–

pour ILVA A/S, par Me D. B. Geary, advokat,

–

pour la Commission européenne, par MM. A. Bouchagiar, H. Kranenborg et C. Vang, en qualité d’agents,

1

La demande de décision préjudicielle porte sur l’interprétation de l’article 83, paragraphes 4 à 6, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

2

Cette demande a été présentée dans le cadre d’une procédure pénale engagée par l’Anklagemyndigheden (ministère public, Danemark) contre ILVA A/S pour de prétendues violations des obligations incombant à cette société en vertu du RGPD en sa qualité de responsable du traitement des données à caractère personnel relatives à d’anciens clients.

3

Les considérants 150 et 151 du RGPD sont libellés comme suit :

4

L’article 5 du RGPD établit les principes relatifs au traitement des données à caractère personnel.

5

L’article 6 du RGPD détermine les conditions dans lesquelles un traitement des données à caractère personnel est considéré comme étant licite.

6

L’article 58 du RGPD, intitulé « Pouvoirs », dispose, à son paragraphe 2 :

« Chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes :

[…]

[…] »

7

L’article 83 du RGPD, intitulé « Conditions générales pour imposer des amendes administratives », énonce, à ses paragraphes 1, 2, 4 à 6 et 9 :

« 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.

2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l’article 58, paragraphe 2, points a) à h), et j). Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments suivants :

[…]

4. Les violations des dispositions suivantes font l’objet, conformément au paragraphe 2, d’amendes administratives pouvant s’élever jusqu’à 10000000 [d’euros] ou, dans le cas d’une entreprise, jusqu’à 2 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu :

[…]

5. Les violations des dispositions suivantes font l’objet, conformément au paragraphe 2, d’amendes administratives pouvant s’élever jusqu’à 20000000 [d’euros] ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu :

[…]

6. Le non-respect d’une injonction émise par l’autorité de contrôle en vertu de l’article 58, paragraphe 2, fait l’objet, conformément au paragraphe 2 du présent article, d’amendes administratives pouvant s’élever jusqu’à 20000000 [d’euros] ou, dans le cas d’une entreprise, jusqu’à 4 % du chiffre d’affaires annuel mondial total de l’exercice précédent, le montant le plus élevé étant retenu.

[…]

9. Si le système juridique d’un État membre ne prévoit pas d’amendes administratives, le présent article peut être appliqué de telle sorte que l’amende est déterminée par l’autorité de contrôle compétente et imposée par les juridictions nationales compétentes, tout en veillant à ce que ces voies de droit soi[en]t effectives et aient un effet équivalent aux amendes administratives imposées par les autorités de contrôle. En tout état de cause, les amendes imposées sont effectives, proportionnées et dissuasives. Les États membres concernés notifient à la Commission [européenne] les dispositions légales qu’ils adoptent en vertu du présent paragraphe au plus tard le 25 mai 2018 et, sans tarder, toute disposition légale modificative ultérieure ou toute modification ultérieure les concernant. »

8

La lov nr. 502 om supplerende bestemmelser til forordning om beskyttelse af fysiske personer i forbindelse med behandling af personoplysninger og om fri udveksling af sådanne oplysninger (loi no 502 portant dispositions complémentaires au [RGPD]), du 23 mai 2018, dispose, à son article 41 :

« 1. À moins qu’une peine plus élevée ne soit prévue par une autre législation, sera puni d’une amende ou d’une peine d’emprisonnement pouvant aller jusqu’à six mois celui qui enfreint les dispositions relatives :

[…]

4) aux principes de base du traitement, y compris les conditions relatives au consentement, prévus aux articles 5 à 7 et 9 du [RGPD]

[…]

3. L’article 83, paragraphe 2, du [RGPD] s’applique lors de l’imposition d’une sanction conformément aux paragraphes 1 et 2.

[…]

6. La responsabilité pénale d’une société e.a. (d’une personne morale) peut être constatée en application des dispositions du chapitre 5 du [straffeloven (code pénal)]. […] »

9

ILVA exploite une chaîne de magasins de meubles et fait partie du groupe Lars Larsen Group. Le chiffre d’affaires total du groupe pour l’exercice 2016/2017 s’élevait à 6,57 milliards de couronnes danoises (DKK) (environ 881 millions d’euros) et le chiffre d’affaires d’ILVA s’élevait à près de 1,8 milliard DKK (environ 241 millions d’euros) pour le même exercice.

10

ILVA est poursuivie devant les juridictions danoises pour avoir manqué, pendant la période allant du mois de mai 2018 au mois de janvier 2019, aux obligations lui incombant en vertu du RGPD en sa qualité de responsable du traitement des données à caractère personnel dans le cadre de la conservation des données d’au moins 350000 anciens clients.

11

Sur recommandation du Datatilsynet (Autorité chargée de la protection des données, Danemark), le ministère public a requis l’imposition d’une amende de 1,5 million DKK (environ 201000 euros) à ILVA. Le calcul de ce montant était fondé non seulement sur le chiffre d’affaires d’ILVA, mais également sur le chiffre d’affaires global du groupe Lars Larsen Group.

12

Par jugement du 12 février 2021, le retten i Aarhus (tribunal municipal d’Aarhus, Danemark) a reconnu ILVA coupable des faits qui lui étaient reprochés et l’a condamnée au paiement d’une amende de 100000 DKK (environ 13400 euros). Cette juridiction a estimé qu’ILVA avait agi par négligence, contrairement à ce qu’avait soutenu le ministère public. Elle a en outre considéré que, dans la mesure où seule ILVA faisait l’objet de poursuites, il n’y avait pas lieu de prendre en compte le chiffre d’affaires du groupe Lars Larsen Group pour déterminer le montant de l’amende. Par ailleurs, elle a relevé qu’ILVA exerçait une activité de vente au détail indépendante et qu’elle n’avait pas été créée par la société mère de ce groupe dans le seul but d’assurer le traitement des données du groupe.

13

Le ministère public a interjeté appel de ce jugement devant le Vestre Landsret (cour d’appel de la région Ouest, Danemark), qui est la juridiction de renvoi. Le ministère public soutient que le terme « entreprise » figurant à l’article 83, paragraphes 4 à 6, du RGPD doit être compris en ce sens que, pour fixer une amende en cas de violation du RGPD par une société, il convient de se référer au chiffre d’affaires du groupe dont fait partie cette société. Il découlerait en effet du considérant 150 du RGPD que ce terme doit être compris conformément aux articles 101 et 102 TFUE.

14

ILVA est, en revanche, d’avis que, pour fixer une amende pour violation du RGPD par une société, il n’y a pas lieu de prendre en considération le chiffre d’affaires global du groupe dont celle-ci fait partie. En l’espèce, des poursuites auraient été engagées contre ILVA, et non pas également contre la société mère de cette dernière.

15

La juridiction de renvoi estime que la réponse à cette question ne ressort pas de manière claire du RGPD.

16

Dans ces conditions, le Vestre Landsret (cour d’appel de la région Ouest) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

17

Par ses questions, qu’il convient d’examiner ensemble, la juridiction de renvoi demande, en substance, si l’article 83, paragraphes 4 à 6, du RGPD, lu à la lumière du considérant 150 de ce règlement, doit être interprété en ce sens que le terme « entreprise », figurant à ces dispositions, correspond à la notion d’« entreprise », au sens des articles 101 et 102 TFUE, de sorte que, lorsqu’une amende pour violation du RGPD est imposée à un responsable du traitement de données à caractère personnel, qui est ou fait partie d’une entreprise, le montant de l’amende est déterminé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise, au sens de ces articles 101 et 102.

18

D’emblée, il convient de relever que la Cour a déjà eu l’occasion d’apporter des réponses à certaines questions relatives à l’interprétation de l’article 83 du RGPD dans l’arrêt du 5 décembre 2023, Deutsche Wohnen (C-807/21, EU:C:2023:950, points 53 à 59), intervenu après la clôture de la procédure écrite dans la présente affaire.

19

La Cour a jugé que la notion d’« entreprise », au sens des articles 101 et 102 TFUE, n’a pas d’incidence sur le point de savoir si et dans quelles conditions une amende administrative peut être imposée en application de l’article 83 du RGPD à un responsable du traitement qui est une personne morale, cette question étant réglementée de manière exhaustive par l’article 58, paragraphe 2, et l’article 83, paragraphes 1 à 6, de ce règlement (arrêt du 5 décembre 2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, point 53).

20

Cette notion n’est en effet pertinente que pour déterminer le montant de l’amende administrative imposée au titre de l’article 83, paragraphes 4 à 6, du RGPD à un responsable du traitement (arrêt du 5 décembre 2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, point 54).

21

C’est dans ce contexte spécifique du calcul des amendes administratives imposées pour des violations visées à l’article 83, paragraphes 4 à 6, du RGPD qu’il y a lieu d’appréhender le renvoi, effectué au considérant 150 de ce règlement, à la notion d’« entreprise », au sens des articles 101 et 102 TFUE (arrêt du 5 décembre 2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, point 55).

22

À cet égard, il convient de souligner que, aux fins de l’application des règles de la concurrence, visées par les articles 101 et 102 TFUE, cette notion comprend toute entité exerçant une activité économique, indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé (arrêt du 5 décembre 2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, point 56 et jurisprudence citée).

23

Ainsi, il ressort de l’article 83, paragraphes 4 à 6, du RGPD, qui vise le calcul des amendes administratives pour les violations énumérées dans ces paragraphes, que, dans le cas où le destinataire de l’amende administrative est ou fait partie d’une entreprise, au sens des articles 101 et 102 TFUE, le montant maximal de l’amende administrative est calculé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise concernée (arrêt du 5 décembre 2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, point 57).

24

Cependant, la détermination de ce montant maximal est à distinguer du calcul même du montant d’une amende à imposer par l’autorité de contrôle compétente pour la ou les violations spécifiques du RGPD que cette amende sanctionne.

25

Ainsi, en vertu de l’article 83, paragraphe 1, du RGPD, chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu de cet article 83 pour des violations du RGPD visées aux paragraphes 4 à 6 de celui-ci soient, dans chaque cas, effectives, proportionnées et dissuasives.

26

Au-delà du respect de ces trois conditions, le paragraphe 2 de cet article 83 exige que l’autorité de contrôle compétente, afin de décider s’il y a lieu d’imposer une amende administrative et de fixer le montant de cette dernière, tienne dûment compte, dans chaque cas d’espèce, d’un certain nombre d’éléments.

27

Parmi ces éléments figurent, conformément à cette dernière disposition, notamment la nature, la gravité et la durée de la violation, le nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi, le fait que la violation a été commise délibérément ou par négligence, les mesures prises par le responsable du traitement de données à caractère personnel ou le sous-traitant de ce traitement pour atténuer le dommage subi, le degré de responsabilité de ce responsable ou de ce sous-traitant et les catégories de données à caractère personnel concernées par la violation.

28

Lesdits éléments caractérisent soit le comportement dudit responsable ou dudit sous-traitant, accusé de violations de certaines dispositions du RGPD, soit ces violations elles-mêmes. Ils servent ainsi à garantir que chacune desdites violations soit appréciée sur la base de l’ensemble des circonstances individuelles pertinentes et que les objectifs poursuivis par le système de sanctions prévu par le RGPD soient atteints.

29

Si ces éléments ne font pas référence à la notion d’entreprise, au sens des articles 101 et 102 TFUE, la Cour a déjà jugé que seule une amende qui tient compte non seulement de l’ensemble des éléments caractérisant ainsi les violations constatées du RGPD, mais également, le cas échéant, de la capacité économique réelle ou matérielle de son destinataire est susceptible de réunir les trois conditions énoncées à l’article 83, paragraphe 1, du RGPD, à savoir d’être à la fois effective, proportionnée et dissuasive. Or, pour apprécier ces conditions, il convient de tenir compte du point de savoir si ce destinataire fait partie d’une entreprise, au sens des articles 101 et 102 TFUE (voir, en ce sens, arrêt du 5 décembre 2023, Deutsche Wohnen, C-807/21, EU:C:2023:950, point 58).

30

L’interprétation de l’article 83 du RGPD qui résulte des points 25 à 29 du présent arrêt est également applicable lorsque les violations constatées du RGPD sont sanctionnées non pas par une amende administrative, mais par une amende imposée par les juridictions nationales compétentes en tant que sanction pénale.

31

Ainsi qu’il est indiqué au considérant 151 du RGPD, certains systèmes juridiques nationaux, dont celui du Royaume de Danemark, ne permettent pas d’imposer des amendes administratives comme le prévoit le RGPD.

32

Pour régler ce cas de figure, l’article 83, paragraphe 9, du RGPD dispose que, si le système juridique d’un État membre ne prévoit pas d’amendes administratives, cet article 83 peut être appliqué de telle sorte que, comme en l’occurrence, l’amende est déterminée par l’autorité de contrôle compétente et imposée par les juridictions nationales compétentes.

33

Il est en outre précisé à cet article 83, paragraphe 9, tout comme au considérant 151 de ce règlement, qu’il est nécessaire que les voies de droit en question soient effectives et aient un effet équivalent aux amendes administratives imposées par les autorités de contrôle et que, en tout état de cause, les amendes imposées soient effectives, proportionnées et dissuasives.

34

Cela étant, le fait que l’amende soit imposée par une juridiction pénale dans le cadre d’une procédure pénale implique que cette juridiction doit à tout moment respecter les règles applicables en matière pénale, dont, plus particulièrement, les droits procéduraux dont bénéficie la personne accusée et le principe de proportionnalité de la peine, tels que garantis par la charte des droits fondamentaux de l’Union européenne.

35

À cet égard, comme l’a indiqué Mme l’avocate générale au point 74 de ses conclusions, l’article 83 du RGPD exige que les autorités de contrôle compétentes doivent, sans exception, veiller au respect du principe de proportionnalité dans le calcul du montant effectif de l’amende imposée, en ménageant un juste équilibre entre les impératifs de l’intérêt général en matière de protection des données à caractère personnel et ceux de la sauvegarde des droits du responsable du traitement de telles données, du sous-traitant de ce traitement ou de l’entreprise dont ceux-ci font partie. Il en résulte qu’une application de la notion d’« entreprise », au sens des articles 101 et 102 TFUE, dans le cadre de la mise en œuvre de l’article 83, paragraphes 4 à 6, du RGPD n’apparaît pas se heurter à des obstacles de principe lorsque des violations du RGPD sont sanctionnées non pas par des amendes administratives, mais par des amendes imposées par des juridictions pénales.

36

Eu égard aux considérations qui précèdent, il y a lieu de répondre aux questions posées que l’article 83, paragraphes 4 à 6, du RGPD, lu à la lumière du considérant 150 de ce règlement, doit être interprété en ce sens que le terme « entreprise », figurant à ces dispositions, correspond à la notion d’« entreprise », au sens des articles 101 et 102 TFUE, de sorte que, lorsqu’une amende pour violation du RGPD est imposée à un responsable du traitement de données à caractère personnel, qui est ou fait partie d’une entreprise, le montant maximal de l’amende est déterminé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise. La notion d’« entreprise » doit également être prise en compte afin d’apprécier la capacité économique réelle ou matérielle du destinataire de l’amende et ainsi vérifier si l’amende est à la fois effective, proportionnée et dissuasive.

37

La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (cinquième chambre) dit pour droit :

L’article 83, paragraphes 4 à 6, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lu à la lumière du considérant 150 de ce règlement,

doit être interprété en ce sens que :

le terme « entreprise », figurant à ces dispositions, correspond à la notion d’« entreprise », au sens des articles 101 et 102 TFUE, de sorte que, lorsqu’une amende pour violation du règlement 2016/679 est imposée à un responsable du traitement de données à caractère personnel, qui est ou fait partie d’une entreprise, le montant maximal de l’amende est déterminé sur la base d’un pourcentage du chiffre d’affaires annuel mondial total de l’exercice précédent de l’entreprise. La notion d’« entreprise » doit également être prise en compte afin d’apprécier la capacité économique réelle ou matérielle du destinataire de l’amende et ainsi vérifier si l’amende est à la fois effective, proportionnée et dissuasive.

Signatures