SAP échappe à une amende antitrust de Bruxelles : ce que les DPO doivent retenir de ses engagements

Le 9 juillet 2026, la Commission européenne a rendu juridiquement contraignants les engagements proposés par SAP pour clore une enquête antitrust ouverte en septembre 2025 sur ses pratiques de maintenance logicielle on-premise. L'éditeur allemand évite ainsi toute amende et toute constatation formelle d'infraction, mais s'engage pour dix ans à faciliter la résiliation de ses contrats, supprimer certains frais et élargir le choix de prestataires de ses clients. Une décision de droit de la concurrence qui ne relève pas du RGPD, mais qui éclaire d'un jour nouveau la façon dont les DPO devraient auditer leurs propres fournisseurs logiciels.

Ce qui s'est passé

En septembre 2025, la Commission européenne avait ouvert une procédure formelle contre SAP, estimant à titre préliminaire que l'éditeur restreignait la concurrence sur le marché européen de la maintenance et du support de ses logiciels ERP installés sur site. Quatre pratiques étaient visées : l'impossibilité de résilier la maintenance de licences inutilisées, des frais de réintégration dissuasifs pour les clients revenant vers SAP après une interruption, l'allongement systématique de la durée initiale des licences pendant laquelle toute résiliation était bloquée, et l'obligation de confier l'intégralité du parc logiciel à SAP sans pouvoir panacher plusieurs prestataires.

Plutôt que de risquer une sanction au titre de l'article 102 du Traité sur le fonctionnement de l'UE, SAP a choisi la voie de l'article 9 du règlement 1/2003 : proposer des engagements plutôt que de contester une infraction. Après un test de marché mené fin 2025, la Commission a rendu ces engagements contraignants pour une durée de dix ans, sous la surveillance d'un mandataire indépendant. En cas de manquement, SAP s'expose à une amende pouvant atteindre 10 % de son chiffre d'affaires mondial annuel.

Pourquoi c'est important pour les DPO

Cette affaire ne touche ni au RGPD ni à la protection des données au sens strict. Mais la méthode que Bruxelles a employée pour qualifier l'abus — verrouillage contractuel, coûts de sortie artificiels, absence de choix de prestataire — est exactement celle qu'un DPO devrait appliquer lors de l'audit d'un sous-traitant au sens de l'article 28 du RGPD. Un fournisseur qui verrouille juridiquement la sortie d'un client pose le même risque, qu'il s'agisse de droit de la concurrence ou de protection des données : la difficulté à changer de prestataire retarde aussi la mise en conformité, la portabilité des données ou la fin d'un traitement devenu problématique.

Le RGPD appliqué aux solutions SaaS impose déjà des garanties de réversibilité et de restitution des données à la fin du contrat. Or ces garanties sont souvent noyées dans des clauses techniques que peu d'organisations challengent réellement avant signature, un point que le Cigref soulignait récemment en distinguant souveraineté (affaire d'État) et résilience (affaire d'entreprise) : c'est à l'entreprise, et donc au DPO, de traduire ces exigences en critères vérifiables dans ses propres contrats fournisseurs.

Ce que ça change pour les organisations

Concrètement, l'affaire SAP donne une grille de lecture réutilisable pour tout audit de sous-traitant au titre de l'article 28, qu'il s'agisse d'un éditeur ERP, d'un hébergeur cloud ou de tout prestataire SaaS critique : vérifier si la résiliation d'une licence ou d'un module inutilisé est réellement possible, si des frais de réintégration ou de rétroactivité s'appliquent en cas de retour après rupture, si la durée contractuelle initiale bloque artificiellement toute sortie, et si le prestataire impose un service « tout ou rien » interdisant de panacher plusieurs fournisseurs. Ces quatre critères devraient rejoindre le questionnaire fournisseur standard, aux côtés des clauses classiques de sécurité et de localisation des données.

Pour les contrats en cours de négociation ou de renouvellement, c'est aussi l'occasion de revisiter le Data Processing Agreement associé : un DPA conforme à l'article 28 doit rester opposable et auditable, y compris sur les conditions de sortie, faute de quoi l'organisation reste otage d'un fournisseur au moment même où elle voudrait changer de cap réglementaire.

Ce que Leto pense de cette décision

Ce dossier confirme une tendance de fond : la Commission européenne préfère de plus en plus le règlement par engagements à la sanction formelle, ce qui est plus rapide mais laisse aussi moins de jurisprudence publique à disposition des entreprises tierces. Pour les DPO, la leçon n'est pas dans le montant évité par SAP, mais dans le diagnostic que Bruxelles a posé : le verrouillage contractuel est devenu un point de contrôle réglementaire à part entière, qu'il relève de la concurrence ou de la protection des données. Chez Leto, nous pensons qu'il ne faut pas attendre qu'un régulateur tranche ce type de clause pour la renégocier : les quatre critères retenus contre SAP peuvent, dès aujourd'hui, être ajoutés tels quels à toute grille d'audit fournisseur.

Sources : Communiqué de la Commission européenne, communiqué de SAP, Silicon.fr.