par Lionel-Camus LOKOSSOU, étudiant du Master 2 Droit des communications électroniques

Par une déclaration en date du 17 janvier 2025, le Comité Européen de la Protection des Données (CEPD) a pris position par rapport à la question de la coopération entre autorités de concurrence et autorités de contrôle en matière de protection des données à caractère personnel.
Le droit de la concurrence et le droit de la protection des données personnelles poursuivent des objectifs distincts, mais concourent chacun d’une manière qui lui est propre, à la protection des individus et de leurs choix.
Un chevauchement évident entre droit de la concurrence et droit des données personnelles
Le droit de la concurrence s’attache à garantir une concurrence libre et non faussée entre les entreprises sur le marché dans l’intérêt ultime des consommateurs. Ces derniers, rappelons-le, sont des personnes physiques que le droit de la protection des données personnelles protège, de son côté, contre les traitements illicites réalisés par les entreprises.
Sur le marché du numérique notamment, pour appréhender au mieux le comportement des entreprises et assurer de manière efficace une concurrence non faussée, les autorités de la concurrence doivent s’intéresser aux modèles économiques exploités par les entreprises, qui se reposent de plus en plus sur la collecte et le traitement des données personnelles des consommateurs. Une intercession entre droit de la concurrence et droit de la protection des données personnelles paraît ainsi évidente bien qu’ils aient des finalités distinctes, témoignant de la cohérence d’une nécessité de coopération entre les autorités de régulations des deux domaines.
Le traitement des données personnelles comme paramètre significatif de la concurrence
L’intercession entre les deux domaines de régulation est d’autant plus évidente que dans son arrêt en date du 4 juillet 2023 C-252/21 dans l’affaire opposant Meta à Bundeskartellamt, la CJUE a souligné que « l’accès aux données à caractère personnel et le fait qu’il soit possible de traiter ces données sont devenus un paramètre important de la concurrence entre entreprises dans l’économie numérique. Dès lors, exclure les règles relatives à la protection des données à caractère personnel du cadre juridique à prendre en considération par les autorités de concurrence lors de l’examen d’un abus de position dominante méconnaitrait la réalité de cette évolution économique et serait susceptible de porter atteinte à l’effectivité du droit de la concurrence au sein de l’Union Européenne ».
La Commission Européenne a d’ailleurs adopté la même position dans sa communication sur la définition du marché en cause aux fins du droit de la concurrence de l’Union en date du 22 février 2024.
La violation du Règlement Général sur la Protection des Données (RGPD) comme possible élément de caractérisation d’un abus de position dominante
Sur un marché pertinent, lorsque le consommateur est confronté à une restriction de choix, dans l’hypothèse où une entreprise serait en position dominante, il se retrouve obligé de recourir à l’offre de cette dernière qui met peut-être en œuvre une politique de confidentialité moins respectueuse de la vie privée et partant, non conforme au RGPD. Dans cette hypothèse, le comportement abusif de la position dominante de cette entreprise peut résulter du traitement non conforme au RGPD des données personnelles des consommateurs.
Mieux, sur le marché du numérique, le traitement des données personnelles des utilisateurs par les opérateurs peut constituer également un élément déterminant de l’existence d’abus de position dominante par les ‘’gatekeepers ‘’ pour autant que ces derniers exploitent de manière croisée dans un écosystème fermé les données personnelles des utilisateurs. Cela leur procure un avantage concurrentiel énorme et rend difficile voir impossible l’accès au marché aux concurrents potentiels. Une telle pratique rappelons-le est désormais encadré par le Digital Market Act (DMA).
Toutefois, soulignons-le, un abus de position dominante par une entreprise au sens de l’article 102 du Traité sur le Fonctionnement de l’Union Européenne (TFUE) peut être sans relation avec sa conformité ou non avec d’autres règles juridiques (y compris les règles en matière de protection des données à caractère personnel) comme a pu juger la CJUE dans un arrêt en date du 6 décembre 2012 dit « AstraZeneca ».
Rôle de la position dominante dans la validité du consentement au sens du RGPD.
Conformément au RGPD, le responsable du traitement peut fonder son traitement sur le consentement des personnes concernées.
Toutefois, la CJUE dans l’arrêt Méta précise qu’à supposer que l’entreprise du responsable du traitement occuperait sur le marché une position dominante, il ne peut valablement fonder le traitement sur la base légale du consentement que s’il est en mesure de prouver que même si les personnes concernées ne consentent pas au traitement ou si elles retirent leur consentement, cela ne produirait absolument aucune effet négatif pour elles, « notamment dans les cas où les personnes concernées se voient proposer une autre solution sans incidence négative ».
L’examen d’une position dominante pourrait donc être utile pour établir si le consentement donné par les personnes concernées est influencé par le responsable de traitement afin d’apprécier sa validité.
Une coopération obligatoire au sens du droit de l’Union
Le CEPD rappelle que la Cour à l’occasion de l’arrêt suscité a considéré que les autorités des deux domaines de régulation sont soumises à une obligation de coopération loyale en vertu de l’article 4 paragraphe 3 du TFUE.
Elle explicite que lorsque le Traité permet aux autorités de concurrence d’évaluer elles-mêmes dans le cadre de l’examen d’un abus de position dominante d’une entreprise, la conformité des conditions générales d’utilisation de cette dernière au RGPD, dans le seul cas où une telle évaluation s’avère indispensable pour établir l’existence de l’abus de position dominante, c’est sans préjudice de l’obligation de coopération avec les autorités en charge de la protection des données personnelles à laquelle elles sont soumises.
En effet, l’autorité nationale de la concurrence est tenue de se référer à l’autorité nationale de la protection des données personnelles et de travailler en synergie avec cette dernière, lorsqu’elle est amenée à apprécier, dans le cadre de ses attributions, la conformité du comportement d’une entreprise au RGPD pour caractériser un abus de position dominante.
Une coopération critiquable
Cette coopération apparait d’une part comme une limite du pouvoir dévolu aux autorités de concurrence qui sont liées par les décisions rendues par les autorités de contrôle en matière de données à caractère personnel. Par exemple en France, si la Commission Nationale de l’Informatique et des Libertés (CNIL), consultée par l’autorité française de la concurrence dans le cadre de l’examen d’un abus de position dominante procédant potentiellement de la violation du RGPD, considère qu’il n’y a pas violation du RGPD, l’autorité de la concurrence est liée par cette décision.
D’autre part, elle peut paraître comme un instrument encourageant les pratiques des entreprises qui se réfugient derrière le respect du RGPD pour justifier un abus de position dominante.
Mais en tout état de cause, le CEPD estime dans sa déclaration qu’une telle coopération est prometteuse d’une certaine cohérence des décisions prises dans les deux domaines juridiques, dans l’intérêt des individus et aussi des entreprises.
Une coopération existante à améliorer
A ce jour, le niveau de la coopération entre les autorités varie d’un État membre à un autre, une harmonisation par le droit de l’Union n’étant pas encore intervenue. Dans certains États, les autorités coopèrent de manière informelle à travers des consultations ad hoc en l’absence de loi qui prévoit cette obligation de coopération. Dans d’autres États, la coopération est « semi formelle » dans la mesure où même en absence de loi la prévoyant, les autorités décident volontairement de l’organiser à travers des accords de coopération régulière, coordonnée et structurée. Dans d’autres États encore, et c’est le meilleur des cas, la coopération est formelle pour autant que non seulement la loi la prévoit mais aussi les autorités l’organisent parallèlement de manière volontaire à travers des accords.
Dans tous les cas, le CEPD constate qu’au sein des États membres il existe déjà une coopération minimum entre les autorités qu’il faut améliorer et promouvoir.
En effet, le comité suggère des rencontres (ateliers, réunion etc..) informelles ou non entre les autorités nationales des deux domaines de régulation sur la base d’accords définissant les règles de coopération.
Il invite également les décideurs politiques de chaque État membre à se rendre compte de la nécessité de cette coopération notamment dans le domaine du numérique.
Aussi, suggère-t-il la mise en place au sein de chaque autorité, d’une équipe chargée de piloter la coopération qui fera office de « point de contact unique » avec les homologues de l’autre domaine de régulation.
Par ailleurs, il souligne la nécessité pour les autorités de se familiariser un minimum au cadre réglementaire des autres autorités avec lesquelles elles sont appelées à coopérer afin de rendre la coopération efficace et effective. Par exemple, il serait utile que les autorités de protection de données personnelles aient des connaissances de base sur des notions de droit de concurrence telles que le marché pertinent, la position dominante, ou encore l’abus de position dominante.
Sources :
- EDPB, Position paper on Interplay between data protection and competition law, 16 janvier 2025
- CJUE, n° C-252/21, Arrêt de la Cour, Meta Platforms Inc. e.a. contre Bundeskartellamt, 4 juillet 2023
- CJUE, n° C-457/10, Arrêt de la Cour, AstraZeneca AB et AstraZeneca plc contre Commission européenne, 6 décembre 2012
- COMMUNICATION DE LA COMMISSION,2024, Communication de la Commission sur la définition du marché en cause aux fins du droit de la concurrence de l’Union (C/2024/1645)