ECLI:EU:C:2026:750

Texte intégral

Édition provisoire

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. CAMPOS SÁNCHEZ-BORDONA

présentées le 10 septembre 2026 (1)

Affaire C‑458/25

Gegevensbeschermingsautoriteit

contre

Onderwijsgroep Zusters der Christelijke Scholen Zuid-Kempen VZW

[demande de décision préjudicielle formée par le Hof van Cassatie (Cour de cassation, Belgique)]

« Renvoi préjudiciel — Protection des données à caractère personnel — Règlement (UE) 2016/679 — Conditions générales pour imposer des amendes administratives — Article 83, paragraphe 7 — Faculté pour les États membres d’établir les règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées aux autorités publiques et aux organismes publics — Notions d’“autorité publique” et d’“organisme public” — Personne morale de droit privé dispensant un enseignement subventionné et gratuit — Exemption de l’amende administrative prévue dans la législation nationale — Traitement des données à caractère personnel des personnes mineures »

1. En 2019, l’autorité belge compétente en matière de protection des données à caractère personnel (2) a infligé une amende administrative à une entité détenant un établissement d’enseignement subventionné pour avoir enfreint la législation en la matière.

2. L’article 83, paragraphe 7, du règlement (UE) 2016/679 (3) permet aux États membres d’établir « les règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées à des autorités publiques et à des organismes publics » qui enfreignent les dispositions de ce règlement. Le législateur belge a fait usage de cette disposition pour exclure les autorités publiques du champ d’application des amendes administratives, sauf dans le cas où il s’agit de personnes morales de droit public qui offrent des biens ou des services sur un marché.

3. Le présent renvoi préjudiciel porte sur le point de savoir si une personne morale de droit privé qui dispense un enseignement libre subventionné constitue une « autorité publique », au sens de l’article 83, paragraphe 7, du RGPD.

I. Le cadre juridique

A. Le droit de l’Union : le RGPD

4. Le considérant 38 du RGPD est libellé comme suit :

« Les enfants méritent une protection spécifique en ce qui concerne leurs données à caractère personnel parce qu’ils peuvent être moins conscients des risques, des conséquences et des garanties concernées et de leurs droits liés au traitement des données à caractère personnel. Cette protection spécifique devrait, notamment, s’appliquer à l’utilisation de données à caractère personnel relatives aux enfants à des fins de marketing ou de création de profils de personnalité ou d’utilisateur et à la collecte de données à caractère personnel relatives aux enfants lors de l’utilisation de services proposés directement à un enfant. Le consentement du titulaire de la responsabilité parentale ne devrait pas être nécessaire dans le cadre de services de prévention ou de conseil proposés directement à un enfant ».

5. L’article 5 (intitulé « Principes relatifs au traitement des données à caractère personnel »), paragraphe 1, prévoit :

« Les données à caractère personnel doivent être :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

[...]

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

[...] ».

6. L’article 6 du RGPD (intitulé « Licéité du traitement »), paragraphe 1, dispose :

« Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

[...]

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

[...] ».

7. L’article 8 du RGPD (intitulé « Conditions applicables au consentement des enfants en ce qui concerne les services de la société de l’information ») prévoit :

« 1. Lorsque l’article 6, paragraphe 1, point a), s’applique, en ce qui concerne l’offre directe de services de la société de l’information aux enfants, le traitement des données à caractère personnel relatives à un enfant est licite lorsque l’enfant est âgé d’au moins 16 ans. Lorsque l’enfant est âgé de moins de 16 ans, ce traitement n’est licite que si, et dans la mesure où, le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant.

Les États membres peuvent prévoir par la loi un âge inférieur pour ces finalités pour autant que cet âge inférieur ne soit pas en-dessous de 13 ans.

2. Le responsable du traitement s’efforce raisonnablement de vérifier, en pareil cas, que le consentement est donné ou autorisé par le titulaire de la responsabilité parentale à l’égard de l’enfant, compte tenu des moyens technologiques disponibles.

[...] ».

8. L’article 57 du RGPD (intitulé « Missions »), paragraphe 1, indique :

« Sans préjudice des autres missions prévues au titre du présent règlement, chaque autorité de contrôle, sur son territoire :

[...]

b) favorise la sensibilisation du public et sa compréhension des risques, des règles, des garanties et des droits relatifs au traitement. Les activités destinées spécifiquement aux enfants font l’objet d’une attention particulière ;

[...] ».

9. L’article 58 du RGPD (intitulé « Pouvoirs »), paragraphe 2, dispose :

« Chaque autorité de contrôle dispose du pouvoir d’adopter toutes les mesures correctrices suivantes :

[...]

d) ordonner au responsable du traitement ou au sous-traitant de mettre les opérations de traitement en conformité avec les dispositions du présent règlement, le cas échéant, de manière spécifique et dans un délai déterminé ;

[...]

i) imposer une amende administrative en application de l’article 83, en complément ou à la place des mesures visées au présent paragraphe, en fonction des caractéristiques propres à chaque cas ;

[...] ».

10. L’article 83 du RGPD (intitulé « Conditions générales pour imposer des amendes administratives ») prévoit :

« 1. Chaque autorité de contrôle veille à ce que les amendes administratives imposées en vertu du présent article pour des violations du présent règlement visées aux paragraphes 4, 5 et 6 soient, dans chaque cas, effectives, proportionnées et dissuasives.

2. Selon les caractéristiques propres à chaque cas, les amendes administratives sont imposées en complément ou à la place des mesures visées à l’article 58, paragraphe 2, points a) à h), et j). [...]

[...]

7. Sans préjudice des pouvoirs dont les autorités de contrôle disposent en matière d’adoption de mesures correctrices en vertu de l’article 58, paragraphe 2, chaque État membre peut établir les règles déterminant si et dans quelle mesure des amendes administratives peuvent être imposées à des autorités publiques et à des organismes publics établis sur son territoire.

[...] ».

B. Le droit belge : la loi relative à la protection des données

11. Conformément à l’article 5 de la loi relative à la protection des données (4) :

« Les définitions du [RGPD] s’appliquent.

Pour l’application de la présente loi, on entend par “autorité publique” :

1° l’État fédéral, les entités fédérées et les autorités locales ;

2° les personnes morales de droit public qui dépendent de l’État fédéral, des entités fédérées ou des autorités locales ;

3° les personnes, quelles que soient leur forme et leur nature qui :

– ont été créées pour satisfaire spécifiquement des besoins d’intérêt général ayant un caractère autre qu’industriel ou commercial ; et

– sont dotées de la personnalité juridique ; et

– dont soit l’activité est financée majoritairement par les autorités publiques ou organismes mentionnés au 1° ou 2°, soit la gestion est soumise à un contrôle de ces autorités ou organismes, soit plus de la moitié des membres de l’organe d’administration, de direction ou de surveillance sont désignés par ces autorités ou organismes ;

4° les associations formées par une ou plusieurs autorités publiques visées au 1°, 2° ou 3° ».

12. L’article 221, paragraphe 2, de la LPD dispose :

« L’article 83 du [RGPD] ne s’applique pas aux autorités publiques et leurs préposés ou mandataires sauf s’il s’agit de personnes morales de droit public qui offrent des biens ou des services sur un marché ».

II. Les faits, le litige et les questions préjudicielles

13. Le 22 juillet 2019, le père d’un élève a déposé une plainte auprès de l’APD contre un établissement dispensant un enseignement libre subventionné appartenant à l’Onderwijsgroep Zusters der Christelijke Scholen Zuid-Kempen VZW (Groupe d’enseignement des Sœurs des Écoles chrétiennes de Zuid-Kempen, association sans but lucratif ; ci‑après l’« OZCS »).

14. Cette plainte concernait une enquête relative au bien-être des élèves qui leur avait été adressée par l’intermédiaire d’une plateforme numérique. Le plaignant dénonçait le fait que l’établissement :

a) n’avait pas préalablement informé les parents de l’enquête ;

b) n’avait pas recueilli leur consentement ;

c) avait traité plus de données que nécessaire ; et

d) avait agi de manière illégale, en ne réalisant pas une analyse de l’impact des opérations de traitement sur la protection des données à caractère personnel.

15. Le 16 juin 2020, l’APD a conclu que l’OZCS était responsable du traitement des données et a constaté quatre infractions au RGPD concernant : a) l’article 6, paragraphe 1, b) l’article 8, c) l’article 5, paragraphe 1, sous c), et d) l’article 5, paragraphe 1, sous a), lu en combinaison avec l’article 12, paragraphe 1, et avec l’article 13, du RGPD.

16. L’APD a ordonné que le traitement soit mis en conformité avec les dispositions enfreintes du RGPD et a imposé à l’OZCS une amende administrative de 2 000 euros.

17. L’OZCS a formé un recours contre la décision de l’APD devant le Marktenhof (cour des marchés, Belgique). Ce dernier, par arrêt du 18 novembre 2020, a jugé, pour ce qui nous intéresse en l’espèce, que la décision de l’APD n’était pas suffisamment motivée en ce qui concerne l’exemption prévue à l’article 221, paragraphe 2, de la LPD. Il a ordonné à l’APD de réexaminer et de motiver la décision en ce qui concerne l’amende administrative.

18. Le 15 mars 2021, en exécution de l’arrêt rendu par le Marktenhof (cour des marchés), l’APD a décidé d’imposer une amende administrative au motif qu’un établissement dispensant un enseignement libre subventionné, bien qu’étant une autorité publique au sens de l’article 5, deuxième alinéa, de la LPD, ne l’est pas au sens de l’article 83, paragraphe 7, du RGPD. Cette fois, le montant de l’amende administrative a été fixé à 1000 euros.

19. Saisi d’un nouveau recours, le Marktenhof (cour des marchés) a jugé, par arrêt du 6 octobre 2021, que l’APD ne pouvait pas imposer une amende administrative à l’OZCS et a, en conséquence, annulé la décision attaquée.

20. L’APD s’est pourvue en cassation devant le Hof van Cassatie (Cour de cassation, Belgique), qui, par arrêt du 9 janvier 2023, a annulé l’arrêt du 6 octobre 2021 et a renvoyé l’affaire devant le Marktenhof (cour des marchés).

21. Par arrêt du 27 février 2024, le Marktenhof (cour des marchés) a fait droit au recours de l’OZCS et a annulé la décision de l’APD, déclarant qu’elle ne pouvait imposer aucune amende administrative.

22. L’APD s’est pourvue en cassation contre l’arrêt du 27 février 2024 devant le Hof van Cassatie (Cour de cassation), qui a saisi la Cour de la question préjudicielle suivante :

« L’article 83, paragraphe 7, du [RGPD], lu en combinaison avec les considérants 38 et 58, l’article 6, paragraphe 1, sous f), l’article 8, et l’article 57, paragraphe 1, sous b), de ce règlement s’oppose-t-il à une réglementation de droit national en vertu de laquelle l’autorité de contrôle ne peut pas imposer d’amende administrative à des personnes morales de droit privé qui dispensent un enseignement libre subventionné ? »

III. La procédure devant la Cour

23. La demande de décision préjudicielle a été enregistrée au greffe de la Cour le 11 juillet 2025.

24. Des observations écrites ont été déposées par l’OZCS, l’APD, les gouvernements belge et bulgare ainsi que par la Commission européenne. Tous, à l’exception de l’OZCS, ont comparu à l’audience qui s’est tenue le 20 mai 2026.

IV. Analyse

A. Observations préliminaires

25. La juridiction de renvoi souhaite savoir si une personne morale de droit privé dispensant un enseignement libre subventionné est une autorité publique au sens de l’article 83, paragraphe 7, du RGPD, compte tenu de la protection spécifique des enfants prévue par la réglementation en matière de protection des données (5).

26. Cette dernière précision de la question préjudicielle lie la notion d’« autorités publiques » à la qualité des personnes (mineures, en l’espèce) dont les données ont pu faire l’objet d’un traitement illicite. C’est ainsi que la juridiction de renvoi établit un lien entre l’article 83, paragraphe 7, du RGPD et les considérants (6) ou les dispositions de ce règlement qui concernent les personnes mineures.

27. À l’instar de la Commission (7), je suis d’avis qu’un tel lien n’est pas nécessaire pour répondre à la demande de décision préjudicielle. La notion d’« autorités publiques et organismes publics » ne dépend pas du bien juridique lésé dans chaque cas. Les « autorités publiques et organismes publics » le sont en raison de leur nature et de leurs caractéristiques intrinsèques, et non du fait des comportements illicites dont ils pourraient être responsables, ni des personnes dont les droits et les intérêts ont été lésés. Cette notion a une seule et unique signification, et non pas des significations différentes selon le domaine et les circonstances dans lesquels les autorités et organismes relevant de cette définition exercent leur activité.

28. En conséquence, je m’en tiendrai, dans la suite des présentes conclusions, à l’interprétation de l’article 83, paragraphe 7, du RGPD sans aborder de manière spécifique les règles de protection des personnes mineures, que je n’évoquerai que dans la partie finale de mes conclusions.

29. Dans le cadre de cette tâche herméneutique, j’accorderai une attention particulière au fait que le RGPD vise à garantir un niveau élevé de protection de (toutes) les personnes physiques au sein de l’Union au moyen d’instruments de nature diverse, parmi lesquels figurent les sanctions. Le RGPD instaure un cadre juridique qui met en œuvre les exigences découlant du droit à la protection des données à caractère personnel protégé par l’article 8 de la charte des droits fondamentaux de l’Union européenne (8).

30. Cela étant dit, la première question qui se pose est celle de savoir si la notion litigieuse relève des droits nationaux ou du droit de l’Union.

B. Les « autorités publiques et organismes publics » en tant que notion autonome du droit de l’Union

31. Ni l’article 83, paragraphe 7, du RGPD ni aucune autre disposition de celui-ci ne définit la notion d’« autorités publiques et organismes publics ». Au vu de ce silence :

– selon l’OZCS et le gouvernement belge, il appartient aux États membres de définir ces notions (9) ;

– au contraire, selon l’ADP et la Commission, en l’absence de renvoi exprès aux droits nationaux, l’application cohérente et homogène du droit de l’Union exige que ces notions soient interprétées de manière uniforme, comme il convient de le faire pour une notion autonome du droit de l’Union.

32. La thèse en faveur du caractère autonome de l’expression « autorités publiques et organismes publics » présente, selon moi, des arguments plus convaincants.

33. En premier lieu, l’article 83, paragraphe 7, du RGPD ne renvoie pas aux droits nationaux pour la définition de ces notions (10). Selon une jurisprudence constante de la Cour, il découle des exigences tant de l’application uniforme du droit de l’Union que du principe d’égalité que, si les termes d’une disposition du droit de l’Union ne comportent aucun renvoi exprès au droit des États membres pour déterminer son sens et sa portée, ladite disposition doit faire l’objet, dans toute l’Union européenne, d’une interprétation autonome et uniforme.

34. En second lieu, l’article 83, paragraphe 7, du RGPD fait référence aux « règles » nationales uniquement en ce qui concerne la possibilité de déterminer si et dans quelle mesure des amendes administratives peuvent être imposées à des autorités publiques et à des organismes publics. Comme l’explique l’ADP, la marge d’appréciation que cette disposition confère aux États membres se limite uniquement à leur faculté de les exempter de ces amendes (totalement ou partiellement) et ne comprend pas la compétence de déterminer quelles autorités sont concernées.

35. En troisième lieu, avant l’adoption du RGPD, les sanctions pour violation des règles en matière de protection des données étaient, dans une large mesure, laissées à la discrétion des États membres (11). En adoptant le RGPD, le législateur de l’Union a choisi de modifier cette situation, afin que les autorités de contrôle imposent des sanctions équivalentes (12) en cas de violation de ce règlement.

36. En quatrième lieu, la notion d’« autorité publique » figure dans un nombre considérable de dispositions du RGPD (13), ce qui laisse supposer que le législateur de l’Union n’a pas entendu confier aux États membres le soin de définir une catégorie d’une telle importance au sein du système instauré par ce règlement.

37. En cinquième lieu, la Cour a apprécié l’autonomie conceptuelle d’autres notions clés du RGPD qui, à l’instar de celle examinée en l’espèce, ne renvoient pas aux droits nationaux pour leur définition. Il en va ainsi, par exemple, des dommages dont l’indemnisation peut être exigée de la personne ayant enfreint le règlement (14).

38. Enfin, le RGPD vise à « [...] assurer une application cohérente et homogène des règles de protection des libertés et des droits fondamentaux de ces personnes [physiques] à l’égard du traitement de telles données [personnelles] dans l’ensemble de l’Union » (15).

39. En particulier, comme l’a souligné l’APD (16), le législateur de l’Union a souhaité « renforcer et […] harmoniser les sanctions administratives applicables en cas de violation du présent règlement » (17). À cette fin, il a créé un système de sanctions sans précédent dans la plupart des autres domaines du droit de l’Union.

40. L’objectif d’harmonisation ne serait ni cohérent ni uniforme s’il reconnaissait aux États membres la liberté absolue de déterminer la portée de la notion d’« autorité publique » visée à l’article 83, paragraphe 7, du RGPD et, partant, d’exempter, à leur discrétion et par un simple acte de volontarisme législatif, certaines entités des amendes administratives applicables en vertu du RGPD. Il suffirait de qualifier comme telles des entités dont la nature ne correspond pas, en réalité, à l’objectif qui sous-tend l’exemption litigieuse.

41. Je rappelle que, selon la Cour, il découle d’une lecture conjointe des articles 83 et 84 du RGPD que les États membres ne sont pas compétents pour déterminer les conditions de fond permettant d’infliger des amendes administratives, exigences qui relèvent uniquement du droit de l’Union (18).

42. Le problème qui se pose ici est similaire, mutatis mutandis, à celui auquel la Cour a été confrontée lorsqu’elle a dû déterminer si la notion d’« autorité judiciaire », visée à l’article 6, paragraphe 1, de la décision-cadre 2002/584/JAI (19), était une notion autonome ou si son sens et sa portée étaient laissés à l’appréciation de chaque État membre. La Cour a jugé sans équivoque que cette notion exigeait une interprétation autonome et uniforme dans toute l’Union (20).

43. En somme, je considère que la notion d’« autorités publiques et organismes publics » figurant à l’article 83, paragraphe 7, du RGPD constitue une notion autonome du droit de l’Union, dont la définition ne relève pas des différents droits nationaux.

C. La notion d’« autorités publiques et organismes publics »

1. Critère de l’interprétation littérale

44. L’interprétation de l’expression en cause, d’un point de vue littéral, suggère que la combinaison du substantif « autorité » (ou organisme) et de l’adjectif « public » décrit un ensemble d’entités qui se caractérisent, dans une première approche, par l’exercice de fonctions relevant de l’imperium, c’est-à-dire des pouvoirs exorbitants par rapport à ceux qui résultent des règles applicables dans les relations entre particuliers.

45. Une autorité publique ou un organisme public peut intervenir dans la vie économique sans exercer les pouvoirs que leur confère leur statut privilégié (c’est-à-dire en agissant comme un acteur parmi d’autres, dans les mêmes conditions que les autres, soumis au droit privé). Or, ce qui caractérise à proprement parler l’exercice de l’autorité publique est, sur les plans organisationnel et fonctionnel, son statut et ses prérogatives ou pouvoirs exorbitants, régis par le droit public.

46. La qualification d’une entité en tant qu’autorité publique est donc liée à l’exercice d’activités menées conformément au régime juridique qui est propre à un pouvoir de l’État (au sens large), en excluant les activités qu’elle mène dans les mêmes conditions juridiques que les opérateurs économiques privés.

47. L’utilité de l’interprétation textuelle est toutefois limitée en l’espèce. En effet, la même expression ou une expression analogue a été employée, selon les domaines du droit de l’Union dans lesquels elle s’applique, dans des sens divergents, auxquels je ferai référence ci‑après.

2. Critère de l’interprétation systématique

48. Le droit de l’Union est relativement riche en définitions des notions d’« autorité », de « pouvoir public », d’« organisme public » et d’autres notions équivalentes. La Cour a, quant à elle, été amenée à interpréter ces notions dans différents contextes.

49. Ces définitions ont été élaborées en fonction des caractéristiques des dispositions dans lesquelles elles figurent et des objectifs que celles-ci servent. Il en résulte que, selon les domaines du droit, il existe des disparités, parfois importantes, quant à la portée plus ou moins large de ces notions.

50. La raison d’une divergence aussi marquée dans les définitions d’une même catégorie formelle réside dans le fait que, aux fins de l’interprétation d’une notion autonome du droit de l’Union, il convient de tenir particulièrement compte du contexte dans lequel elle est utilisée et des objectifs poursuivis par la réglementation dont elle fait partie (21).

51. À titre d’exemple, j’évoquerai plus loin certains de ces domaines. Toutefois, je procéderai avant cela à une lecture combinée de l’article 83, paragraphe 7, du RGPD avec d’autres dispositions et considérants de ce règlement qui font référence aux notions en cause.

52. Le législateur de l’Union n’assimile pas la notion d’« autorités publiques » à celle d’« organismes privés agissant dans l’intérêt public » (22). Dans le préambule du RGPD (23), il est fait référence à « l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique », ce qui m’amène à conclure que les missions d’intérêt public ne doivent pas être confondues avec l’exercice de l’autorité publique.

53. Il ressort de la dernière phrase du considérant 45 du RGPD, lu en combinaison avec l’article 79, paragraphe 2 (24), de ce règlement, que les missions d’intérêt public sont celles qui peuvent être confiées à des personnes physiques ou morales « de droit privé, telle qu’une association professionnelle », tandis que les missions relevant de l’exercice de l’autorité publique ou de prérogatives de puissance publique ne peuvent être accomplies que par une « autorité publique ou une autre personne physique ou morale de droit public ».

54. Dans le même ordre d’idées, le considérant 31 du RGPD fournit des exemples d’« autorités publiques », à savoir les autorités fiscales et douanières, les autorités des marchés financiers ou les cellules d’enquête financière et les autorités administratives, qui exercent à proprement parler des pouvoirs d’imperium.

55. Je déduis de ces éléments que la notion d’« autorités publiques et organismes publics » figurant à l’article 83, paragraphe 7, du RGPD vise uniquement les autorités ou organismes de droit public chargés de l’exécution de missions relevant de l’exercice de l’autorité publique ou de prérogatives de puissance publique.

56. Le fait qu’une entité de droit privé exerce une mission d’intérêt général ou public ne suffit pas pour la qualifier d’« autorité publique ou organisme public » au sens de l’article 83, paragraphe 7, du RGPD. Une interprétation contraire permettrait aux États membres d’étendre de manière excessive la portée de l’exception et créerait des disparités significatives entre les États membres.

57. Cela étant, je me pencherai ci-après sur l’utilisation qui a été faite des notions en cause par d’autres règles du droit de l’Union.

a) Passation de marchés publics

58. Dans le domaine des marchés publics relevant de la directive 2014/24/UE (25) (et, auparavant, de la directive 2004/18/CE) (26), il existe une définition large des notions de « pouvoirs adjudicateurs » et d’« organisme de droit public ».

59. En ce qui concerne l’article 1^er, paragraphe 9, de la directive 2004/18, la Cour a défini son champ d’application de manière suffisamment souple pour garantir que « [...] les règles en matière, notamment, de transparence et de non‑discrimination s’imposant dans le cadre de la passation de marchés publics s’appliquent à un ensemble d’entités étatiques qui ne font pas partie de l’administration publique mais qui sont néanmoins contrôlées par l’État, notamment au moyen de leur financement ou de leur gestion » (27).

60. La Cour applique une notion extensive d’autorité ou d’organisme public adjudicateur du marché, au point de reconnaître cette qualité à des entités constituées sous la forme d’associations relevant du droit privé et exerçant certaines activités qui ne revêtent pas nécessairement un caractère public (28).

b) La TVA

61. Aux termes de l’article 13, paragraphe 1, de la directive 2006/112/CE (29), « [...] les autres organismes de droit public ne sont pas considérés comme des assujettis [à la TVA] pour les activités ou opérations qu’ils accomplissent en tant qu’autorités publiques, même lorsque, à l’occasion de ces activités ou opérations, ils perçoivent des droits, redevances, cotisations ou rétributions [...] » (30).

62. La Cour a jugé que la règle générale sur laquelle se fonde le système commun de la TVA est que le champ d’application de cette taxe est défini de manière très large comme couvrant toutes les prestations de services fournies à titre onéreux, y compris celles fournies par les organismes de droit public (31). Les dérogations à cette règle sont d’interprétation stricte (32).

63. La jurisprudence utilise une notion très étroite pour exclure les organismes publics de la qualité d’assujetti à la TVA. Elle écarte la possibilité d’appliquer, dans ce domaine, des notions admises dans celui des marchés publics et confère une importance particulière au fait que l’entité exerce des prérogatives de puissance publique (33).

c) Les entités faisant partie de l’État aux fins de l’application des directives (en général)

64. La Commission suggère à la Cour de suivre sa jurisprudence relative à l’exclusion de l’effet direct des directives entre particuliers pour déterminer si, en l’espèce, il peut être question d’une autorité publique ou d’un organisme public (34).

65. Selon la Commission, il résulterait de cette jurisprudence qu’une entité fait partie de l’État : a) soit parce qu’elle est une personne morale de droit public faisant partie de l’État au sens large, b) soit parce qu’elle est soumise à l’autorité ou au contrôle d’une autorité publique, c) soit parce qu’elle a été chargée, par une telle autorité, d’exercer une mission d’intérêt public et a été dotée, à cet effet, de pouvoirs exorbitants. Les deux dernières hypothèses pourraient, toujours selon la Commission, s’appliquer au litige en cause.

66. À mon avis, cette suggestion, débattue entre les parties lors de l’audience, ne devrait pas être interprétée comme une invitation à transposer mécaniquement et sans nuance la jurisprudence invoquée par la Commission. Celle-ci a été élaborée dans un cadre très spécifique (l’efficacité des directives) afin de résoudre une question sans rapport avec celle qui est soulevée en l’espèce et je doute de son utilité dans le cadre du présent litige.

67. La jurisprudence relative à l’effet direct des directives répond à la nécessité de pallier au manquement des États membres quant à leur obligation d’adopter les mesures d’exécution que ces directives leur imposent. À cette fin, le régime commun de mise en œuvre et d’efficacité de l’une des sources du droit de l’Union est, dans certaines circonstances et sous certaines conditions, nuancé. Cette jurisprudence retient un critère fondé sur l’intégration fonctionnelle, dans la structure de l’État, des entités à l’égard desquelles les particuliers peuvent invoquer directement les dispositions d’une directive.

68. Outre les entités dont le caractère d’autorité publique est notoire, la jurisprudence attribue cette qualité aux organismes qui, quelle que soit leur forme juridique, sont chargés, en vertu d’un acte de l’autorité publique, d’accomplir, sous le contrôle de cette dernière, un service d’intérêt public et disposent, à cet effet, de pouvoirs exorbitants par rapport aux règles applicables dans les relations entre particuliers (35).

69. Il s’agit, en définitive, d’entités qui agissent sur le plan fonctionnel comme des organes de la puissance publique, accomplissant des tâches d’intérêt général sous la tutelle de l’État et utilisant des pouvoirs propres d’imperium. Ce sont des entités qui, dans une certaine mesure, sont l’État qui a manqué à l’obligation d’adopter les mesures imposées par une directive dont l’efficacité a été compromise.

70. L’ensemble de cet argumentaire complexe a peu de rapport avec les dispositions de l’article 83, paragraphe 7, du RGPD, qui autorise les États membres à introduire une exception, d’une portée qualitativement limitée, dans le régime des sanctions. Une telle exception n’est pas comparable à celle – d’origine prétorienne – qui affecte le régime d’efficacité de l’une des sources du droit de l’Union (les directives). L’exception s’inscrit dans le RGPD comme l’un des éléments constitutifs du système de sanctions qui protège les données à caractère personnel. La notion d’« autorités publiques et organismes publics » ne saurait donc être mise sur le même plan que celles utilisées pour délimiter l’efficacité des directives.

71. En résumé, des contextes et des objectifs différents donnent lieu à des notions dont le contenu varie.

72. En tout état de cause, si l’interprétation systématique devait prévaloir, j’estime que la notion d’« autorités publiques et organismes publics », figurant à l’article 83, paragraphe 7, du RGPD, devrait faire l’objet d’une interprétation restrictive ; plus proche, par conséquent, de celle qui prévaut dans la directive 2006/112.

73. En effet, l’article 83, paragraphe 7, du RGPD doit recevoir une interprétation stricte, en ce qu’il introduit une exception (facultative) au régime général de sanctions harmonisées prévu par le RGPD (36).

3. Critère de l’interprétation contextuelle et téléologique

74. La notion d’« autorités publiques et organismes publics » doit être définie en fonction du contexte et de la finalité de la disposition dans laquelle elle s’insère.

75. En ce qui concerne le contexte, la règle relève, comme je l’ai indiqué, du régime d’application des amendes administratives aux personnes qui enfreignent le RGPD. L’exception en cause empêche l’application d’un instrument de sanction caractérisé par son effet dissuasif, en prévoyant l’exemption de certaines amendes administratives qui constituent « un élément clé pour garantir le respect des droits de ces personnes [physiques], conformément à la finalité d[u] [RGPD] d’assurer un niveau élevé de protection de telles personnes à l’égard du traitement des données à caractère personnel » (37).

76. Certes, il existe, outre les amendes administratives, d’autres mesures qui contribuent à garantir une application effective du RGPD (38). Toutefois, l’importance des amendes administratives visées aux paragraphes 4 à 6 de l’article 83 du RGPD témoigne de la ferme volonté du législateur de mettre en place un système solide garantissant l’efficacité de ses dispositions. La force dissuasive d’amendes administratives susceptibles d’être considérablement élevées s’érige ainsi en un élément clé du système de sanctions.

77. En outre, l’amende administrative a fait spécifiquement l’objet d’une harmonisation. L’article 84, paragraphe 1, du RGPD permet, en revanche, aux États membres de déterminer « [...] le régime des autres sanctions applicables en cas de violations du présent règlement, en particulier pour les violations qui ne font pas l’objet des amendes administratives prévues à l’article 83 [...] ».

78. La genèse de l’article 83, paragraphe 7, du RGPD met en évidence le lien entre l’importance économique des amendes administratives qui y sont prévues et l’exception litigieuse.

79. La proposition initiale de la Commission prévoyait des plafonds pour les amendes administratives compris entre 250 000 et 1 million d’euros et jusqu’à 2 % du chiffre d’affaires annuel (39). À l’initiative du Conseil (40), ces limites ont été relevées pour atteindre celles établies à l’actuel article 83, paragraphes 4 à 6, du RGPD, tout en prévoyant à l’époque la possibilité pour les États membres de décider de la dérogation qui est finalement devenue l’article 83, paragraphe 7 (41).

80. Comme le soutient l’APD, on peut voir dans l’exception prévue à l’article 83, paragraphe 7, du RGPD une garantie en faveur de la préservation des finances publiques. Si tel est le cas, comme le rappelle également l’APD en ce qui concerne les restrictions aux libertés fondamentales garanties par le traité FUE, des objectifs de nature purement économique ne sauraient constituer des raisons impérieuses d’intérêt général de nature à justifier de telles restrictions.

81. L’OZCS invoque un motif supplémentaire à celui de la protection des finances publiques : la continuité de l’exercice d’une mission d’intérêt général, que la Cour constitutionnelle belge aurait soulignée lors de l’examen de l’article 221, paragraphe 2, de la LPD (42).

82. Il est possible que, dans certains cas, l’imposition d’amendes administratives aux autorités publiques chargées d’une mission d’intérêt général mette en péril l’exercice de cette mission et, partant, affecte leur continuité, si la charge financière qu’elles impliquent est considérable.

83. Il faudra toutefois se demander si, dans le cadre de ce rôle de garantie – du budget public et de la continuité de l’exercice de missions d’intérêt général – il est justifié d’étendre la notion d’« autorités publiques et organismes publics » au point d’y inclure les personnes morales de droit privé dispensant un enseignement libre subventionné.

84. À mon avis, pour atteindre ces deux objectifs, il n’est pas indispensable de sacrifier le pouvoir de sanction conféré aux autorités compétentes en matière de protection des données, lorsque :

– les caractéristiques de la personne ayant enfreint le règlement se distinguent difficilement de celles d’autres personnes exerçant la même activité matérielle (enseignement secondaire), sans que ces dernières se voient reconnaître la qualité d’autorité publique ;

– l’entité ayant enfreint le règlement ne fait pas partie des structures de l’État et ne remplit pas les conditions requises pour répondre à la définition de la puissance publique (exercice de pouvoirs exorbitants, qui relèvent des prérogatives de la puissance publique) ;

– il est possible d’assurer la préservation des ressources de cette entité provenant de fonds publics ainsi que la continuité de ses missions d’intérêt général, en adaptant le montant des amendes administratives au regard des circonstances de l’affaire.

4. L’incidence de l’arrêt Escuelas Pías (43)

85. À l’appui de sa thèse, l’OZCS fait valoir que l’enseignement est une mission d’intérêt général qui, en Belgique, est également accomplie par des entités de droit privé subventionnées par les autorités publiques. Il soutient qu’il s’agit d’une activité non économique, comme l’aurait déjà déclaré la Cour (44).

86. Dans l’arrêt Escuelas Pías, il s’agissait de savoir si certaines exonérations fiscales d’impôts nationaux tombaient sous le coup de l’interdiction prévue à l’article 107, paragraphe 1, TFUE (aides d’État). Ce litige a permis à la Cour d’examiner dans quelle mesure les cours dispensés par des établissements d’enseignement présentaient les caractéristiques d’« entreprise » et d’« activité économique », selon qu’ils étaient financés essentiellement par des fonds privés ou par des subventions étatiques.

87. L’arrêt Escuelas Pías contient les affirmations suivantes :

– en établissant un système d’enseignement public, financé en règle générale par le budget public et non par les élèves ou leurs parents, l’État n’entend pas s’engager dans des activités rémunérées, mais accomplit sa mission dans les domaines social, culturel et éducatif envers sa population (45) ;

– dans ce contexte, il n’est pas exclu qu’un même établissement puisse exercer plusieurs activités, à la fois économiques et non économiques, à la condition qu’il tienne une comptabilité séparée en ce qui concerne les différents financements reçus, de manière à exclure tout risque de subvention « croisée » de ses activités économiques au moyen de fonds publics dont elle bénéficie au titre de ses activités non économiques (46) ;

– pour appliquer l’interdiction énoncée à l’article 107, paragraphe 1, TFUE à l’exemption, « il incombe à la juridiction de renvoi de déterminer, [...], si et, le cas échéant, lesquelles parmi les activités pédagogiques exercées [...] revêtent ou non un caractère économique » (47).

88. Il ne ressort toutefois pas de ces affirmations et du reste de l’arrêt Escuelas Pías qu’un établissement d’enseignement libre, du seul fait qu’il bénéficie d’un financement étatique, puisse être qualifié d’autorité publique.

5. Application de ces critères à l’affaire au principal

89. Il appartient à la juridiction de renvoi, au vu des éléments dont elle dispose, d’apprécier la situation de fait et d’évaluer, le cas échéant, dans quelle mesure le financement étatique de l’établissement d’enseignement conditionne ou non l’action de celui-ci au point de le considérer comme faisant partie intégrante des structures de l’État susceptibles de relever de la catégorie d’autorité publique.

90. Sous réserve de cette appréciation, je ne pense pas que l’OZCS présente les caractéristiques propres à une autorité publique. Il ne s’agit pas d’une personne morale faisant partie de l’État au sens large, et il n’a pas non plus été doté de pouvoirs exorbitants relevant de l’exercice de l’autorité publique ou de prérogatives de puissance publique (48).

91. Selon moi, c’est précisément l’exercice – ou l’absence d’exercice – de prérogatives de puissance publique qui permet de déterminer si une entité relève de la notion d’« autorités publiques et organismes publics », au sens de l’article 83, paragraphe 7, du RGPD, ou si, au contraire, elle se trouve dans une situation comparable à celle des entités qui se limitent à exercer des missions d’intérêt général ou opèrent sur un marché.

92. Le fait que l’OZCS soit soumis au contrôle de l’autorité flamande en ce qui concerne la réalisation des objectifs éducatifs minimaux ne le place pas dans une position très différente de celle des établissements d’enseignement privés non subventionnés.

93. La possibilité de délivrer des certificats d’études ne prouve pas, à elle seule, que l’OZCS jouisse de prérogatives de puissance publique. L’ADP a fait valoir lors de l’audience que cette faculté existe, en droit belge, également pour les établissements privés analogues qui ne reçoivent aucune subvention publique, sans pour autant qu’ils soient considérés comme des autorités publiques.

94. Sous réserve des vérifications qu’effectuera la juridiction de renvoi, tout semble indiquer que, en Belgique, la faculté de délivrer des diplômes constitue un indice du fait que l’établissement d’enseignement exerce une mission d’intérêt général (ou d’intérêt public), dans le cadre de la réglementation générale en matière d’enseignement. Mais ce facteur ne suffit pas, en lui-même, à conclure que cet établissement détient des prérogatives de puissance publique.

95. Je rappelle, à cet égard, que la Cour a jugé que l’exercice des professions dans le secteur de l’enseignement ne comporte pas une participation directe ou indirecte à l’exercice de la puissance publique ni aux fonctions qui ont pour objet la sauvegarde des intérêts généraux de l’État ou des autres collectivités publiques (49). Cette constatation s’étend spécifiquement au domaine de l’enseignement secondaire (50).

96. Selon moi, il n’est pas non plus justifié d’étendre la définition de la notion d’« autorités publiques et organismes publics » au point d’y inclure une entité dont le lien principal avec la puissance publique consiste, en réalité, à recevoir des subventions de l’État.

97. Ainsi que la Commission l’a admis lors de l’audience, la simple perception d’une subvention ne suffit pas à conférer à l’entité subventionnée la qualité d’« autorité publique ». En tout état de cause, il n’a pas été possible de déterminer le pourcentage que représentent les subventions publiques dans le financement de l’OZCS (51). En revanche, le gouvernement belge a reconnu que cet établissement d’enseignement dispose de sources de financement privé (provenant notamment de montants versés par les parents des élèves, de dons et de la vente de biens) qui attestent de l’exercice d’une activité économique dans le cadre de laquelle l’OZCS peut même recourir à la publicité.

98. Si, comme je l’ai déjà indiqué, l’objectif de l’exception prévue à l’article 83, paragraphe 7, du RGPD est de préserver la continuité de l’exercice des missions d’intérêt général, cette finalité pourrait être assurée, dans le cas d’une entité telle que l’OZCS, par l’article 83, paragraphe 2, du RGPD.

99. Conformément au RGPD, « [s]elon les caractéristiques propres à chaque cas, les amendes administratives sont imposées […]. Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, d[e] [...] toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce [...] » [article 83, paragraphe 2, sous k), du RGPD].

100. En effet, il a suffi de recourir à l’article 83, paragraphe 2, du RGPD pour que, compte tenu de l’absence de but lucratif et du fait que l’OZCS exerce une activité d’intérêt général, l’amende qui lui a finalement été infligée, à savoir 1 000 euros, soit très loin de compromettre sa continuité en tant qu’établissement d’enseignement.

101. Au contraire, qualifier l’OZCS d’autorité publique garantirait ce résultat (la continuité de l’exercice de sa mission d’intérêt général) de manière disproportionnée : face à une violation du RGPD portant atteinte aux droits des élèves, les autorités belges chargées de la protection des données ne pourraient en aucun cas recourir au mécanisme de garantie le plus efficace dont elles disposent, à savoir l’imposition d’une amende administrative. Leur pouvoir d’adopter des mesures correctrices se limiterait ainsi à adresser, conformément à l’article 58, paragraphe 2, du RGPD, un simple avertissement ou un rappel à l’ordre.

102. Une interprétation telle que celle préconisée par l’OZCS et le gouvernement belge impliquerait que toutes les entités privées exerçant une mission d’intérêt général et bénéficiant de subventions publiques pourraient potentiellement se prévaloir de l’exception facultative prévue à l’article 83, paragraphe 7, du RGPD. Or, de par leur nature même, les missions d’intérêt général (notamment dans les domaines de la santé, de l’enseignement ou de l’action sociale) impliquent souvent le traitement de données sensibles relatives à des personnes physiques ou de données à caractère personnel concernant des personnes vulnérables ou méritant une « protection spécifique », comme c’est le cas des enfants.

103. Dans ce contexte, les autorités de contrôle ne devraient pas être privées, de manière catégorique, de la possibilité d’imposer des amendes administratives à une entité de droit privé, au seul motif que cette dernière accomplit des tâches d’enseignement d’intérêt général et reçoit des subventions publiques. Une telle interprétation réduirait considérablement la capacité des autorités de contrôle à garantir le respect du RGPD et la protection des personnes physiques.

V. Conclusion

104. Eu égard aux considérations qui précèdent, je propose à la Cour de répondre au Hof van Cassatie (Cour de cassation, Belgique) dans les termes suivants :

« L’article 83, paragraphe 7, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doit être interprété en ce sens que :

il s’oppose à une réglementation de droit national en vertu de laquelle l’autorité de contrôle ne peut pas imposer d’amende administrative à des personnes morales de droit privé qui dispensent un enseignement libre et qui reçoivent, à cette fin, des subventions provenant de fonds publics ».

1 Langue originale : l’espagnol.

2 Gegevensbeschermingsautoriteit (Autorité de protection des données, ci-après l’« APD »).

3 Règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

4 Loi du 30 juillet 2018 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel (Moniteur belge du 5 septembre 2018, p.68616, ci-après la « LPD »).

5 Décision de renvoi, section IV, point 5.

6 La question préjudicielle fait référence aux considérants 38 et 58 du RGPD, qui mentionnent la protection des enfants.

7 Observations écrites de la Commission, points 24 à 26.

8 Arrêt du 12 janvier 2023, Österreichische Post (Informations relatives aux destinataires de données personnelles) (C‑154/21, EU:C:2023:3, point 44).

9 L’OZCS invoque, à cet égard, les lignes directrices concernant les délégués à la protection des données adoptées par le groupe de travail institué par l’article 29 de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (JO 1995, L 281, p. 31), approuvées le 13 décembre 2016 et révisées le 5 avril 2017 (16/FR, WP 243). Dans ces lignes directrices, il est affirmé que la notion litigieuse « doit être définie en fonction du droit national » (point 2.1.1).

10 Dans le contexte de l’article 86 du RGPD, relatif au traitement et à l’accès du public aux documents officiels, le considérant 154 de ce règlement affirme qu’« il convient d’entendre par “autorités publiques et organismes publics”, toutes les autorités ou autres organismes relevant du droit d’un État membre en matière d’accès du public aux documents ». À mon avis, ce renvoi se limite strictement à l’article 86 du RGPD.

11 Article 24 de la directive 95/46.

12 Considérants 11 et 129 du RGPD.

13 L’APD énumère plus d’une douzaine de dispositions dans la note en bas de page 20 de ses observations écrites ; par exemple, l’article 6, paragraphe 1, deuxième alinéa, qui exclut, à l’égard des autorités publiques, l’application de l’une des conditions de licéité du traitement des données ; l’article 37, paragraphe 3, qui permet la désignation d’un seul délégué à la protection des données lorsque le responsable du traitement ou le sous-traitant est une autorité publique ou un organisme public ; l’article 86 qui régit l’accès aux données à caractère personnel des documents officiels détenus par une autorité publique.

14 Arrêt du 4 mai 2023, Österreichische Post (Préjudice moral lié au traitement de données personnelles) (C‑300/21, EU:C:2023:370, point 44) : « la notion de “dommage” et, plus spécifiquement en l’occurrence, la notion de “dommage moral”, au sens de l’article 82 du RGPD, doivent recevoir, eu égard à l’absence de toute référence au droit interne des États membres, une définition autonome et uniforme, propre au droit de l’Union ». Dans ce sens, l’arrêt du 22 juin 2021, Latvijas Republikas Saeima (Points de pénalité) (C‑439/19, EU:C:2021:504, points 82 à 85), a conféré un caractère autonome à la catégorie « infraction pénale » pour déterminer l’applicabilité de l’article 10 du RGPD.

15 Arrêt du 5 décembre 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, point 50). Mise en italique par mes soins.

16 Observations écrites de l’APD, point 23.

17 Considérant 150 du RGPD.

18 Arrêt du 5 décembre 2023, Nacionalinis visuomenės sveikatos centras (C‑683/21, EU:C:2023:949, point 70). Il est vrai que, dans le cadre du présent renvoi préjudiciel, le débat porte sur la notion d’autorité publique plutôt que sur les conditions matérielles au sens strict, mais le raisonnement de fond concernant le caractère autonome des notions en cause me semble également applicable en l’espèce.

19 Décision-cadre du Conseil du 13 juin 2002 relative au mandat d’arrêt européen et aux procédures de remise entre États membres (JO 2002, L 190, p. 1), telle que modifiée par la décision-cadre 2009/299/JAI du Conseil du 26 février 2009 (JO 2009, L 81, p. 24).

20 Arrêt du 10 novembre 2016, Poltorak (C‑452/16 PPU, EU:C:2016:858, point 32).

21 Arrêt du 11 septembre 2025, Österreichische Zahnärztekammer (C‑115/24, EU:C:2025:694, point 62 et jurisprudence citée).

22 Considérants 122 et 128 du RGPD.

23 Considérants 10 et 45 du RGPD.

24 Cette dernière disposition fait référence à « une autorité publique [...] agissant dans l’exercice de ses prérogatives de puissance publique ».

25 Directive du Parlement européen et du Conseil du 26 février 2014 sur la passation des marchés publics et abrogeant la directive 2004/18/CE (JO 2014, L 94, p. 65). Aux termes de son article 2, paragraphe 1, point 1, les pouvoirs adjudicateurs sont l’État, les autorités régionales ou locales, les organismes de droit public ou les associations formées par une ou plusieurs de ces autorités ou un ou plusieurs de ces organismes de droit public. Les organismes publics, quant à eux, sont définis comme « tout organisme présentant toutes les caractéristiques suivantes : a) il a été créé pour satisfaire spécifiquement des besoins d’intérêt général ayant un caractère autre qu’industriel ou commercial ; b) il est doté de la personnalité juridique ; et c) soit il est financé majoritairement par l’État, les autorités régionales ou locales ou par d’autres organismes de droit public, soit sa gestion est soumise à un contrôle de ces autorités ou organismes, soit son organe d’administration, de direction ou de surveillance est composé de membres dont plus de la moitié sont désignés par l’État, les autorités régionales ou locales ou d’autres organismes de droit public ».

26 Directive du Parlement européen et du Conseil du 31 mars 2004 relative à la coordination des procédures de passation des marchés publics de travaux, de fournitures et de services (JO 2004, L 134, p. 114). Son article 1^er, paragraphe 9, disposait que sont considérés comme « “pouvoirs adjudicateurs” : l’État, les collectivités territoriales, les organismes de droit public et les associations formées par une ou plusieurs de ces collectivités ou un ou plusieurs de ces organismes de droit public ».

27 Arrêt du 29 octobre 2015, Saudaçor (C‑174/14, ci-après l’« arrêt Saudaçor », EU:C:2015:733, point 46).

28 Arrêt du 3 février 2021, FIGC et Consorzio Ge.Se.Av. (C‑155/19 et C‑156/19, EU:C:2021:88, point 48).

29 Directive du Conseil du 28 novembre 2006 relative au système commun de taxe sur la valeur ajoutée (JO 2006, L 347, p. 1).

30 Sauf dans le cas où leur non‑assujettissement conduirait à des distorsions de concurrence d’une certaine importance.

31 Arrêt Saudaçor, point 48.

32 Arrêt Saudaçor, point 49.

33 Arrêt Saudaçor, points 46 à 48, 69 et 70.

34 Observations écrites de la Commission, point 31.

35 Arrêt du 12 juillet 1990, Foster e.a. (C‑188/89, EU:C:1990:313, point 20).

36 Voir, par analogie, arrêt Saudaçor, points 47 et 48. Les exceptions prévues par le RGPD ont fait l’objet d’une interprétation stricte par les arrêts du 9 juillet 2020, Land Hessen (C‑272/19, EU:C:2020:535, point 68) et du 9 janvier 2025, Österreichische Datenschutzbehörde (Demandes excessives) (C‑416/23, EU:C:2025:3, point 33).

37 Arrêt du 5 décembre 2023, Deutsche Wohnen (C‑807/21, EU:C:2023:950, point 73).

38 Arrêt du 4 mai 2023, Bundesrepublik Deutschland (Boîte électronique judiciaire) (C‑60/22, EU:C:2023:3733, points 67 et 68).

39 Article 79 de la proposition de règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données ([RGPD]) [COM(2012) 0011 – C7‑0025/2012 – 2012/0011(COD)].

40 Position du Conseil en première lecture en vue de l’adoption du règlement du Parlement européen et du Conseil relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE [(RGPD)], du 8 avril 2016, 5419/1/16 REV 1 ADD 1, point 9.5.

41 De 10 millions à 20 millions d’euros et jusqu’à 4 % du chiffre d’affaires annuel.

42 Observations écrites de l’OZCS, point 13. Il s’agit de l’arrêt de la Cour constitutionnelle belge n^o 3/2021, du 14 janvier 2021. Le point B.27 de cet arrêt se lit comme suit : « Il ressort des travaux préparatoires de la disposition attaquée que la non‑application d’amendes administratives à certains responsables publics de traitement de données a été motivée par la nécessité d’assurer la continuité du service public et de ne pas mettre en péril l’exercice d’une mission d’intérêt général (Doc. parl., Chambre, 2017‑2018, DOC 54‑3126/001, p. 229‑230). Ces objectifs que le législateur poursuit en la matière peuvent, en soi, être considérés comme légitimes. Il faut toutefois vérifier si la mesure est objectivement et raisonnablement justifiée compte tenu des effets qu’elle entraîne, notamment en ce qui concerne le droit à la protection des données à caractère personnel ».

43 Arrêt du 27 juin 2017, Congregación de Escuelas Pías Provincia Betania (C‑74/16, ci-après l’« arrêt Escuelas Pías », EU:C:2017:496).

44 Il invoque à cet effet, outre l’arrêt Escuelas Pías, l’arrêt du 11 septembre 2007, Commission/Allemagne (C‑318/05, EU:C:2007:495, point 68).

45 Arrêt Escuelas Pías, point 50.

46 Arrêt Escuelas Pías, point 51.

47 Arrêt Escuelas Pías, point 54.

48 Arrêt du 10 octobre 2017, Farrell (C‑413/15, EU:C:2017:745, point 34).

49 Arrêt du 2 juillet 1996, Commission/Luxembourg (C‑473/93, EU:C:1996:263, points 31 et suivants). Même si cet arrêt, tout comme d’autres arrêts postérieurs, fait référence à la notion d’administration publique au sens de (l’actuel) article 45, paragraphe 4, TFUE, ses considérations relatives aux emplois impliquant une participation, directe ou indirecte, à l’exercice de la puissance publique et aux fonctions qui ont pour objet la sauvegarde des intérêts généraux de l’État et des autres entités publiques sont applicables à ces notions.

50 Arrêt du 27 novembre 1991, Bleis (C‑4/91, EU:C:1991:448, point 7).

51 Lors de l’audience, il a été question, sans plus de précision, de « plus de 50 % ». L’OZCS n’a pas comparu à l’audience et n’a donc pas été en mesure de fournir des données plus précises.

Conclusions de l'avocat général M. M. Campos Sánchez-Bordona, présentées le 10 septembre 2026.###

Texte intégral

Poursuivez vos recherches dans ChatGPT ou Claude