14,5 millions d’euros d’amende, sept ans de procédure et un arrêt de la CJUE. Le dossier Deutsche Wohnen SE s’est conclu sur une sanction de 900 000 euros. Bien plus qu’un précédent en droit de la protection des données, il livre des enseignements concrets pour toute entreprise qui archive des données personnelles sans politique d’effacement véritablement opérationnelle.
Les faits
Deutsche Wohnen SE, une société immobilière cotée en bourse dont le siège est à Berlin (environ 163 000 logements), conservait les données à caractère personnel d’anciens locataires dans un système d’archivage qui ne permettait pas techniquement de supprimer de manière ciblée certaines données. Des justificatifs de salaire, relevés bancaires, copies de cartes d’identité ainsi que des données fiscales et de sécurité sociale demeuraient donc dans le système, alors que la finalité initiale de leur conservation avait souvent disparu. Lors de contrôles effectués en juin 2017 et en mars 2019, l’autorité berlinoise chargée de la protection des données et de la liberté de l’information (BlnBDI) a constaté que les manquements subsistaient pour l’essentiel.
En octobre 2019, elle a infligé une amende administrative d’environ 14,5 millions € pour des violations présumées de l’art. 5 §1 a) c) et e), ainsi que de l’art. 25 §1 du RGPD. L’art. 5 §1 a) protège la licéité, le traitement loyal et la transparence, le §1 c) consacre le principe de minimisation des données, c’est-à-dire l’obligation de ne conserver que les données nécessaires et le §1 e) impose de limiter la conservation à la durée nécessaire. L’art. 25 §1 oblige quant à lui les entreprises à intégrer la protection des données dans la conception des systèmes et à prévoir des paramètres par défaut respectueux de la protection des données dans leurs systèmes et processus.
Outre le reproche principal tenant à l’absence de politique d’effacement, 15 cas individuels précis concernant d’anciens locataires portaient sur la poursuite du traitement de leurs données sans aucune base juridique au sens de l’art. 6 §1 du RGPD. Cette disposition détermine dans quelles conditions un traitement est licite. Les données n’avaient donc pas seulement été conservées trop longtemps, mais l’avaient été sans motif licite. L’autorité a infligé à ce titre des amendes administratives distinctes de 6 000 € à 17 000 € dans chaque cas.
Sept ans de procédure
Deutsche Wohnen a contesté la décision lui infligeant l’amende. En février 2021, le LG Berlin I a d’abord classé la procédure, la chambre doutant qu’en droit allemand une amende puisse être infligée directement à une entreprise sans identifier une personne concrète exerçant des fonctions dirigeantes. Saisie d’un recours du parquet, la Cour d’appel de Berlin a soumis la question à la CJUE. En décembre 2023, celle-ci a jugé, dans l’affaire C-807/21, que l’art. 83 du RGPD permet d’engager directement la responsabilité de l’entreprise. L’art. 83 fixe les conditions et le montant des amendes prévues par le RGPD ; selon cette décision, une amende peut être infligée directement à une entreprise sans qu’il soit nécessaire d’établir la faute d’une personne déterminée exerçant des fonctions de direction. La Cour d’appel de Berlin a infirmé la décision de classement et renvoyé l’affaire devant le Tribunal régional de Berlin. Celui-ci a ensuite tenu, dans une composition différente, plusieurs jours d’audience consacrés à l’examen des éléments de preuve.
Une correction substantielle de la décision de l’autorité
Le 9 juin 2026, le Tribunal régional de Berlin (réf. 526 OWi LG 1/20) a ramené l’amende administrative à 900 000 €, soit une réduction d’environ 94 %. Le jugement n’est pas encore définitif et peut faire l’objet d’un recours sur des points de droit.
La juridiction a notamment justifié cette réduction substantielle par le fait que Deutsche Wohnen avait déjà chargé des commissaires aux comptes externes, des consultants et des spécialistes informatiques d’adapter ses systèmes informatiques aux nouvelles règles. Les violations se situaient dans la phase d’introduction du RGPD. En outre, l’autorité berlinoise chargée de la protection des données avait elle aussi rencontré des difficultés à s’adapter au nouveau cadre juridique et à documenter de manière exploitable en justice la situation existante.
Cette affaire illustre l’intérêt d’une défense solide contre les amendes infligées au titre du RGPD. Les tribunaux ne sont pas liés par l’évaluation des autorités de contrôle, ils examinent eux-mêmes les éléments constitutifs, la période concernée, la faute et le montant de l’amende.
Ce que cela signifie pour votre entreprise
Pour chaque catégorie de données, par exemple les personnes concernées, les clients, les candidats, les anciens collaborateurs ou les anciens partenaires contractuels, il convient de documenter quelle finalité justifie encore la conservation après la fin de la relation commerciale et pendant combien de temps cette finalité subsiste. Il peut s’agir d’obligations fiscales de conservation, de la défense contre des droits invoqués pendant le délai de prescription ou d’obligations légales telles que la prévention du blanchiment de capitaux. Des mêmes données peuvent relever simultanément de plusieurs finalités assorties de durées différentes. Dans ces conditions, une règle générale consistant à « supprimer après X années » est trop sommaire.
Les systèmes utilisés doivent pouvoir mettre en œuvre ces durées par la suppression ou, lorsque cela est autorisé, par l’anonymisation. De simples restrictions d’accès ne remplacent pas l’effacement prévu par l’art. 17 du RGPD. Elles peuvent toutefois réduire le risque pendant une transformation documentée du système et ont aidé Deutsche Wohnen lors de la fixation de l’amende.
Les professionnels qui travaillent régulièrement avec des systèmes informatiques le savent bien : un système parfaitement conforme au RGPD relève du mouton à cinq pattes. Il faut donc exploiter au mieux les fonctionnalités disponibles et, lorsque la technique ne suffit pas, mettre en place des procédures organisationnelles pour documenter les lacunes et les combler efficacement