[Brèves] Conditions dans lesquelles les autorités de contrôle nationales peuvent infliger une amende administrative pour violation du RGPD

► Le prononcé, par les autorités de contrôle nationales, d’une amende administrative à un ou plusieurs responsables du traitement pour violation du RGPD présuppose un comportement fautif, c’est-à-dire que la violation ait été commise délibérément ou par négligence. De plus, lorsque le destinataire de l’amende fait partie d’un groupe de sociétés, le calcul de l’amende doit se fonder sur le chiffre d’affaire du groupe entier.

Faits et procédure. Des juridictions lituanienne et allemande ont demandé à la Cour de justice d’interpréter le Règlement général sur la protection des données (Règlement (UE) n° 2016/679, du 27 avril 2016 N° Lexbase : L0189K8I) en ce qui concerne la possibilité, pour les autorités de contrôle nationales, de sanctionner la violation de ce Règlement par l’imposition d’une amende administrative au responsable du traitement des données.

Dans le cas lituanien, le Centre national de santé publique auprès du ministère de la Santé conteste une amende d’un montant de 12 000 euros qu’il s’est vu infliger dans le contexte de la création, grâce à l’assistance d’une entreprise privée, d’une application mobile aux fins de l’enregistrement et du suivi des données des personnes exposées au Covid-19.

Dans le cas allemand, une société immobilière, qui détient indirectement environ 163 000 unités de logement et 3 000 unités commerciales, conteste entre autres une amende d’un montant de plus de 14 millions d’euros qui lui a été infligée pour avoir sauvegardé les données à caractère personnel des locataires plus longtemps que nécessaire.

Décision. La CJUE juge ainsi qu’un responsable du traitement des données ne peut se voir infliger une amende administrative pour violation du RGPD que si cette violation a été commise de manière fautive, c’est-à-dire délibérément ou par négligence. C’est le cas dès lors que le responsable du traitement ne pouvait ignorer le caractère infractionnel de son comportement, qu’il ait eu ou non conscience de l’infraction.

Lorsque le responsable du traitement est une personne morale, il n’est pas nécessaire que la violation ait été commise par son organe de gestion ou que cet organe en ait eu connaissance. Au contraire, une personne morale est responsable tant des violations commises par ses représentants, directeurs ou gestionnaires que de celles commises par toute autre personne qui agit dans le cadre de son activité commerciale et pour son compte. En outre, l’imposition d’une amende administrative à une personne morale en tant que responsable du traitement ne peut être soumise à la constatation préalable que cette violation a été commise par une personne physique identifiée.

De plus, un responsable du traitement peut se voir infliger une amende également pour des opérations effectuées par un sous-traitant, pour autant que ces opérations peuvent être imputées au responsable du traitement.

En ce qui concerne la responsabilité conjointe de deux ou de plusieurs entités, la Cour précise que celle-ci découle du seul fait que ces entités ont participé à la détermination des finalités et des moyens du traitement. La qualification de « responsables conjoints » ne présuppose pas l’existence d’un accord formel entre les entités en cause. Une décision commune voire des décisions convergentes sont suffisantes. Toutefois, dès lors qu’il s’agit effectivement de responsables conjoints, ceux-ci doivent fixer, par voie d’accord, leurs obligations respectives.

Enfin, s'agissant du calcul de l’amende, lorsque le destinataire est ou fait partie d’une entreprise, l’autorité de contrôle doit se fonder sur la notion d’« entreprise » du droit de la concurrence. Ainsi, le montant maximal de l’amende doit être calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée, vue dans son ensemble.

© Reproduction interdite, sauf autorisation écrite préalable