Revue - Revue des contrats 1-2024 - 73

Droit de la concurrence
La possibilité pour l'autorité de concurrence d'examiner la légalité
d'un comportement avec le RGPD. En application de l'article 55,
paragraphe 1, l'application du RGPD est confiée dans chaque État
membre à une autorité de contrôle. En France, ce rôle est imparti à la
CNIL. Pour le traitement des cas transfrontaliers, l'article 56 organise
la coopération entre les autorités nationales et prévoit la désignation
d'une autorité chef de file, mais aucun mécanisme de coopération
avec les autorités de concurrence n'est organisé par le RGPD. La Cour
de justice devait dans ces conditions trancher la question de savoir
s'il était possible pour une autorité de concurrence de se prononcer
sur une éventuelle violation du RGPD. Elle pose un principe tout en
l'assortissant d'une condition.
Les autorités de contrôle du RGPD et les autorités nationales de concurrence
(ANC) exercent des fonctions et poursuivent des missions qui
leur sont propres. L'autorité de concurrence qui constate la violation
d'une règle de concurrence, comme un abus de position dominante,
ne veille pas au respect du RGPD dans le but visé à l'article 51, paragraphe
1. Elle n'exerce donc pas les missions dévolues aux autorités
de contrôle, puisqu'elle n'applique pas directement le RGPD. Toutefois,
pour établir un abus de position dominante, une autorité de concurrence
peut être amenée à examiner la conformité des comportements
de l'entreprise en position dominante avec d'autres normes. La même
solution vaut pour le RGPD. C'est une prise en considération. Pour établir
l'abus, l'ANC doit respecter les exigences du droit de la concurrence
et donc démontrer que « le comportement de l'entreprise a pour
effet de faire obstacle, par le recours à des moyens différents de ceux
qui gouvernent une compétition normale des produits ou des services,
au maintien du degré de concurrence existant sur le marché ou au
développement de cette concurrence ». Dans ce cadre, la violation du
RGPD est un indice du recours à « des moyens différents de ceux qui
gouvernent une compétition normale... ». En imposant ensuite des
mesures visant à la cessation de cet abus sur le fondement d'une base
juridique issue du droit de la concurrence - en l'occurrence, le pouvoir
d'injonction -, l'autorité ne fait pas davantage usage des pouvoirs
réservés par l'article 58 du RGPD à l'autorité de contrôle. Chacune des
autorités demeure dans son rôle.
La solution est certainement bienvenue, car, dans le monde numérique,
le traitement de ces données est devenu un paramètre significatif
de la concurrence. Priver les autorités de concurrence d'intégrer
le RGPD dans leur raisonnement aurait méconnu l'évolution
économique et aurait pu compromettre l'effectivité de la politique
de concurrence. Le principe ainsi posé est cependant assorti d'une
limite, qui est celle du principe de coopération loyale affirmé par l'article
4, paragraphe 3, du TUE.
La limite tenant au principe de coopération loyale. L'objectif est
évidemment d'éviter les divergences de solutions entre autorités. Si,
pour se prononcer sur un éventuel abus de position dominante, une
ANC est obligée de se prononcer sur la conformité au RGPD d'un traitement
de données à caractère personnel, elle doit se concerter avec
l'autorité de contrôle concernée, voire éventuellement dans les situations
transfrontalières avec l'autorité chef de file, et coopérer avec
elles pour assurer une application cohérente du RGPD. Concrètement,
l'ANC doit vérifier si ce comportement a déjà fait l'objet d'une décision
de l'autorité de contrôle nationale ou de l'autorité chef de file, voire
par la Cour de justice. Si tel est le cas, l'ANC ne peut s'écarter de la
décision en matière de protection des données, tout en restant libre
d'en tirer ses propres conclusions sous l'angle de l'application de la
règle de concurrence. En cas de doutes sur la portée de l'appréciation,
ou si elle considère que les conditions ne sont pas conformes au RGPD,
ou encore de procédures parallèles, l'ANC doit consulter ces autorités
et solliciter leur coopération pour lever les doutes ou déterminer
s'il y a lieu d'attendre une décision de leur part. L'autorité de contrôle
doit de son côté répondre aux demandes de renseignement ou de
coopération de l'ANC dans un délai raisonnable et lui communiquer
les informations dont elle dispose pour lever les doutes, l'informer de
l'activation d'une éventuelle procédure de coopération avec les autres
autorités de contrôle afin de parvenir à une décision sur le comportement.
En l'absence de réponse de l'autorité de contrôle dans un délai
raisonnable, ou d'objection de l'autorité de contrôle compétente, voire
de l'autorité chef de file, l'ANC peut poursuivre sa propre enquête. En
l'espèce, ces principes ont été respectés par le Bundeskartellamt qui a
pris contact avant l'adoption de la décision avec l'autorité de contrôle,
obtenu confirmation qu'aucune enquête n'avait été engagée et qu'il
n'y avait pas d'objection à son intervention.
La question des relations entre autorités de régulation n'est pas nouvelle.
Jusqu'à une époque récente, l'on avait pu penser que l'autorité de
concurrence primait en quelque sorte sur l'autorité sectorielle, puisqu'il
lui était possible de déclarer contraire aux règles de concurrence un
comportement antérieurement validé par une autorité sectorielle. Cette
primauté, déjà remise en cause récemment du moins dans les relations
avec le juge de droit commun (6)
, disparaît dans ce cas de figure.
Les conséquences de l'arrêt Meta. Si l'on attend toujours l'arrêt
de la juridiction allemande, les conséquences en France ont été
rapides. Compte tenu de la tradition de coopération entre l'Autorité
de la concurrence et les autres régulateurs économiques organisée
de longue date (7)
, l'intégration de cet arrêt dans notre système juridique
s'est faite aisément. L'Autorité avait déjà des contacts étroits
avec la CNIL (8)
, mais un nouveau pas a été franchi avec l'adoption le
12 décembre 2023 d'une déclaration conjointe des deux autorités sur
« Concurrence et données personnelles : une ambition commune ».
S'appuyant notamment sur l'arrêt Meta, les deux autorités s'engagent
à se concerter, non seulement pour apprécier la légalité des comportements
des opérateurs, mais également pour modeler les « remèdes »
susceptibles d'être adoptés tant en antitrust, qu'en contrôle des
concentrations. De son côté, la CNIL devrait tenir compte des situations
de position dominante tant dans l'appréciation du comportement des
utilisateurs que dans la fixation des éventuelles sanctions.
L'arrêt Meta laisse une question en suspens, mais on ne peut le reprocher
à la Cour saisie sur question préjudicielle. Si les rapports entre
les deux autorités générales de régulation que sont les autorités de
contrôle du RGPD et les autorités de concurrence sont désormais
clairement définis, il n'en est pas de même des relations avec le juge
de droit commun. Ce dernier peut tirer les conséquences civiles de la
violation des règles de concurrence et appliquer à ce titre l'article 102
du TFUE, comme il peut être saisi d'une action en réparation sur le fondement
du RGPD (9)
. Imaginons une demande fondée sur l'article 102
du TFUE à l'encontre de l'un des grands opérateurs du numérique
mais nécessitant une prise de position sur la compatibilité d'un comportement
au regard du RGPD. Les mécanismes de coopération entre
autorités ne fonctionnent pas dans une telle situation. Il ne restera
plus au juge de droit commun qu'à saisir la Cour de justice, voire
éventuellement à solliciter un avis de l'Autorité de la concurrence.
201u1
(6) L. Idot, « Droit de la concurrence et règles sectorielles : de nouvelles relations
? », JDE 2023, p. 38.
(7) Cette dernière est prévue par les textes : article 15 de la loi n° 2017-55 du
20 janvier 2017, portant statut général des autorités administratives indépendantes
et des autorités publiques indépendantes. V. également pour les demandes d'avis
de l'Autorité de la concurrence, C. com., art. R. 463-9.
(8) Aut. conc., Droit de la concurrence et protection des données personnelles,
discours devant la CNIL par B. Coeuré, 2 juin 2022, https://lext.so/aRhVeP.
(9) RGPD, art. 82.
Revue des contRats 1 - MaRs 2024
71
https://www.lext.so/aRhVeP
Revue - Revue des contrats 1-2024

Table des matières de la publication Revue - Revue des contrats 1-2024
