Le Bouard Avocats
L’arrêt de la CJUE du 13 février 2025 (C-383/23) précise que, dans le cadre du RGPD, le montant de l’amende peut être calculé sur la base du chiffre d’affaires global du groupe, même si la filiale seule est poursuivie. Cette décision renforce la portée dissuasive des sanctions prévues par le règlement.
À retenir :
La question du calcul du montant des amendes administratives infligées au titre du Règlement général sur la protection des données (RGPD) suscite régulièrement des interrogations, notamment lorsqu’elle concerne des groupes de sociétés. Dans un arrêt du 13 février 2025 (aff. C-383/23), la Cour de justice de l’Union européenne (CJUE) est venue préciser que, lorsqu’une filiale est poursuivie pour une violation du RGPD, l’amende peut être calculée en fonction du chiffre d’affaires du groupe auquel elle appartient.
L’article 83 du RGPD prévoit que les violations les plus graves peuvent entraîner des amendes allant jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent ou 20 millions d’euros, le montant le plus élevé étant retenu.
Mais quel chiffre d’affaires retenir lorsqu’une société est intégrée dans un groupe ? La notion d’« entreprise » figurant à l’article 83 du RGPD doit être comprise au sens du droit européen de la concurrence, et non au sens purement juridique du terme.
Conformément au considérant 150 du RGPD, cette interprétation renvoie aux articles 101 et 102 du Traité sur le fonctionnement de l’Union européenne (TFUE), qui définissent l’entreprise comme « toute entité exerçant une activité économique, indépendamment de son statut juridique et de son mode de financement ». En d'autres termes, une unité économique unique peut regrouper plusieurs entités juridiques, y compris une société mère et ses filiales.
Dans son arrêt du 13 février 2025, la CJUE confirme que, lorsqu’une filiale fait partie d’une entreprise au sens du droit de la concurrence, le chiffre d’affaires du groupe peut être pris en compte pour déterminer le plafond maximal de l’amende prévue à l’article 83, § 4 à 6 du RGPD.
Autrement dit, le chiffre d’affaires annuel mondial de l’ensemble du groupe est celui qui peut être retenu comme base de calcul du montant maximal de l’amende, et non celui de la seule filiale poursuivie.
Il convient toutefois de distinguer deux étapes dans l’évaluation de l’amende RGPD :
Même si le chiffre d’affaires du groupe n’est pas un critère en soi de fixation de l’amende, il reste pertinent pour évaluer la capacité financière de la société poursuivie et garantir que la sanction reste effective, proportionnée et dissuasive (RGPD, art. 83, § 1).
La CJUE confirme donc une logique économique : une filiale au sein d’un grand groupe ne peut pas se réfugier derrière sa personnalité juridique propre pour obtenir une amende dérisoire, si elle bénéficie structurellement du soutien, de la puissance ou de la politique de ce groupe.
Dans l’affaire jugée par la CJUE le 13 février 2025, ILVA A/S, une société danoise exploitant une chaîne de magasins de meubles, était poursuivie pour violation des obligations du RGPD en matière de conservation des données personnelles de ses anciens clients.
L’autorité de poursuite danoise souhaitait que l’amende infligée à ILVA soit calculée sur la base du chiffre d’affaires du groupe Lars Larsen, soit environ 881 millions d’euros, et non sur le seul chiffre d’affaires d’ILVA, estimé à 241 millions d’euros.
La CJUE valide cette approche sous réserve que les conditions de l’unité économique soient remplies, renvoyant à la juridiction nationale le soin de vérifier si ILVA et la société mère du groupe formaient bien une entreprise unique au sens du droit de la concurrence.
Cet arrêt de la CJUE impose une vigilance accrue aux groupes de sociétés opérant dans l’Union européenne, même si la structure juridique est éclatée entre filiales autonomes :
Les entreprises doivent intégrer cette jurisprudence dans leur politique de conformité interne, en tenant compte de leur structure économique réelle, au-delà de la forme juridique.
Pour anticiper un contentieux ou limiter le risque de sanctions disproportionnées, il est indispensable de :
Par cet arrêt, la CJUE renforce l’idée selon laquelle la structure juridique des entreprises ne saurait faire obstacle à une application effective et cohérente du RGPD. Elle confirme que le droit de la protection des données personnelles s’inscrit dans une logique économique, héritée du droit de la concurrence.
En substance, ce n’est pas tant la personnalité morale que l’organisation économique réelle qui importe dans le calcul des amendes. Un signal fort adressé aux entreprises multinationales, invitées à intégrer le RGPD dans l’ensemble de leur gouvernance.
