Le tribunal régional de Berlin réduit considérablement l'amende de plusieurs millions d'euros infligée à Deutsche Wohnen

Le juge président Simon Trost a déclaré que le tribunal constatait bien une infraction au RGPD, mais l'évaluait nettement moins sévèrement que l'autorité. „Wir sehen einen Verstoß gegen die Datenschutz-Grundverordnung“, a déclaré Trost. Il a simultanément souligné : „Wir sehen den Verstoß in einem milderen Licht.“ L'entreprise avait coopéré et travaillé à une solution technique, a-t-on indiqué pour justifier cette décision.

Un regard plus clément sur l'infraction

Malgré cette réduction considérable, le tribunal maintient sa critique de fond sur la conduite de l'entreprise. „Es wäre der Deutsche-Wohnen-Gruppe aus Sicht des Gerichts allerdings möglich gewesen, ‚es schneller auf den Weg zu bringen‘“, a déclaré Trost. L'entreprise s'était en outre comportée de manière „schuldhaft“, dans la mesure où elle n'avait pas pris suffisamment au sérieux son obligation de suppression régulière.

Le ministère public avait requis, après un procès d'environ trois mois, une amende de 7,3 millions d'euros et déclaré dans son réquisitoire que Deutsche Wohnen s'était „zu spät und nicht ausreichend bemüht“. Un délai transitoire de deux ans avait en outre été accordé. Le tribunal est finalement resté nettement en deçà de cette demande et n'a infligé que 900 000 euros – une réduction de 13,6 millions d'euros par rapport à la décision initiale.

Deutsche Wohnen elle-même avait plaidé l'acquittement et fait valoir que les données stockées avaient déjà été „gekappt“ durant la période pertinente, c'est-à-dire bloquées et protégées contre tout accès non autorisé. L'entreprise avait en outre souligné avoir investi, déjà avant la période mentionnée dans la décision, des millions dans la modernisation de son système d'archivage. Les juges n'ont été que partiellement convaincus par ces objections.

Un long parcours à travers les juridictions

Sur le plan procédural, l'affaire est déjà un montagnes russes juridiques : en 2021, le tribunal régional de Berlin avait d'abord annulé la décision de l'autorité et classé la procédure pour un obstacle procédural, au motif que l'autorité n'avait pas désigné de personne concrètement responsable de l'infraction présumée. Le ministère public a formé un recours, la chambre régionale de Berlin (Kammergericht) a soumis la question à la Cour de justice de l'Union européenne (CJUE).

En décembre 2023, la CJUE a décidé que les autorités de protection des données pouvaient infliger des amendes aux entreprises même lorsqu'elles n'avaient pas constaté d'infraction administrative imputable à une personne physique dirigeante. Dans le même temps, la CJUE a précisé : „Ein Bußgeld dürfe aber nur dann gegen ein Unternehmen verhängt werden, wenn der Verstoß ‚schuldhaft‘ begangen worden sei.“ Le tribunal régional a désormais appliqué ces principes.

Un effet de signal pour la pratique des amendes

Le jugement n'est pas encore définitif (référence du dossier 526 OWiG LG 1/20). Deutsche Wohnen est une filiale du groupe immobilier Vonovia, coté au DAX. Des observateurs considèrent cette décision comme porteuse d'orientations pour la future pratique des amendes des autorités allemandes de protection des données, dans la mesure où le critère de la CJUE a été appliqué pour la première fois dans son intégralité à une affaire d'envergure.

Les experts en protection des données voient dans ce jugement un double message : d'une part, il confirme que les infractions au RGPD peuvent être sanctionnées même sans la désignation d'une personne physique responsable ; d'autre part, il pose des limites nettes au montant de telles sanctions. Alors que l'autorité entendait initialement faire appliquer l'une des amendes RGPD les plus élevées d'Allemagne, la somme finalement infligée s'avère comparativement modeste.

Deutsche Wohnen a annoncé qu'elle attendrait la motivation écrite du jugement avant de décider d'éventuelles suites. L'autorité berlinoise de protection des données n'a pas non plus indiqué si elle formerait un recours. Reste donc à savoir si la confrontation juridique autour du traitement des données des locataires connaîtra un nouvel épisode.

Indépendamment de son issue, l'affaire a un effet de signal : elle montre combien il est difficile pour les autorités de surveillance d'apporter la preuve d'infractions concrètes chez les grands groupes, et elle renforce dans le même temps la position des entreprises concernées qui peuvent mettre en avant leur comportement coopératif et leurs solutions techniques.