Le 27 novembre 2014, le Tribunal de l’Union européenne (Tribunal) a confirmé la condamnation des sociétés EPH et EPIA à une amende de 2,5 millions d’euros pour infraction à leur devoir de coopération lors d’une inspection de la Commission européenne (Commission). Une lourde sanction qui permet de rappeler l’importance de l’informatique lors de telles opérations, et la nécessité de soigneusement diffuser les instructions des inspecteurs au sein de l’entreprise, et même aux prestataires extérieurs qui y interviennent.

Lors d’une inspection menée en coopération avec l’autorité tchèque de la concurrence dans les locaux (communs) d’EPH et de sa filiale EPIA, la Commission avait demandé au responsable du service informatique de bloquer par un nouveau mot de passe les messageries de quatre salariés occupant des postes clés (dont le directeur exécutif d’EPIA), afin de disposer d’un accès exclusif à ces comptes.

Petite particularité : EPH et EPIA avaient fait l’objet d’une cession un mois avant l’inspection et ne disposaient pas encore de leur propre service informatique. L’informatique était donc temporairement gérée dans leurs locaux par des employés de la société J&T Banka, filiale de l’ancienne société mère d’EPH (J&T Finance Group). Par ailleurs, les courriels adressés aux messageries de leur personnel continuaient de transiter par le serveur de J&T Finance Group.

Au cours de l’inspection, l’un des quatre salariés visés, travaillant à son domicile et ne parvenant plus à se connecter à sa messagerie (et, semble-t-il, non informé des opérations), s’est plaint auprès du service informatique, qui a aussitôt rétabli son accès en réinitialisant son mot de passe. En parallèle, le directeur exécutif d’EPIA a demandé au responsable informatique de bloquer sur le serveur de J&T Finance Group tous les courriels entrants vers sa propre messagerie.

Ne pouvant plus accéder à la messagerie du premier salarié, et voyant que celle du directeur exécutif ne recevait plus de nouveaux messages, les inspecteurs ont dressé un constat d’infraction pour refus de se soumettre à l’inspection. Sur cette base, la Commission a sanctionné EPH et EPIA solidairement par une amende de 2,5 millions d’euros (soit 0,25% du chiffre d’affaires d’EPH, sachant que le maximum encouru était de 1%), pour avoir (i) autorisé l’accès par négligence à un compte de messagerie bloqué, empêchant ainsi les inspecteurs de consulter cette messagerie, et (ii) détourné délibérément vers un serveur les courriels entrants d’une autre messagerie.

Le Tribunal valide cette sanction par une motivation qui confirme que ce type d’infraction est purement matériel et laisse peu de place à la défense. Notamment, il juge indifférent :

  • le fait que le service informatique n’ait pas été employé par EPH ou EPIA, puisqu’il travaillait sous leur direction et que l’action d’une personne généralement autorisée à agir pour leur compte suffit pour caractériser l’infraction ;
  • la possibilité pour les inspecteurs d’accéder aux fichiers sur le serveur, la Commission n’étant pas tenue de rechercher s’ils se trouvaient intacts à un autre endroit que sur les messageries ;
  • l’ignorance du salarié travaillant à domicile quant au blocage de son compte et à l’existence d’une inspection, l’infraction reposant sur la négligence du responsable informatique ;
  • la courte durée du détournement de courriels entrants de l’autre messagerie, la quantité limitée et l’absence de pertinence des messages filtrés au regard de l’objet de l’enquête ;
  • le fait que la Commission n’ait finalement pas trouvé matière à poursuivre ces entreprises pour pratiques anticoncurrentielles.

Après l’amende historique confirmée par la Cour de Justice en novembre 2012 dans l’affaire E.ON (38 millions d’euros, soit 0,14% de son chiffre d’affaires), cette nouvelle affaire est l’occasion de rappeler que les entreprises doivent veiller à transmettre immédiatement et précisément les instructions des inspecteurs à l’ensemble de leur personnel, y compris leurs prestataires extérieurs, afin d’éviter tout incident qui ne manquera pas d’être lourdement sanctionné.