements allemand, estonien et norvégien ainsi que par la Commission européenne.
26.      Le 9 novembre 2022, en application de l’article 101, paragraphe 1, du règlement de procédure, la Cour a invité la juridiction de renvoi à préciser :
–      l’incidence éventuelle de l’article 130 de l’OWiG sur la première question posée ;
–      les raisons pour lesquelles elle considère qu’une réponse à la seconde question préjudicielle est nécessaire, étant donné que, selon la décision de renvoi, les sanctions ont été infligées au titre de la violation délibérée de plusieurs dispositions du RGPD.
27.      Les éclaircissements demandés ont été enregistrés au greffe de la Cour le 11 janvier 2023.
28.      Lors de l’audience, qui s’est tenue le 17 janvier 2023, ont comparu, outre les parties intéressées qui avaient déposé des observations écrites, le gouvernement néerlandais, le Parlement européen et le Conseil de l’Union européenne.
IV.    Analyse
A.      Sur la première question préjudicielle
1.      Observations liminaires
29.      La première question posée par la juridiction de renvoi vise en substance à savoir si, au regard du droit de l’Union, une personne morale peut être sanctionnée au titre d’une violation du RGPD sans qu’il soit nécessaire d’imputer cette violation, au préalable, à une personne physique.
30.      La juridiction de renvoi a cependant introduit plusieurs éléments de complexité dans sa question :
–      elle identifie l’article 83, paragraphes 4 à 6, du RGPD comme étant la disposition dont l’interprétation pourrait apporter une réponse à sa question ;
–      elle fait référence à ce qu’elle appelle la « notion fonctionnelle d’“entreprise” et le principe de l’entité fonctionnelle [...] attachés aux articles 101 et 102 TFUE ».
31.      La juridiction de renvoi affirme que le droit interne ne permet d’infliger une amende à une entreprise que lorsque certaines infractions commises (uniquement) par ses dirigeants exerçant des fonctions de représentation peuvent lui être imputées (5).
32.      L’affirmation susmentionnée est contredite par Deutsche Wohnen et le gouvernement allemand. Selon eux, l’article 30 de l’OWiG doit être interprété conjointement avec les articles 9 et 130 de cette loi, avec lesquels il forme un système de sanctions cohérent. Conformément à ce système, une entreprise peut se voir infliger une sanction administrative sans qu’il soit nécessaire d’engager une procédure contre la personne physique ayant agi pour le compte de celle-ci (6).
33.      Invitée par la Cour à se prononcer sur l’incidence éventuelle de l’article 130 de l’OWiG, la juridiction de renvoi a répondu qu’il n’était pas pertinent aux fins de la première question préjudicielle. Elle a fait valoir, à l’appui de sa position, que :
–      bien que cet article, combiné aux articles 9 et 30 de l’OWiG, permette d’infliger des amendes à une entreprise, la protection d’intérêts juridiques offerte par la première de ces dispositions est très restreinte par rapport au régime de responsabilité qui découle des articles 101 et 102 TFUE ;
–      le destinataire de l’article 130 de l’OWiG est le propriétaire d’une entreprise ayant manqué à une obligation de surveillance. La preuve d’un manquement imputable au propriétaire de l’entreprise va au-delà du constat d’une atteinte aux intérêts juridiques commise à partir de cette entreprise. Elle requiert d’examiner et de clarifier les structures et les procédures internes (générales et particulières), qui sont extrêmement complexes dans le cas d’espèce comme dans n’importe quel autre groupe, ce qui s’avérera souvent impossible. À cet égard, se pose la question de savoir si les groupes peuvent véritablement être qualifiés d’« entreprises » ou de « propriétaires d’entreprises » au sens de l’article 130 de l’OWiG.
34.      Ces éclaircissements montrent que la première question préjudicielle posée par la juridiction de renvoi reflète une conception du droit national qui, contrairement à ce que défend le gouvernement allemand, admet un régime de responsabilité des personnes morales qui, au regard de ses caractéristiques, pourrait éventuellement être incompatible avec le droit de l’Union.
35.      La Cour doit s’en tenir au cadre juridique national tel que décrit par la juridiction de renvoi (7), qui a autorité pour interpréter son droit interne. Les questions relatives à l’interprétation du droit de l’Union posées par le juge national doivent être résolues au regard du cadre réglementaire et factuel qu’il définit sous sa responsabilité, et dont il n’appartient pas à la Cour de vérifier l’exactitude (8).
36.      C’est donc sur la base de ces prémisses que j’aborderai l’examen de la première question préjudicielle.
2.      Personnes morales destinataires de la sanction dans le RGPD
37.      Rien ne s’oppose, en droit de l’Union, à ce que Deutsche Wohnen soit considérée comme auteur de la violation et destinataire de la sanction infligée. Cette possibilité existe de manière abstraite dans le RGPD et a été utilisée de façon concrète dans le présent cas d’espèce :
–      sur le plan abstrait, comme je l’exposerai dans les présentes conclusions, le fait qu’une personne morale puisse être sanctionnée directement au titre de violations du droit de la protection des données est non seulement envisagé par plusieurs dispositions du RGPD, mais constitue, en réalité, l’un des principaux mécanismes visant à garantir l’efficacité de ce règlement ;
–      sur le plan concret, selon la décision de renvoi, l’amende litigieuse a été infligée à Deutsche Wohnen en raison d’une série de violations du RGPD imputées à cette société, en tant que responsable du traitement de données (9). Elle s’est vu adresser la demande de l’autorité de contrôle, à laquelle elle a répondu dans les termes déjà exposés, puis a ultérieurement persisté dans le comportement qui lui était reproché par cette autorité. L’identification du destinataire de la sanction n’a donc pas soulevé de difficultés (10).
38.      Sur le plan abstrait, il n’est pas nécessaire de développer une pléthore de considérations pour corroborer le postulat selon lequel une personne morale peut être sanctionnée directement en tant qu’auteur d’une violation du RGPD. Ce postulat se déduit sans difficultés d’interprétation de la lecture des articles 4, 58 et 83 du RGPD :
–      l’article 4 définit les notions de « responsable du traitement » ou de « sous‑traitant », en faisant expressément référence au fait que les personnes morales peuvent être l’un ou l’autre (11) ;
–      l’article 58, paragraphe 2, confère aux autorités de contrôle le pouvoir d’adopter un certain nombre de « mesures correctrices » à l’encontre des responsables du traitement ou des sous-traitants (et donc de personnes morales également). Parmi ces mesures correctrices figure l’imposition d’une « amende administrative » [sous i)].
–      en énumérant les critères de fixation du montant des amendes administratives, l’article 83 du RGPD se réfère à des éléments qui peuvent aisément caractériser le comportement des personnes morales.
39.      Il ressort tout naturellement de l’ensemble de ces dispositions que, selon le RGPD, les amendes administratives résultant de la violation de ce règlement peuvent avoir pour destinataire direct une personne morale (12). Les autorités nationales compétentes en la matière ont reconnu cette évidence en n’hésitant pas à infliger des amendes, parfois importantes, à des personnes morales ayant violé le RGPD (13).
40.      Sur le plan concret, l’autorité de contrôle, je le répète, s’est adressée à Deutsche Wohnen en sa qualité de responsable du traitement des données, en lui enjoignant d’effacer de ses archives certaines données à caractère personnel des locataires, demande que cette entreprise a ignorée pendant un certain temps, jusqu’à ce qu’elle ait modifié ses systèmes d’archivage.
3.      Nécessité d’une imputation préalable à une personne physique ?
41.      Selon la juridiction de renvoi, pour qu’une entreprise puisse être sanctionnée directement au titre de la violation du RGPD, le droit interne exige que la responsabilité d’une personne physique soit établie au préalable. Tel est ce qui ressortirait de l’article 30 de l’OWiG : une amende ne saurait être infligée à une entreprise que lorsque certaines infractions commises par ses dirigeants ayant des fonctions de représentation peuvent lui être imputées ; à cet effet, il doit être établi que le représentant a violé la disposition correspondante en commettant les éléments de l’infraction de manière illégale et fautive (14).
42.      La juridiction de renvoi rejette l’objection du gouvernement allemand, qui invoque l’article 130 de l’OWiG pour contester l’interprétation qu’elle propose, dans les termes que j’ai déjà indiqués en retranscrivant sa réponse à la Cour (15). Elle affirme en substance que la protection des intérêts juridiques offerte par cette disposition est très restreinte par rapport au régime de responsabilité qui découle des articles 101 et 102 TFUE.
43.      La règle selon laquelle la responsabilité d’une personne physique doit être constatée au préalable, dont se prévaut la juridiction de renvoi, ne s’appliquerait toutefois pas si l’article 83, paragraphes 4 à 6, du RGPD intégrait, en l’incorporant dans le droit national, la « notion fonctionnelle d’“entreprise” » attachée aux articles 101 et 102 TFUE.
a)      Incidence de la notion utilisée aux articles 101 et 102 TFUE
44.      L’article 83, paragraphes 4 à 6, du RGPD a pour objet le calcul du montant des sanctions applicables aux violations du RGPD qui y sont mentionnées. En particulier, ces trois paragraphes prévoient l’éventualité que le destinataire de la sanction soit une « entreprise ».
45.      C’est dans ce contexte qu’il y a lieu de comprendre le renvoi, effectué au considérant 150 du RGPD, à la notion d’« entreprise » au sens des articles 101 et 102 TFUE. Je rappelle que, pour la Cour, « le droit de la concurrence de l’Union vise les activités des entreprises et [...] la notion d’[“]entreprise[”] comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement » (16).
46.      Dans la mesure où le montant maximal des sanctions infligées pour des violations du RGPD est fixé, en ce qui concerne les entreprises responsables du traitement ou les entreprises sous‑traitantes, sur la base d’un pourcentage du « chiffre d’affaires annuel mondial total de l’exercice précédent », le critère de référence pour le calcul de ce montant ne peut être celui de la personnalité juridique formelle d’une société, mais celui de l’« entité fonctionnelle », au sens indiqué au point précédent des présentes conclusions.
47.      Il en est ainsi car, conformément à l’article 83, paragraphe 1, du RGPD, les amendes administratives prévues aux paragraphes 4 à 6 de cet article doivent être « effectives, proportionnées et dissuasives ». Seule une amende dont le montant est déterminé en fonction de la capacité économique réelle ou matérielle de son destinataire est susceptible de réunir ces trois caractéristiques. Il en découle la nécessité de recourir à une conception non pas strictement formelle, mais matérielle ou économique de l’entreprise pour calculer le montant de la sanction.
48.      Le législateur de l’Union a donc adopté la définition concrète ou matérielle de la notion d’« entreprise », caractéristique du droit de la concurrence (17), aux fins de la détermination du montant des amendes infligées pour la violation du RGPD. Cependant, je le répète, ce n’est qu’à cette fin que le RGPD évoque cette notion.
49.      En l’espèce, la notion d’« entreprise » visée aux articles 101 et 102 TFUE pourrait donc être pertinente pour calculer l’amende susceptible d’être infligée à Deutsche Wohnen. La question de savoir si cette dernière peut être qualifiée ou non d’« entité sanctionnée » (ou, plus précisément, d’« auteur de l’infraction ») ne dépend pas, à strictement parler, de l’application de ces deux articles du traité FUE.
50.      Il n’en demeure pas moins que, par analogie, les principes généraux qui gouvernent le régime des sanctions en droit de la concurrence (que la Cour a interprété à de nombreuses reprises) s’appliquent mutatis mutandis à la responsabilité des personnes morales pour les violations qu’elles commettent en matière de protection des données à caractère personnel (18).
b)      Imputation directe à une personne morale
51.      Une réglementation nationale qui confère un caractère indirect à l’imposition de sanctions administratives à des personnes morales, en la subordonnant à l’engagement de poursuites préalables contre une personne physique, est-elle compatible avec le RGPD ?
52.      En vertu de l’article 288 TFUE, le RGPD, outre qu’il a une portée générale, est obligatoire et directement applicable dans chaque État membre. Ces caractéristiques seraient compromises si les États membres pouvaient s’écarter de la configuration définitive des prescriptions imposées par le législateur de l’Union dans le RGPD.
53.      Il est vrai que, en raison précisément de la singularité et des caractéristiques de leur objet, plusieurs dispositions du RGPD laissent aux États membres une certaine marge de manœuvre pour maintenir ou introduire des règles nationales destinées à préciser davantage l’application de certaines de ces dispositions. Tel est le cas, par exemple :
–      en ce qui concerne le traitement de données à caractère personnel nécessaire au respect d’une obligation légale, à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement (19) ;
–      en ce qui concerne le traitement de catégories particulières de données à caractère personnel, étant donné que le RGPD n’exclut pas que les États membres détaillent les circonstances des situations particulières de traitement y compris en fixant de manière plus précise les conditions de licéité de ce dernier (20).
54.      Cette marge d’appréciation des États membres, dont il a été débattu lors de l’audience, ne saurait, à mon sens, être étendue au point de restreindre la possibilité d’imputer des violations à une personne morale, comme il ressortirait, selon la juridiction de renvoi, de l’article 30 de l’OWiG.
55.      Une telle configuration du régime de responsabilité des personnes morales permettrait d’exclure du champ d’application du système de sanctions du RGPD des violations qui, selon ce règlement, doivent être imputées à une personne morale dès lors qu’elle a la qualité de responsable du traitement ou de sous‑traitant. Tel serait le cas lorsque les personnes physiques qui représentent, dirigent ou assurent la gestion de la personne morale n’ont pas participé à ces violations.
56.      Dans la mesure où, je le répète, une personne morale peut être responsable du traitement de données et, en cette qualité, auteur des violations du RGPD qui lui sont imputables, l’application de l’article 30 de l’OWiG pourrait entraîner une altération ou une réduction injustifiée de l’éventail des comportements répréhensibles, en contradiction avec ce que prévoit de manière générale le RGPD lui-même.
57.      Une personne morale qui peut être qualifiée de « responsable du traitement » ou de « sous-traitant » doit subir les conséquences, du point de vue des sanctions, des violations du RGPD commises non seulement par ses représentants, directeurs ou gestionnaires, mais également par les personnes physiques (employés au sens large) qui agissent dans le cadre de l’activité commerciale de la personne morale et sous le contrôle de ces représentants, directeurs ou gestionnaires.
58.      Ces personnes physiques, en réalité, façonnent et définissent la volonté de la personne morale, en la matérialisant par des actes spécifiques et concrets. Ces actes spécifiques, en tant que manifestation tangible de cette volonté, sont imputables, en dernière analyse, à la personne morale elle-même.
59.      Il s’agit, en définitive, de personnes physiques qui, sans être elles-mêmes des représentants d’une personne morale, agissent sous l’autorité de ceux qui, en leur qualité de représentants de cette dernière, se sont rendus coupables d’un défaut de surveillance ou de contrôle sur ces personnes physiques. En dernier ressort, l’imputabilité finit par mener à la personne morale elle-même, dans la mesure où la violation commise par l’employé agissant sous l’autorité de ses organes de direction constitue une défaillance du système de contrôle et de surveillance, dont la responsabilité incombe directement à ces derniers.
60.      Les développements qui précèdent correspondent à la lecture que la juridiction de renvoi fait de son droit interne. Or, le gouvernement allemand soutient que l’application combinée des articles 9, 30 et 130 de l’OWiG crée un système qui permet de sanctionner des violations imputées à une personne morale, commises par des personnes physiques n’exerçant pas de fonctions de direction ou de représentation au sein de celle-ci, sans qu’il soit nécessaire d’identifier ces personnes physiques (21).
61.      Comme je l’ai indiqué précédemment, il appartient à la juridiction de renvoi d’interpréter les dispositions de son droit national. La question de savoir si, à la lumière de la jurisprudence nationale et de la doctrine invoquées par le gouvernement allemand (22), ces dispositions permettent une interprétation du droit interne conforme aux exigences du droit de l’Union doit être tranchée par les juridictions allemandes.
62.      Dans l’hypothèse où une telle interprétation serait contra legem et où il se révélerait impossible, en raison de la structure particulière de son régime national de sanctions, de donner leur pleine application aux dispositions du RGPD en la matière, la juridiction de renvoi devrait écarter l’application de la réglementation nationale incompatible avec le droit de l’Union afin de garantir la primauté du RGPD.
B.      Sur la seconde question préjudicielle
63.      La juridiction de renvoi souhaite savoir si, en vertu de l’article 83, paragraphes 4 à 6, du RGPD, « l’entreprise doit avoir commis de manière fautive l’infraction commise par l’entremise d’un collaborateur [...] » ou si, aux fins d’infliger une amende à l’entreprise, il suffit en principe d’une « violation objective d’une obligation qui lui est imputable (strict liability) » (23).
64.      La question ainsi posée revêt un caractère hypothétique, ce qui la rend irrecevable pour deux raisons.
65.      Premièrement, selon la décision de renvoi, la sanction a été infligée à Deutsche Wohnen pour un comportement intentionnel (délibéré) et non pour la simple « violation objective » du RGPD. L’exposé des faits retranscrit dans les présentes conclusions montre que cette entreprise a sciemment et délibérément ignoré la demande de l’autorité de contrôle et a poursuivi le traitement de données incriminé. Il est sans incidence, aux fins de cette qualification, qu’elle ait indiqué avoir rencontré un certain nombre de difficultés techniques et juridiques lors de la modification de ses systèmes de traitement de données.
66.      Deuxièmement, invitée par la Cour à clarifier sa question, la juridiction de renvoi a précisé que le tribunal de première instance n’était pas lié par les constatations opérées dans la décision de sanction et que, à l’avenir, ce tribunal pourrait se prononcer sur les moyens du recours introduit contre la sanction. S’il acquérait la conviction que l’infraction a eu lieu, il aurait à déterminer quel type de faute a été commise, ce qui dépendra de la réponse à la seconde question préjudicielle.
67.      Cette clarification révèle à nouveau le caractère hypothétique de la seconde question préjudicielle : l’appréciation de la qualification du comportement incriminé n’est pas indispensable à la résolution du litige devant la juridiction de renvoi, mais pourrait le cas échéant s’avérer nécessaire si l’affaire était renvoyée devant le tribunal de première instance afin que celui-ci se prononce à l’avenir.
68.      En tout état de cause, et dans l’hypothèse où la Cour déciderait d’examiner le fond de la question, j’estime que la réponse à cette interrogation ne dépend pas de l’interprétation de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives.
69.      La juridiction de renvoi opère une distinction entre : a) l’infraction commise par le collaborateur d’une personne morale et b) l’existence d’une intention fautive ou d’une négligence de la personne morale lors de la commission de cette infraction.
70.      À mon sens, l’infraction commise par le collaborateur est, en réalité, au vu des développements relatifs à la première question, une infraction commise par la personne morale sous l’autorité de laquelle ce collaborateur a agi.
71.      Correctement posée, la question porte donc sur la possibilité de sanctionner une personne morale pour la violation objective (sans faute) des obligations qui lui incombent en tant que responsable du traitement ou sous-traitant.
72.      Pour répondre à la question susmentionnée, il peut être utile de se référer à la jurisprudence de la Cour européenne des droits de l’homme (ci-après la « Cour EDH ») relative au principe de la légalité des délits et des peines, garanti par l’article 7 de la convention de sauvegarde des droits de l’homme et des libertés fondamentales, signée à Rome le 4 novembre 1950 (ci-après la « CEDH »).
73.      Bien que la CEDH ne constitue pas, tant que l’Union n’y a pas adhéré, un instrument juridique formellement intégré à son ordre juridique, les droits fondamentaux reconnus dans cette convention font partie du droit de l’Union en tant que principes généraux (article 6, paragraphe 3, TUE).
74.      Selon la Cour, « l’article 52, paragraphe 3, de la [charte des droits fondamentaux de l’Union européenne], qui dispose que les droits contenus dans celle-ci correspondant à des droits garantis par la CEDH ont le même sens et la même portée que ceux que leur confère ladite convention, vise à assurer la cohérence nécessaire entre ces droits respectifs sans porter atteinte à l’autonomie du droit de l’Union et de la Cour » (24).
75.      Or, la jurisprudence de la Cour EDH relative à l’interprétation de l’article 7 de la CEDH contient des nuances qui ne coïncident pas entièrement :
–      d’une part, bien que cet article ne mentionne pas expressément le lien moral entre l’élément matériel de l’infraction et la personne qui en est considérée comme l’auteur, la logique de la sanction et la notion même de « personne coupable » vont dans le sens d’une interprétation qui exige, pour punir, un lien de nature intellectuelle (conscience et volonté) permettant de déceler un élément de responsabilité dans la conduite de l’auteur matériel de l’infraction (25) ;
–      d’autre part, comme le gouvernement norvégien l’a fait observer lors de l’audience, la Cour EDH n’est pas opposée à la pénalisation de faits objectifs. Dans son arrêt du 7 octobre 1988, Salabiaku c. France (26), elle a jugé que tel n’est le cas qu’« en principe et sous certaines conditions », car si la CEDH ne met pas d’obstacle aux présomptions, « en matière pénale elle oblige les États contractants à ne pas dépasser à cet égard un certain seuil » (27).
76.      En réalité, l’importation des catégories dogmatiques du droit pénal (nulla poena sine culpa) aux fins de leur application en droit administratif pénal soulève des difficultés d’interprétation considérables. Peuvent relever de la notion de « culpa » (lorsqu’elle prend la forme d’une négligence) des cas de simple manquement à une disposition légale, lorsque son auteur avait l’obligation de savoir quel comportement était exigé de lui.
77.      De ce point de vue, les diverses déclinaisons de la notion de « culpa », y compris celles de faible gravité, ainsi que les différents titres d’imputation (culpa in vigilando ou in eligendo, par exemple), pourraient caractériser des comportements qui, sous un autre angle, seraient qualifiés par un tribunal de « cas de responsabilité objective ». Les frontières entre l’une et l’autre catégorie ne sont donc pas aussi marquées en droit administratif pénal que ce qui semble ressortir de la décision de renvoi.
78.      Certes, pour ce qui est du droit de l’Union, la Cour a admis, dans certains cas, un régime qu’elle qualifie de « responsabilité objective » dans le domaine des sanctions. C’est ce qu’elle a fait, par exemple, dans l’affaire Euro-Team et Spirál‑Gép, en déclarant ce qui suit :
–      « [s]’agissant [...] de la compatibilité, avec le principe de proportionnalité, de l’instauration d’une responsabilité objective, il convient de constater que la Cour a déjà jugé à maintes reprises qu’un tel système sanctionnant la violation du droit de l’Union n’est pas, en lui‑même, incompatible avec celui-ci » ;
–      « l’instauration d’un système de responsabilité objective n’est pas disproportionnée par rapport aux objectifs recherchés, lorsque ce système est de nature à inciter les personnes visées à respecter les dispositions d’un règlement et lorsque les objectifs poursuivis revêtent un intérêt général pouvant justifier l’instauration d’un tel système » (28).
79.      Cette jurisprudence a toutefois été établie dans des domaines autres que celui de la protection des données, en ce qui concerne le manquement à des obligations de faire revêtant un caractère essentiellement formel : il s’agissait d’infliger une amende pour avoir utilisé un tronçon autoroutier sans s’être acquitté du montant du péage requis (29) ou pour non‑respect des dispositions relatives à l’utilisation de la feuille d’enregistrement d’un appareil de contrôle installé dans un poids lourd (30).
80.      Dans le cas des obligations énoncées dans le RGPD, parmi lesquelles figurent celles qui conditionnent le traitement des données (article 5 de ce règlement) et sa licéité (article 6 dudit règlement), l’appréciation portant sur le point de savoir si elles ont été respectées implique un processus d’évaluation et d’examen complexe allant au‑delà de la simple constatation d’un manquement formel.
81.      Quoi qu’il en soit, je suis d’avis que l’article 83 du RGPD confirme l’exclusion d’un régime de responsabilité objective (sans faute) en matière de sanctions, en ce qu’il requiert que le comportement passible de sanctions ait été commis délibérément ou par négligence. C’est ce qui ressort, à mon sens, de plusieurs de ses paragraphes :
–      selon le paragraphe 1, il convient de veiller à ce que les amendes imposées pour les violations soient « proportionnées ». Le principe de proportionnalité des sanctions est garanti par l’article 49 de la charte des droits fondamentaux et, de manière dérivée, par la jurisprudence de la Cour EDH que j’ai mentionnée plus haut ;
–      le paragraphe 2, sous b), vise expressément « le fait que la violation a été commise délibérément ou par négligence » comme étant un élément déterminant de l’imposition d’une amende administrative et de son montant (31). Les autres facteurs énumérés sous a) à k) de ce même paragraphe spécifient les circonstances pertinentes de chaque cas et plusieurs d’entre eux comportent un élément subjectif (32), sans que le simple caractère objectif de la violation soit présent dans cette énumération ;
–      le paragraphe 3 dispose que, si un responsable du traitement ou un sous‑traitant viole « délibérément ou par négligence » simultanément plusieurs dispositions du RGPD (concours d’infractions), le montant de l’amende ne peut pas excéder le montant fixé pour la violation la plus grave. Il repose donc sur le postulat que les violations revêtant un caractère purement objectif sont sans pertinence, aux fins de l’imposition de sanctions, dès lors qu’elles ne s’accompagnent pas de violations commises délibérément ou par négligence.
82.      La thèse que je viens d’exposer pourrait être invalidée si, comme le soutiennent certains gouvernements intervenants, l’absence de dispositions explicites sur ce point dans le RGPD signifiait que les États membres se voient accorder la possibilité d’opter pour un système de responsabilité subjective (fondé sur l’intentionnalité ou la négligence) ou pour un système admettant également la responsabilité objective.
83.      Je reconnais que la position de ces gouvernements n’est pas sans fondement : dans la mesure où l’article 83, paragraphe 2, du RGPD fait référence au caractère délibéré ou à la négligence comme facteurs de détermination du montant de l’amende, et non comme éléments indispensables (essentiels) du comportement infractionnel lui-même, cette disposition laisserait aux États membres la possibilité de définir à leur guise ces éléments essentiels de la violation.
84.      Je considère néanmoins, à l’instar de la Commission, qu’une interprétation correcte du système de sanctions mis en place par le RGPD, dont l’applicabilité directe ne fait aucun doute, plaide en faveur d’une solution unitaire et cohérente (33) pour tous les États membres et non d’une approche qui laisserait à chacun d’entre eux le soin de décider lui-même si les violations passibles de sanctions doivent ou non englober celles qui ne sont pas commises délibérément ou par négligence.
85.      Les considérants du RGPD cités par la juridiction de renvoi dans sa demande de décision préjudicielle, qui réitèrent la nécessité de réprimer les violations par des sanctions équivalentes, corroborent, à mon sens, la pertinence de la solution unitaire (et le caractère irréalisable de la solution non intégratrice) (34). Une telle équivalence ne pourrait pas être obtenue s’il était permis à chaque État membre de sanctionner des violations de nature disparate, en incluant celles qui consistent en de simples manquements objectifs qui n’ont pas été commis délibérément ou par négligence.
V.      Conclusion
86.      Eu égard à ce qui précède, je propose à la Cour de répondre au Kammergericht Berlin (tribunal régional supérieur de Berlin, Allemagne) dans les termes suivants :
L’article 58, paragraphe 2, sous i), du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lu en combinaison avec l’article 4, point 7, et l’article 83 de ce règlement,
doit être interprété en ce sens que :
une amende administrative peut être infligée à une personne morale responsable du traitement de données à caractère personnel sans qu’il soit nécessaire de constater au préalable l’existence d’une infraction commise par une ou plusieurs personnes physiques déterminées au service de cette personne morale.
Les amendes administratives susceptibles d’être infligées en vertu du règlement 2016/679 exigent que le comportement constitutif de l’infraction sanctionnée ait été commis délibérément ou par négligence.
1      Langue originale : l’espagnol.
2      Règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
3      Loi du 24 mai 1968 (BGBl. I 481 ; III 454‑1), dans sa version du 19 février 1987 (BGBl. I, p. 602), telle que modifiée par la loi du 19 juin 2020 (BGBl. I, p. 1328) (ci-après l’« OWiG »).
4      JO 2003, L 1, p. 1.
5      Deuxième motif, point 1, de la décision de renvoi. Voir points 41 et suiv. des présentes conclusions.
6      Point 45 des observations de Deutsche Wohnen ainsi que points 24 et 25 des observations du gouvernement allemand.
7      Dans le cadre d’une procédure visée à l’article 267 TFUE, fondée sur une nette séparation des fonctions entre les juridictions nationales et la Cour, le juge national est seul compétent pour constater et apprécier les faits du litige au principal ainsi que pour interpréter et appliquer le droit national. Arrêt du 26 avril 2017, Farkas (C‑564/15, EU:C:2017:302, point 37).
8      Le refus de la Cour de statuer sur une question préjudicielle n’est possible que s’il apparaît de manière manifeste que l’interprétation sollicitée du droit de l’Union n’a aucun rapport avec la réalité ou l’objet du litige au principal, lorsque le problème est de nature hypothétique ou encore lorsque la Cour ne dispose pas des éléments de fait et de droit nécessaires pour répondre de façon utile aux questions qui lui sont posées (voir, entre autres, arrêt du 27 septembre 2017, Puškár, C‑73/16, EU:C:2017:725, point 50). Aucune de ces circonstances n’est présente en l’espèce.
9      Malgré les réticences de Deutsche Wohnen à admettre cette qualité lors de l’audience de plaidoiries, il n’en demeure pas moins que son profil répond à la définition de « responsable du traitement » énoncée à l’article 4 du RGPD. Il en est ainsi indépendamment de la responsabilité qui lui incombe effectivement pour les violations qui lui sont reprochées en tant que « responsable » du traitement.
10      Le fait que, pour déterminer le montant de la sanction correspondante, il faille tenir compte, le cas échéant, de l’intégration éventuelle de Deutsche Wohnen et de ses filiales dans une unité économique supérieure est une autre question. En dépit des apparences, les problèmes classiques de répartition de la responsabilité entre sociétés mères et filiales ou groupes de sociétés ne se posent pas, à proprement parler, dans le cadre du présent renvoi préjudiciel.
11      L’article 4, point 7, du RGPD définit le « responsable du traitement » comme étant, pour ce qui nous intéresse ici, « la personne [...] morale [...] qui, seule ou conjointement avec d’autres, détermine les finalités et les moyens du traitement » ; aux termes de l’article 4, point 8, le « sous-traitant » est « la personne [...] morale qui traite des données à caractère personnel pour le compte du responsable du traitement ».
12      Qui bénéficie également, en toute logique, du droit à un recours juridictionnel effectif contre une décision juridiquement contraignante d’une autorité de contrôle qui la concerne (article 78, paragraphe 1, du RGPD) et donc également contre toute amende administrative susceptible de lui être infligée.
13      À titre d’exemple, l’autorité de contrôle irlandaise a infligé, le 31 décembre 2022, des amendes de 210 millions d’euros à Facebook et de 180 millions d’euros à Instagram.
14      Deuxième motif, point 1, de la décision de renvoi.
15      Voir point 32 des présentes conclusions.
16      Arrêt du 27 avril 2017, Akzo Nobel e.a./Commission (C‑516/15 P, EU:C:2017:314, point 47).
17      Voir, entre autres, arrêt du 10 avril 2014, Areva e.a./Commission (C‑247/11 P et C‑253/11 P, EU:C:2014:257, point 123).
18      Comme je l’ai déjà indiqué, les questions touchant aux relations entre sociétés mères et filiales en matière de sanctions ne relèvent pas de la présente procédure préjudicielle. La demande de décision préjudicielle ne soulève pas non plus de questions portant sur la charge de la preuve des faits reprochés.
19      Considérant 10 du RGPD.
20      Considérant 10 du RGPD.
21      Point 25 des observations du gouvernement allemand. En réponse à cette thèse, la juridiction de renvoi soutient, dans les termes que j’ai déjà retranscrits, que, même en combinaison avec les articles 9 et 30 de l’OWiG, la protection d’intérêts juridiques offerte par le droit interne serait très restreinte par rapport au régime de responsabilité qui découle des articles 101 et 102 TFUE.
22      Point 25 des observations du gouvernement allemand, notes en bas de page 16 à 18 de ces observations.
23      L’expression strict liability correspond, dans la version en langue anglaise habituelle des arrêts de la Cour, aux termes responsabilidad objetiva (en langue espagnole) ; objektiven Verantwortlichkeit (en langue allemande) ; responsabilité objective (en langue française) ; responsabilità oggettiva (en langue italienne) ; objectieve aansprakelijkheid (en langue néerlandaise), et responsabilidade objetiva (en langue portugaise).
24      Voir, entre autres, arrêt du 2 février 2021, Consob (C‑481/19, EU:C:2021:84, point 36).
25      Cour EDH, 20 janvier 2009, Sud Fondi Srl et autres c. Italie, CE:ECHR:2009:0120JUD007590901, § 116.
26      CE:ECHR:1988:1007JUD001051983.
27      Cour EDH, 7 octobre 1988, Salabiaku c. France, CE:ECHR:1988:1007JUD001051983, § 27 et 28.
28      Arrêt du 22 mars 2017 (C‑497/15 et C‑498/15, EU:C:2017:229, points 53 et 54), citant l’arrêt du 9 février 2012, Urbán (C‑210/10, EU:C:2012:64, points 47 et 48 respectivement).
29      Arrêt du 22 mars 2017, Euro-Team et Spirál-Gép (C‑497/15 et C‑498/15, EU:C:2017:229).
30      Arrêt du 9 février 2012, Urbán (C‑210/10, EU:C:2012:64).
31      Voir, toutefois, points 82 et 83 des présentes conclusions.
32      Ainsi, par exemple, le point a) se réfère à la finalité du traitement. Le point c) concerne les mesures prises pour atténuer le dommage. Le point d) fait référence au degré de responsabilité en fonction des mesures appliquées. Le point f) vise le degré de coopération établi avec l’autorité de contrôle.
33      Le considérant 150 du RGPD fait référence à l’application cohérente des amendes administratives par les États membres. Il leur est, en revanche, permis de déterminer « si et dans quelle mesure les autorités publiques devraient faire l’objet d’amendes administratives ». Cela est sans préjudice des dispositions spécifiques applicables au Royaume de Danemark et à la République d’Estonie visées au considérant 151 et des hypothèses envisagées au considérant 152 de ce règlement.
34      Le considérant 10 du RGPD préconise une « application cohérente et homogène des règles de protection des libertés et droits fondamentaux des personnes physiques à l’égard du traitement des données à caractère personnel » (mise en italique par mes soins). Le considérant 11 de ce règlement déclare que les violations doivent être réprimées par des sanctions équivalentes, expression également utilisée au considérant 13 dudit règlement.