Un téléphone personnel ne cesse pas d'être personnel parce qu'il a servi une seule fois au travail. Pourtant, dans une enquête précise de l'Union européenne en matière de contrôle des concentrations, une demande ciblée de renseignements peut porter sur les documents professionnels qui y sont conservés et que la Commission européenne est en droit d'exiger de l'entreprise visée. C'est cet équilibre difficile que le Tribunal a examiné dans les affaires Vivendi et Lagardère.

Les arrêts n'ont pas reconnu un pouvoir général d'inspection de tout compte ou appareil personnel. Le Tribunal a admis que la collecte pouvait constituer une ingérence grave dans la vie privée, tout en validant les demandes en cause en raison de leurs limites quant aux personnes, aux périodes et aux thèmes, de critères de recherche définis à l'avance et de garanties particulières. Cette distinction importe pour toute entreprise qui autorise le BYOD ou des communications professionnelles occasionnelles par des applications personnelles.

1. Ce qu'a jugé le Tribunal et l'état actuel des affaires

Le 3 juin 2026, le Tribunal, siégeant en formation élargie de cinq juges de la neuvième chambre, a rejeté les recours dans les affaires T-1097/23, Vivendi contre Commission, ECLI:EU:T:2026:355, et T-1119/23, Lagardère contre Commission, ECLI:EU:T:2026:356. Les sociétés demandaient l'annulation de décisions exigeant des documents dans une enquête sur une possible réalisation anticipée de l'acquisition de Lagardère par Vivendi.

Le Tribunal a reconnu que les demandes pouvaient conduire à une divulgation à grande échelle de données personnelles variées et, prises ensemble, permettre de tirer des conclusions précises sur la vie privée des personnes concernées. Il a donc tenu pour réel le risque d'une ingérence grave dans le droit protégé par l'article 7 de la Charte des droits fondamentaux. Dans les circonstances examinées, il a néanmoins constaté une base légale suffisante, un objectif d'intérêt général et des limites proportionnées.

Le contentieux n'est pas définitivement clos. Dans les dossiers officiels InfoCuria vérifiés le 30 août 2026, les pourvois C-861/26 P, Lagardère contre Commission, et C-862/26 P, Vivendi contre Commission, restaient pendants. Tous deux ont été introduits le 31 juillet 2026. Les arrêts du Tribunal constituent donc les décisions de première instance applicables, mais ne doivent pas être présentés comme la réponse définitive de la Cour de justice.

2. Ce que permet l'article 11, paragraphe 3, du règlement 139/2004

Le règlement (CE) no 139/2004 sur le contrôle des concentrations permet à la Commission d'exiger les renseignements nécessaires par une simple demande ou par une décision contraignante. Lorsqu'elle adopte une décision sur le fondement de l'article 11, paragraphe 3, elle doit indiquer la base juridique et le but, préciser les renseignements demandés, fixer un délai, signaler les amendes et astreintes possibles et mentionner le droit à un contrôle juridictionnel.

Ce pouvoir n'est pas illimité. Les renseignements demandés doivent être nécessaires à l'enquête sur l'infraction présumée. La décision doit être suffisamment motivée, ne pas être arbitraire et ne pas imposer une obligation objectivement impossible. La proportionnalité dépend de l'étendue et de la charge réelles, des périodes visées, des personnes détenant les documents, des critères de sélection et des garanties encadrant l'examen et la transmission.

Une réponse incomplète ou inexacte peut entraîner de lourdes conséquences. Le règlement prévoit notamment des amendes lorsque les renseignements sont inexacts, incomplets ou dénaturés, ainsi que des astreintes pouvant atteindre 5 % du chiffre d'affaires total journalier moyen par jour ouvrable de retard. L'entreprise ne peut donc ni ignorer la demande ni répondre par une exportation massive et incontrôlée de tout ce qu'elle trouve.

3. Pourquoi les documents ont été demandés

Vivendi avait notifié en octobre 2022 son projet d'acquisition du contrôle exclusif de Lagardère. La Commission a autorisé la concentration sous conditions le 9 juin 2023, puis a ouvert une enquête formelle sur sa possible réalisation anticipée. Il s'agissait de déterminer si Vivendi avait exercé une influence déterminante avant l'autorisation ou en violation des obligations et engagements applicables.

Par des décisions du 19 septembre 2023, modifiées le 27 octobre 2023, la Commission a demandé les communications de personnes désignées pendant une période définie, au moyen de thèmes et de termes de recherche précis. Pour Lagardère, par exemple, la période s'étendait du 1er janvier 2020 au 19 septembre 2023 et se rattachait à des décisions commerciales et éditoriales concrètes susceptibles d'éclairer l'influence alléguée.

La vie privée des dirigeants n'était pas l'objet de l'enquête. La Commission recherchait des informations commerciales liées à une possible infraction déterminée. La difficulté venait du fait que ces informations pouvaient avoir transité par WhatsApp, Signal, SMS, une messagerie personnelle ou un téléphone privé où les contenus professionnels et personnels se mêlent.

4. Quand des documents sur des comptes ou appareils personnels entrent dans le champ

Les demandes couvraient les documents professionnels conservés dans des comptes de messagerie personnels ou privés, sur des téléphones mobiles ou des tablettes, y compris les messages instantanés et les SMS, à condition que le compte ou l'appareil concerné ait été utilisé au moins une fois à des fins professionnelles. Elles comprenaient aussi les documents supprimés par l'expéditeur ou le destinataire, mais encore accessibles dans un système d'entreprise, une sauvegarde ou un autre compte ou appareil personnel ou professionnel.

La formule « au moins une fois » est large, mais elle ne rend pas pertinent chaque fichier de l'appareil. L'usage professionnel pouvait faire entrer les documents professionnels du compte ou de l'appareil dans une recherche toujours limitée par les autres critères de la décision : personnes désignées, périodes, interlocuteurs, sujets et termes de recherche. Le Tribunal n'a pas autorisé l'exploration incontrôlée des photos, informations de santé, conversations familiales ou de toutes les applications d'un téléphone.

Il n'a pas non plus jugé qu'une politique BYOD donnait à elle seule un droit d'accès à l'employeur. Il a examiné une demande contraignante de l'Union adressée aux entreprises et la possibilité de soustraire des documents professionnels à une enquête licite au seul motif qu'ils se trouvent sur un appareil personnel. La collecte interne demeure soumise au droit du travail et au droit de la protection des données applicables.

5. Pourquoi l'ingérence dans la vie privée était grave

Sur un téléphone moderne, informations professionnelles et personnelles ne sont pas toujours rangées dans des espaces parfaitement séparés. La même application peut contenir des contacts de clients à côté de discussions familiales, de données de santé, d'opinions politiques, de localisations et de photographies. Même fragmentaires, ces éléments peuvent ensemble dresser un portrait détaillé de la vie d'une personne.

Le Tribunal n'a pas minimisé ce risque. Il a relevé la diversité des données, la difficulté de les prévoir et leur volume potentiellement important. Dans l'affaire Lagardère, un critère pouvait même conduire à la transmission de tous les échanges entre certaines personnes dès lors qu'un échange correspondait à un terme. L'analyse ne s'est donc pas arrêtée au constat de l'usage professionnel, mais a porté sur les conditions de limitation des droits prévues par l'article 52, paragraphe 1, de la Charte.

Reconnaître une ingérence grave a des effets pratiques. La Commission et l'entreprise qui exécute la demande doivent traiter la sélection, le transfert, l'accès, la conservation et l'effacement comme des opérations à haut risque. La nécessité, la minimisation et des garanties vérifiables ne sont pas des formalités facultatives.

6. Les limites concrètes qui fondent la proportionnalité

Le Tribunal s'est fondé sur la combinaison de plusieurs limites, et non sur une formule isolée. Les demandes visaient des personnes déterminées, des périodes précises, des sujets définis et des termes de recherche liés au comportement soupçonné. Les comptes ou appareils personnels n'étaient concernés qu'en cas d'usage professionnel et les contenus privés ne pouvaient être rencontrés qu'incidemment, sans constituer un objectif autonome.

Les décisions n'accordaient donc pas un accès complet et incontrôlé à toute l'activité électronique. Selon le Tribunal, elles ne mettaient en place ni surveillance continue, indifférenciée ou systématique, ni évaluation automatisée de l'ensemble du personnel. L'accès au sein de la Commission était limité, le secret professionnel s'appliquait et des procédures existaient pour les contenus sensibles et le contrôle juridictionnel.

Ces facteurs sont cumulatifs. Une future demande visant tout le personnel, sans limite de date, avec des sujets vagues ou des images intégrales d'appareils ne deviendrait pas proportionnée par la seule citation du même texte. L'entreprise doit cartographier les frontières exactes de la décision et documenter les recherches qui produisent un volume disproportionné de données privées sans rapport avec l'objet.

7. VDR, chiffrement et communications protégées

Une décision ultérieure de la Commission, datée du 24 janvier 2024, a instauré un dispositif de salle de données virtuelle (VDR) pour les documents issus des recherches, sans rapport avec l'activité commerciale et contenant des données personnelles sensibles. Au lieu de rendre chaque résultat immédiatement transmissible, ce dispositif créait un environnement contrôlé d'examen et une séparation supplémentaire. Le Tribunal a pris cette garantie en compte avec les limites déjà prévues.

Les données personnelles sensibles devaient être séparées, chiffrées et marquées. L'accès, le transfert et l'utilisation ultérieure devaient respecter le protocole applicable. Le chiffrement protège le canal et le stockage, mais ne remplace pas la minimisation : une copie correctement chiffrée peut encore être excessive si elle contient des éléments étrangers au but de la décision.

Les communications susceptibles d'être couvertes par le secret professionnel de l'avocat nécessitent une voie d'examen distincte. L'entreprise doit les identifier sans divulguer leur substance protégée, conserver le fondement de la revendication et utiliser la procédure convenue avec la Commission. L'examen de la protection, celui des données sensibles et celui de la pertinence répondent à des questions différentes.

8. La protection spéciale des sources journalistiques

Le contexte médiatique rendait la confidentialité des sources particulièrement importante. La procédure permettait aux titulaires d'une carte de presse d'examiner les documents concernés et d'occulter les informations pouvant identifier une source journalistique. Si aucune version non confidentielle exploitable ne pouvait être produite, le document pouvait être retiré selon le mécanisme, l'entreprise fournissant un tableau décrivant occultations et retraits.

Il ne s'agissait pas d'une étiquette générale autorisant un éditeur à retenir toute communication rédactionnelle. La protection devait être liée à l'identification d'une source et appliquée selon une procédure traçable. Dans le même temps, elle empêchait l'enquête sur une concentration de devenir une divulgation incontrôlée de sources confidentielles.

Une entreprise grecque de médias confrontée à une demande comparable devrait mettre en place, avant le début de la collecte, une procédure de protection des sources, confier l'examen à une petite équipe habilitée et convenir de l'isolement des éléments contestés. Vérifier la confidentialité des sources après une transmission massive priverait la garantie de son effet.

  1. Article connexe : L’employeur peut-il lire les e-mails professionnels et les messages Teams ? Cette question distincte concerne l'accès de l'employeur aux systèmes de l'entreprise, la vie privée du salarié et le contrôle au travail. Vivendi et Lagardère portent sur une mesure contraignante de la Commission dans une enquête de concentration de l'Union. Ils ne donnent pas à l'employeur un droit général de lire les messages.
  2. La surveillance ordinaire au travail. Le suivi permanent de la productivité, la journalisation, la géolocalisation ou l'inspection préventive des communications nécessitent leur propre justification en droit du travail et en protection des données. Une réponse ciblée à une décision précise d'une autorité n'est pas un programme permanent de surveillance.
  3. Le régime européen e-Evidence. Les injonctions européennes de production et de conservation concernent les preuves électroniques stockées dans les procédures pénales et les obligations des prestataires selon un autre cadre législatif. L'article 11, paragraphe 3, est un pouvoir d'information en contrôle des concentrations dirigé contre les entreprises.
  4. L'interception en direct. Capter une communication au moment où elle se déroule diffère de collecter des documents professionnels déjà stockés. Les arrêts ne portent ni sur une interception en temps réel, ni sur une écoute téléphonique, ni sur l'activation clandestine d'un appareil.
  5. L'image forensique intégrale. Une telle copie, réalisée bit par bit, peut saisir des zones supprimées, des bases d'applications, un historique de localisation et des contenus étrangers. Les arrêts n'approuvent pas la création systématique d'une image complète des appareils. Si elle est techniquement nécessaire, sa portée, son isolement, son filtrage, ses accès et son effacement exigent une analyse de proportionnalité distincte.

Une inspection au titre de l'article 13 du règlement 139/2004 doit aussi être distinguée. Une opération inopinée possède sa propre base juridique, ses pouvoirs et son cadre procédural ; elle ne doit pas remplacer discrètement la production documentaire examinée ici.

10. Liste pratique BYOD pour une entreprise grecque

  • Cartographier les canaux professionnels. Indiquer quelles fonctions peuvent utiliser messagerie, applications, téléphones ou tablettes personnels pour l'entreprise et dans quels pays.
  • Séparer travail et vie privée. Employer, lorsque cela est possible, un profil professionnel géré, des applications dédiées ou un conteneur, sans revendiquer le reste de l'appareil.
  • Rédiger une politique BYOD précise. Décrire l'usage admis, la sécurité, les déclencheurs de conservation et de collecte, les équipes responsables et les limites d'accès.
  • Ne pas reposer uniquement sur le consentement. Dans la relation de travail, il peut ne pas être libre. Déterminer la base juridique adéquate et documenter nécessité et mise en balance.
  • Préparer un protocole de gel des suppressions (legal hold). Fixer qui peut suspendre l'effacement, pour quelles personnes, données et périodes, puis comment la mesure prend fin.
  • Conserver sans consulter. Une opération technique de préservation n'autorise pas les responsables à lire des conversations privées.
  • Appliquer une double validation. Les fonctions juridique et protection des données ou sécurité doivent autoriser l'accès à un compte ou appareil personnel et en consigner le motif.
  • Définir des voies d'examen séparées. Distinguer pertinence, secret professionnel de l’avocat, données sensibles, protection des sources journalistiques et contenu manifestement privé.
  • Contrôler l'environnement de collecte. Utiliser du personnel formé, des outils journalisés, le chiffrement, des contrôles d'accès et, si nécessaire, des empreintes ou preuves équivalentes d'intégrité.
  • Minimiser la production. Transmettre les documents pertinents, et non une boîte complète non filtrée ou l'image entière du téléphone, sauf exigence juridique expresse et proportionnée.
  • Planifier les transferts transfrontières. Identifier les lieux de collecte, d'examen et d'hébergement et appliquer les garanties pertinentes.
  • Informer précisément les personnes. Donner les informations requises sur le but, la portée, les destinataires et les droits, sous réserve des restrictions licites nécessaires à l'enquête.
  • Fixer la conservation finale et l'effacement. À la clôture de l'affaire et de toute mesure de gel applicable, préciser la base juridique et la durée de chaque conservation, restituer ou effacer de façon sûre les copies de travail et les copies VDR devenues inutiles, puis consigner le résultat.

La politique doit être adaptée au droit grec et au droit de l'Union, aux règles collectives, au pays de chaque salarié et à la conception technique réelle. Une signature sous une clause générale selon laquelle l'entreprise pourrait tout inspecter ne rend pas proportionnée une pratique excessive.

11. Une collecte ciblée sans surveillance interne

Après réception d'une décision, l'entreprise doit d'abord suspendre les effacements pertinents et établir une matrice des exigences. Pour chaque volet, elle inscrit la base juridique, le but, les personnes concernées, les périodes, les applications, les termes de recherche, le délai et la garantie nécessaire. L'équipe de collecte ne devrait voir aucun contenu au-delà de ce qui est nécessaire à l'extraction technique.

Le traitement suit des filtres successifs : collecte technique, déduplication et limitation, examen de pertinence, contrôle des protections et catégories sensibles, vérification finale et transmission sécurisée. Les décisions sur les documents contestés sont consignées. Si un terme retourne un volume disproportionné de fichiers privés sans rapport, l'entreprise doit mesurer le problème et demander rapidement une clarification ou une méthode plus étroite plutôt que d'improviser en silence.

Un salarié ou un dirigeant ne devrait pas remettre informellement un appareil déverrouillé ni décider seul de ce qui sera effacé. Une équipe habilitée collecte dans un environnement contrôlé, expose le moins possible les contenus purement privés et prévoit un mécanisme de résolution des désaccords. L'enquête, la vie privée et l'intégrité des preuves sont ainsi protégées ensemble.

12. Réponses possibles et recours juridictionnels

Une décision fondée sur l'article 11, paragraphe 3, doit indiquer le droit au contrôle juridictionnel. Lorsque les conditions sont réunies, l'entreprise peut introduire un recours en annulation au titre de l'article 263 TFUE et demander des mesures provisoires au titre des articles 278 et 279 TFUE. Le recours ne suspend pas automatiquement l'obligation de répondre. Vivendi et Lagardère ont aussi engagé des procédures provisoires, ce qui montre que le calendrier contentieux doit être organisé immédiatement.

Avant et pendant l'exécution, l'entreprise peut demander par écrit une clarification, une prolongation raisonnable, un ajustement technique des recherches, un protocole VDR et des procédures pour le secret professionnel de l’avocat, les données sensibles ou la protection des sources journalistiques. La demande doit reposer sur des éléments mesurables de charge et de risque. Affirmer en général que les appareils personnels sont inaccessibles ou que l'examen est difficile ne suffit pas.

Pour les personnes physiques, la demande appropriée d'accès, d'information, de rectification ou la réclamation dépend du responsable du traitement et de l'étape. La collecte interne par l'employeur et le traitement ultérieur par une institution de l'Union ne relèvent pas nécessairement du même régime : le règlement (UE) 2018/1725 s'applique aux institutions, tandis que le RGPD et les règles nationales pertinentes s'appliquent du côté de l'entreprise. Toute restriction des droits exige une base licite et ne doit pas être présumée automatique.

13. Ce que signifient les pourvois pendants

C-861/26 P et C-862/26 P sont pendants devant la Cour de justice. Un pourvoi est limité aux questions de droit et ne constitue pas un nouveau procès complet des faits. Le 30 août 2026, les dossiers officiels confirmaient l'introduction et l'état pendant, mais aucun arrêt de la Cour de justice n'avait confirmé, modifié ou annulé l'approche du Tribunal.

Les entreprises ne peuvent ignorer ces deux arrêts, car ils offrent l'analyse juridictionnelle la plus directe des documents professionnels conservés dans des comptes ou sur des appareils personnels au titre de l'article 11, paragraphe 3. Comme les pourvois restent pendants, toute collecte réelle exige toutefois de vérifier l'état des procédures et le droit alors en vigueur ; ces décisions ne doivent pas être transformées en politique immuable.

14. Questions fréquentes

Un seul message professionnel permet-il d'examiner tout le téléphone personnel ?

Non. Un usage professionnel unique pouvait faire entrer les documents professionnels du compte ou de l'appareil dans le champ de recherche, mais la collecte restait limitée par les personnes, périodes, sujets, interlocuteurs et termes. Les arrêts n'ont pas validé un accès complet et incontrôlé.

L'employeur peut-il invoquer ces affaires pour contrôler régulièrement WhatsApp ?

Non. L'article 11, paragraphe 3, concerne le pouvoir de la Commission dans une enquête sur une concentration. Le contrôle ordinaire par l'employeur poursuit un autre but et exige sa propre base légale, information et analyse de nécessité. Les arrêts ne créent aucune autorisation générale de surveillance.

Faut-il transmettre immédiatement chaque résultat de recherche ?

Le délai contraignant doit être respecté, mais les procédures relatives à la pertinence, au secret professionnel de l’avocat, aux données sensibles et à la protection des sources journalistiques continuent de s'appliquer. Un problème concret de portée ou de charge nécessite un échange rapide et étayé avec la Commission et, si nécessaire, une protection juridictionnelle.

Peut-on effacer des messages manifestement privés avant la collecte ?

Pas par décision unilatérale de l'utilisateur lorsqu'une obligation de conservation existe ou qu'une enquête est raisonnablement prévisible. L'effacement peut compromettre l'exhaustivité et l'intégrité. Le contenu non pertinent ou protégé doit être isolé par une procédure approuvée, non disparaître sans trace.

Les arrêts sont-ils définitifs ?

Non. Le Tribunal a rejeté les recours le 3 juin 2026, mais les pourvois C-861/26 P et C-862/26 P, introduits le 31 juillet 2026, restaient pendants lors de la dernière vérification officielle.

15. Sources officielles

Mise à jour juridique : Les sources officielles et les dossiers des deux pourvois ont été vérifiés le 30 août 2026. Lors de cette vérification, les deux textes des arrêts étaient encore signalés dans EUR-Lex comme des « textes provisoires ». Cet article distingue les décisions de première instance applicables des pourvois pendants et ne constitue pas un conseil juridique individuel. Toute collecte réelle exige l'examen de la décision précise, du droit du travail et de la protection des données applicables, ainsi que du droit en vigueur au moment concerné.