Berlin: 14,5 M€ réduits à 900 000 € — obligation d’effacement confirmée

Résumé — Le Landgericht Berlin a confirmé, le 9 juin 2026, le manquement de Deutsche Wohnen au RGPD pour avoir utilisé un système d’archivage ne permettant pas la suppression des données devenues non nécessaires. L’amende de 14,5 M€ (2019) est ramenée à 900 000 €, mais l’obligation d’effacement est réaffirmée.

Les faits

Le tribunal régional de Berlin a jugé que l’entreprise n’avait pas adapté à temps ses systèmes IT pour permettre l’effacement des données personnelles d’anciens locataires. Si le quantum de l’amende a été réduit, le manquement fondamental — un archivage sans mécanisme d’effacement — est confirmé.

Cette décision intervient après l’arrêt de la CJUE du 5 décembre 2023 (aff. C‑807/21, Deutsche Wohnen), qui a clarifié que des amendes peuvent être infligées directement aux personnes morales, à condition d’une faute au moins par négligence. Cette clarification a permis aux juridictions berlinoises de statuer à nouveau sur le fond et sur le montant en 2026.

Cadre légal et fondement

• Article 5(1)(e) RGPD — limitation de la conservation: pas d’identification au-delà de ce qui est nécessaire. Un archivage sans mécanisme d’effacement enfreint ce principe. Pour un rappel structuré des exigences, voir notre page dédiée sur le RGPD et ses obligations de conservation.
• Articles 24 et 25 RGPD — responsabilité et protection des données dès la conception: l’architecture doit intégrer la suppression et l’expiration des données.
• Article 83 RGPD — amendes effectives, proportionnées et dissuasives; après CJUE C‑807/21, l’amende peut viser la personne morale si l’infraction est au moins par négligence.

Jurisprudence antérieure clé

• CJUE, 5 décembre 2023, C‑807/21, Deutsche Wohnen — amendes directes contre les personnes morales; faute (intentionnelle ou par négligence) requise; pas de responsabilité objective stricte.

Ce que cela change pour les entreprises luxembourgeoises

• Message opérationnel: « geler » des données ne suffit pas; les systèmes d’archivage et de sauvegarde doivent permettre une purge sélective et traçable à l’échéance, y compris en PRA/DRP. Pour un accompagnement sur la gouvernance et le mandat du délégué, explorez notre service de DPO certifié et pilotage de la conformité.
• Effet CJUE concret: les autorités peuvent viser la personne morale lorsque la négligence est caractérisée. La réduction à 900 000 € illustre la proportionnalité, sans atténuer l’obligation d’effacement.
• Risques à court terme: contrôles ciblés sur la conservation, les journaux d’effacement et la capacité de purge (ERP/EDM/archives), y compris chez les sous-traitants (art. 28).

Les organisations au Luxembourg devraient valider leurs délais de conservation, tracer les effacements et documenter les exceptions légales. Un rappel des attentes locales figure sur notre page RGPD au Luxembourg et attentes de la CNPD.

Actions concrètes à entreprendre cette semaine

• Cartographier les zones d’archivage et de sauvegarde sans purge automatique, fixer par finalité un délai et un mécanisme d’effacement effectif (suppression logique/physique; rétention WORM si justifiée).
• Mettre en place un journal d’effacement horodaté et tester un parcours d’effacement bout‑en‑bout (production → archive → sauvegarde), avec validation DPO/IT et procès‑verbal de test.
• Revoir les clauses avec les sous‑traitants: exiger des capacités d’effacement sélectif, des plans de purge et des revues périodiques des délais.

Points à retenir

• L’architecture qui empêche l’effacement viole l’article 5(1)(e) RGPD.
• Les amendes peuvent viser directement la personne morale après C‑807/21, sous réserve d’une faute au moins par négligence.
• Le contrôle judiciaire peut réduire le montant, mais ne neutralise pas l’obligation d’effacement.

Article generé par la veille réglementaire Luxgap. Pour un accompagnement personnalisé sur ce sujet, contactez-nous.