Notion d’entreprise et RGPD – Manquement d’une filiale, une sanction groupe ?

Dans le cadre de leur mise en conformité au RGPD, de nombreuses entreprises, alertées par le risque d’une sanction pouvant atteindre 4 % du chiffre d’affaires mondial, ont cherché à limiter leurs expositions. Certaines ont ainsi mis en place des modèles de gouvernance complexes, visant parfois à contourner, de manière essentiellement formelle, la prise en compte du chiffre d’affaires consolidé du groupe, en jouant sur la notion de responsable de traitement. Mise à part, dans son considérant 150 [1], le RGPD restait silencieux quant à l’application précise de la notion d’Entreprise du droit de la concurrence. Il faudra attendre, les recommandations de l’European Data Protection Board (ci-après : « EDPB ») [2] ainsi que deux arrêts de la CJUE (d’une part Deutsche Wohnen en décembre 2023 [3] puis ILVA [4] en février 2025) pour clarifier le cadre juridique. 

Désormais, les conditions de l’application de la notion d’entreprise en matière de protection des données sont claires (I) et permettent d’en évaluer les conséquences (II). 

1. Contours de la notion d’Entreprise  

Notion fondamentale en droit de la concurrence et source d’une jurisprudence dense, la CJUE s’est progressivement tournée vers une notion fonctionnelle d’entreprise, s’affranchissant du statut juridique de ces entreprises (voir en ce sens les arrêts Hydrotherm [5] et Höfner [6]). Une Entreprise désigne « Toute entité exerçant une activité économique indépendamment du statut juridique de cette entité et de son mode de financement. Elle désigne ainsi une unité économique même si, du point de vue juridique, cette unité économique est constituée de plusieurs personnes physiques ou morales. Cette unité économique consiste en une organisation unitaire d’éléments personnels, matériels et immatériels poursuivant de façon durable un but économique déterminé. » [7]. 

L’unité économique se caractérise par une unité de comportement sur le marché. Pour l’établir, le juge va devoir établir deux éléments :  

 1.     Existence d’une influence déterminante établie via un faisceau d’indices autour des liens économiques, organisationnels et juridiques [8].  

  2.     Et que cette influence soit réellement exercée [9] ; 

L’existence d’une influence déterminante est présumée lorsqu’une société mère détient, directement ou indirectement via ses filiales, l’intégralité du capital de sa filiale (présomption réfragable dite “Azko “[10]).  

Il faut souligner que pour déterminer une influence, les juges prennent en compte différents éléments tels que le pouvoir de coordination, les liens capitalistiques, la détention de participations, l’objet du pacte d’actionnaire (tel que « assurer une direction et gestion unique des sociétés du groupe »), encore la vérification que les associés et gestionnaires d’une société sont aussi associés et gestionnaires d’autres sociétés du groupe.