[Brèves] Violation du RGDP et droit à réparation

► La simple violation des dispositions du RGPD ne suffit pas pour conférer un droit à réparation, mais l’atteinte d’un certain seuil de gravité par le dommage moral subi n’est pas requise pour conférer un droit à réparation ;

Aux fins de la fixation du montant des dommages et intérêts dus au titre du droit à réparation, les juges nationaux doivent appliquer les règles internes de chaque État membre relatives à l’étendue de la réparation pécuniaire, pour autant que les principes d’équivalence et d’effectivité du droit de l’Union soient respectés.

Faits et procédure. À compter de l’année 2017, Österreichische Post (poste autrichienne) a collecté des informations sur les affinités politiques de la population autrichienne et a traité ces données. Ces dernières n’ont pas été transférées à des tiers.

Un citoyen, qui n’avait pas consenti au traitement de ses données à caractère personnel, affirme avoir ressenti une grave contrariété, une perte de confiance, ainsi qu’un sentiment d’humiliation, en raison de l’établissement d’une affinité particulière avec un parti politique. C’est au titre de la réparation du préjudice moral qu’il estime avoir subi qu’il réclame devant les juridictions autrichiennes un montant de 1 000 euros.

La Cour suprême autrichienne a exprimé des doutes quant à la portée du droit à réparation que le RGPD (Règlement (UE) n° 2016/679, du 27 avril 2016 N° Lexbase : L0189K8I) prévoit en cas d’un dommage matériel ou moral du fait d’une violation de ce Règlement. Cette juridiction a donc demandé à la CJUE si la simple violation du RGPD suffit pour conférer ce droit, et si la réparation n’est possible qu’au-delà d’un certain degré de gravité du dommage moral subi. Elle souhaite aussi savoir quelles sont les exigences du droit de l’Union quant à la fixation du montant des dommages et intérêts.

Décision. La CJUE énonce, en premier lieu, que le droit à réparation prévu par le RGPD est subordonné de manière univoque à trois conditions cumulatives : une violation du RGPD, un dommage matériel ou moral résultant de cette violation et un lien de causalité entre le dommage et la violation. Partant, elle précise que toute violation du RGPD n’ouvre pas, à elle seule, le droit à réparation. De plus, aux termes des considérants du RGPD portant spécifiquement sur le droit à réparation, sa violation n’entraîne pas nécessairement un dommage et, pour fonder un droit à réparation, un lien de causalité doit exister entre la violation en cause et le dommage subi. Ainsi, l’action en réparation se distingue d’autres voies de recours prévues par le RGPD, notamment celles permettant d’infliger des amendes administratives, pour lesquelles l’existence d’un dommage individuel n’a pas à être démontrée.

En deuxième lieu, la Cour constate que le droit à réparation n’est pas réservé aux dommages moraux atteignant un certain seuil de gravité. Le RGPD ne mentionne pas une telle exigence et une telle restriction contredirait la conception large des notions de « dommage » ou de « préjudice », retenue par le législateur de Union. De plus, subordonner la réparation d’un dommage moral à un certain seuil de gravité risquerait de nuire à la cohérence du régime instauré par le RGPD.

S’agissant, en troisième lieu, de règles relatives à l’évaluation des dommages et intérêts, la Cour relève que le RGPD ne contient pas de dispositions ayant un tel objet. Il appartient donc à l’ordre juridique de chaque État membre de fixer les modalités des actions destinées à assurer la sauvegarde des droits que les justiciables tirent à cet égard du RGPD et, en particulier, les critères permettant de déterminer l’étendue de la réparation due dans ce cadre, sous réserve de respecter les principes d’équivalence et d’effectivité. À cet égard, la Cour souligne la fonction compensatoire du droit à réparation prévu par le RGPD et rappelle que cet instrument tend à assurer une réparation complète et effective pour le dommage subi.

© Reproduction interdite, sauf autorisation écrite préalable