Com­me on le sait, le RGPD pré­voit un cad­re d’a­men­des éle­vé cont­re les ent­re­pri­ses, jus­qu’à 4% du chif­fre d’af­fai­res mon­di­al de l’an­née pré­cé­den­te de l’entre­pri­se. Dans cer­ta­ins cas, des amen­des éle­vées ont été inf­li­gées, mais elles ont géné­ra­le­ment été con­te­stées en justi­ce. Il n’est tou­te­fois pas clair dans ce cas si les amen­des des ent­re­pri­ses sup­po­se qu’u­ne vio­la­ti­on fau­ti­ve du RGPD par un diri­geant phy­si­que soit prou­vée. qui est attri­bué à l’entreprise.

Cet­te dis­cus­sion est menée ent­re aut­res en Alle­ma­gne et mont­re dans quel­le mesu­re l’ef­fet uni­fi­ca­teur du RGPD dépend de la com­pré­hen­si­on juri­di­que des États mem­bres. Elle mont­re en même temps que les ent­re­pri­ses peu­vent for­te­ment rédui­re leurs ris­ques juri­di­ques si elles choi­sis­sent, instrui­sent, for­ment et sur­veil­lent soi­gneu­se­ment leur per­son­nel trai­tant des données.

Alle­ma­gne

En Alle­ma­gne, la loi fédé­ra­le sur la pro­tec­tion des don­nées (BDSG) fait réfé­rence, § 41sur le Loi sur les infrac­tions admi­ni­stra­ti­ves (OWiG), mais seu­le­ment “par ana­lo­gie”. Selon § 30 OWiG (loi sur les infrac­tions) une amen­de à l’en­cont­re d’u­ne per­son­ne mora­le est sou­mi­se au prin­ci­pe de la pro­por­ti­on­na­li­té. Preuve d’un man­quement aux obli­ga­ti­ons d’un diri­geant est pré­vue. Il n’est pas enco­re clair si cet­te dis­po­si­ti­on s’ap­pli­que aux vio­la­ti­ons de la pro­tec­tion des don­nées, mais la ten­dance va dans ce sens.

Le site Tri­bu­nal de gran­de instance (LG) de Bonn a fait dans le Pro­cé­du­re 1&1 une amen­de de 9,55 mil­li­ons d’eu­ros à 900 000 euros. La base était avant tout le Con­cept d’a­men­des des auto­ri­tés de sur­veil­lan­ce alle­man­des. Il a tenu dans son Juge­ment 29 OWi 1/20 du 11.11.2020 Mais il a éga­le­ment con­sta­té qu’u­ne amen­de selon le RGPD pou­vait être inf­li­gée sans preuve d’u­ne vio­la­ti­on des obli­ga­ti­ons d’u­ne per­son­ne phy­si­que déter­mi­née. Ce n’est pas le § 30 OWiG qui s’ap­pli­que, mais – en rai­son du RGPD – la Prin­cipes du droit anti­trust supra­na­tio­nalqui, en cas de vio­la­ti­on des artic­les 101 et 102 du TFUE, a esti­mé qu’il s’a­gis­sait d’u­ne vio­la­ti­on du droit com­mun­au­tai­re. la responsa­bi­li­té direc­te des ent­re­pri­ses [voir par exemp­le CJCE, affai­re C‑68/12, point 28], quel­le que soit la per­son­ne phy­si­que qui a agi pour l’entreprise :

bb) Le rat­ta­che­ment de l’a­men­de à un com­porte­ment fau­tif d’or­ga­nes ou de per­son­nes diri­ge­an­tes con­for­mé­ment à l’ar­tic­le 30 OWiG ne peut pas être con­ci­liée de maniè­re judi­cieu­se avec le con­cept de responsa­bi­li­té selon le modè­le du droit euro­pé­en des car­tels et le prin­ci­pe du titu­lai­re de fonc­tion […]. L’ap­pli­ca­ti­on de l’ar­tic­le 30 OWiG con­dui­rait, par rap­port au modè­le euro­pé­en de responsa­bi­li­té, à une limi­ta­ti­on con­sidé­ra­ble de l’im­po­si­ti­on d’a­men­des aux ent­re­pri­ses si, mal­gré la con­sta­ta­ti­on d’u­ne vio­la­ti­on de la pro­tec­tion des don­nées, les responsa­bi­li­tés inter­nes devai­ent être élucidées. […]

En revan­che, le tri­bu­nal de gran­de instance de Ber­lin a Décis­i­on 526 OWi LG du 18 février 2021 a déci­dé que l’ar­tic­le 30 OWiG était appli­ca­ble, rai­son pour laquel­le un de prou­ver la fau­te d’u­ne per­son­ne diri­ge­an­te n’est pas respec­tée. Le RGPD ne con­ti­ent pas de dis­po­si­ti­ons plus pré­cis­es sur la responsa­bi­li­té péna­le des per­son­nes mora­les. Le ren­voi à la OWiG dans la BDSG est donc valable. L’im­pu­ta­ti­on de l’in­frac­tion à une per­son­ne phy­si­que est éga­le­ment néces­saire, car la per­son­ne mora­le agit par l’in­ter­mé­di­ai­re de ses orga­nes et représentants :

Dans cet­te mesu­re, la l’é­ta­blis­se­ment d’un com­porte­ment répré­hen­si­ble d’u­ne per­son­ne phy­si­que est la con­di­ti­on de base néces­saire pour l’é­ta­blis­se­ment de la responsa­bi­li­té de l’en­ti­té poten­ti­el­le­ment responsable.

L’al­le­mand Mini­stère fédé­ral de l’In­té­ri­eur, de la Cons­truc­tion et de la Patrie (BMI) a, pour sa part, éva­lué la nou­vel­le LPD et a indi­qué dans son rap­port d’éva­lua­ti­on d’oc­tobre 2021 qu’il avait été sciem­ment fait réfé­rence à la loi sur les infrac­tions admi­ni­stra­ti­ves et que le RGPD lais­sait une place à cet égard :

Il con­vi­ent tout d’a­bord de rap­pe­l­er que le légis­la­teur s’é­tait à l’é­po­que enga­gé à con­sci­ent – et en con­nais­sance de la posi­ti­on juri­di­que des auto­ri­tés de con­trô­le de la pro­tec­tion des données55 sur ce sujet – a choi­si de ne pas exclu­re les artic­les 30 et 130 de l’O­WiG des dis­po­si­ti­ons de l’O­WiG appli­ca­bles en ver­tu de l’ar­tic­le 41, para­gra­phe 1, pre­miè­re phra­se, de la BDSG.

Cet­te décis­i­on se fon­de sur la con­sidé­ra­ti­on que l’ar­tic­le 83, para­gra­phe 8, du RGPD vise pré­cis­é­ment à garan­tir la pro­tec­tion des don­nées à carac­tère per­son­nel. laisse aux États mem­bres le soin de rég­ler les détails de la pro­cé­du­re d’im­po­si­ti­on des amen­des. Il ne res­sort pas non plus du con­sidé­rant 150 du RGPD qu’il en soit autre­ment ; celui-ci doit être lu dans son ensem­ble et dans son con­tex­te sys­té­ma­tique. Il se réfè­re à l’ar­tic­le 83 du RGPD et con­crè­te­ment aux règles qui y sont énon­cées con­cer­nant le mon­tant des amen­des, mais ne con­ti­ent pas de direc­ti­ves sur les con­di­ti­ons dans les­quel­les les infrac­tions com­mi­ses par des per­son­nes phy­si­ques eng­agent la responsa­bi­li­té d’u­ne per­son­ne mora­le ou d’u­ne asso­cia­ti­on de per­son­nes en matiè­re d’amendes.

Autri­che

En Autri­che, la Cour admi­ni­stra­ti­ve (Ver­wal­tungs­ge­richts­hof – VwGH) a déci­dé le 12 mai 2020 (Ro 2019÷04÷0229) a éga­le­ment déci­dé qu’u­ne amen­de au tit­re de l’ar­tic­le 83 du RGPD pou­vait être inf­li­gée à une per­son­ne mora­le. sup­po­se la preuve du com­porte­ment fau­tif d’u­ne per­son­ne diri­ge­an­te. Il s’est basé sur la situa­ti­on juri­di­que pré­vue par la loi ban­cai­re autri­chi­en­ne (BWG) :

29 Étant don­né que la per­son­ne mora­le ne peut pas agir elle-même, sa responsa­bi­li­té péna­le est, con­for­mé­ment à l’ar­tic­le 99d de la loi fédé­ra­le rela­ti­ve à la lut­te cont­re le blan­chi­ment d’ar­gent, une con­sé­quence du com­porte­ment illi­ci­te et fau­tif d’u­ne per­son­ne diri­ge­an­te. Par con­sé­quent, pour que l’ac­te de pour­suite diri­gé cont­re la per­son­ne mora­le soit effi­cace, il est néces­saire de décr­i­re pré­cis­é­ment l’ac­te de la per­son­ne physique. […]

Ces prin­cipes sont trans­posables au domaine du RGPD. La loi sur les sanc­tions admi­ni­stra­ti­ves (VStG) est applicable :

18 Au con­trai­re, l’im­po­si­ti­on d’a­men­des en ver­tu de l’ar­tic­le 83 du RGPD est sou­mi­se à la loi sur la pro­tec­tion des don­nées. LIA s’ap­pli­que dans la mesu­re oùLe RGPD ne pré­voit pas de règles plus spé­ci­fi­ques dans le cad­re de la prim­au­té d’application. […] […] 

20 L’au­to­ri­té requé­ran­te objec­te à l’e­xi­gence […] de dési­gner nom­mé­ment la per­son­ne phy­si­que dont le com­porte­ment illi­ci­te et fau­tif est impu­ta­ble à la per­son­ne mora­le que l’ar­tic­le 83 Le con­te­nu du RGPD est cal­qué sur les dis­po­si­ti­ons du droit de la con­cur­rence de l’U­ni­on euro­pé­en­ne. […]. […] […]

23 Con­trai­re­ment à l’im­po­si­ti­on d’a­men­des pour vio­la­ti­on des règles de con­cur­rence du droit de l’U­ni­on, les amen­des inf­li­gées par l’au­to­ri­té de con­trô­le d’un État membre pour vio­la­ti­on du RGPD en ver­tu de l’ar­tic­le 83, para­gra­phes 4 à 6, du RGPD sont des sanc­tions péna­les. (voir le con­sidé­rant 150 du RGPD). En out­re, con­for­mé­ment à l’ar­tic­le 83, para­gra­phe 8, du RGPD, con­trai­re­ment au pou­voir de la Com­mis­si­on euro­pé­en­ne d’in­f­li­ger des amen­des pour des infrac­tions au droit de la con­cur­rence de l’U­ni­on euro­pé­en­ne, l’e­xer­ci­ce du pou­voir de sanc­tion de l’au­to­ri­té de con­trô­le de chaque État membre doit être sou­mis non seu­le­ment à des garan­ties pro­cé­du­ra­les appro­priées du droit de l’U­ni­on (tel­les que la CCR), mais éga­le­ment à cel­les du droit des États mem­bres. En ce sens, l’im­po­si­ti­on d’a­men­des par la Com­mis­si­on euro­pé­en­ne pour des infrac­tions au droit de la con­cur­rence […] n’est pas comparable […].

24 Par­tant de ce cons­tat, la thè­se expo­sée dans la révi­si­on Juris­pru­dence de la CJCE con­cer­nant l’ab­sence d’ob­li­ga­ti­on de dési­gner les per­son­nes ayant com­mis une fau­te au sein d’u­ne ent­re­pri­se sanc­tion­née pour avoir enfreint le droit de la con­cur­rence de l’U­ni­on, ne s’ap­pli­que pas aux pro­cé­du­res rela­ti­ves à l’im­po­si­ti­on d’a­men­des par l’au­to­ri­té de con­trô­le d’un État membre con­for­mé­ment à l’ar­tic­le 83 du RGPD. […]

25 Selon l’ar­tic­le 44a Z 1 VStG, il est juri­di­quement néces­saire de décr­i­re l’in­frac­tion de maniè­re suf­fi­sam­ment pré­cise en ce qui con­cer­ne l’au­teur et les cir­con­stances de l’in­frac­tion, afin de per­mett­re l’at­tri­bu­ti­on du com­porte­ment de l’in­frac­tion à la dis­po­si­ti­on admi­ni­stra­ti­ve qui a été vio­lée par l’in­frac­tion, en ce qui con­cer­ne tous les élé­ments con­sti­tu­tifs de l’infraction […].

26 En l’e­spè­ce, dans l’in­vi­ta­ti­on à justi­fier adres­sée à la par­tie codé­te­nue à l’at­ten­ti­on de son gérant de droit com­mer­cial, l’au­to­ri­té requé­ran­te a iden­ti­fié les per­son­nes phy­si­ques dont le com­porte­ment, con­sidé­ré com­me con­sti­tu­tif d’u­ne infrac­tion, illé­gal et fau­tif, est impu­ta­ble à la par­tie codé­te­nue, non nom­méemais sim­ple­ment décrits com­me des “orga­nes ou col­la­bo­ra­teurs” de la par­tie co-pren­an­te. Dans le dis­po­si­tif de la décis­i­on péna­le de l’au­to­ri­té requé­ran­te, il n’est pas démon­tré que le com­porte­ment d’u­ne per­son­ne phy­si­que, con­sti­tu­tif d’u­ne infrac­tion, illé­gal et fau­tif, est impu­ta­ble à la par­tie codé­te­nue. Même dans l’ex­po­sé des motifs, l’au­to­ri­té requé­ran­te n’a pas révé­lé quel­le per­son­ne phy­si­que a con­crè­te­ment adop­té le com­porte­ment con­sti­tu­tif, illé­gal et fau­tif impu­ta­ble à la par­tie codé­te­nue en ce qui con­cer­ne les dif­fér­ents faits reprochés. […]