L’article 82.1 du RGPD prévoit que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement (du RGPD) a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. »
Il n’était toutefois pas clair jusqu’ici sous quelles conditions exactes une personne pouvait réclamer un dommage moral du fait d’une violation du RGPD et s’il y avait un seuil de gravité minimum à atteindre pour pouvoir introduire une telle demande (comme le soutenait certains états membres comme l’Allemagne).
Ce jeudi, la CJUE dans son arrêt C-300/21 du 4 mai 2023 a tenté d’apporter des réponses assez prudentes à ces questions. [1]
Contexte
L’affaire a été soulevée par un citoyen Autrichien dont les données à caractère personnel avaient été traitées (sans son consentement) par le service postal Autrichien (Österreichische Post) dans le but de déterminer ses affinités politiques à des fins publicitaires.
Le plaignant s’était vu attribuer par le service postal Autrichien un intérêt probable pour le “Parti de la liberté” d’extrême droite.
Le plaignant ayant été très contrarié par cette attribution a réclamé une indemnisation pour préjudice moral pour un montant de 1000 euros.
Cette affaire est remontée jusque devant la Cour suprême Autrichienne qui a renvoyé l’affaire à la CJUE en lui demandant si une simple violation du RGPD suffisait pour conférer à une personne un droit de réparation et si la réparation n’était possible qu’au-delà d’un certain degré de gravité du dommage moral subi.
La Cour suprême Autrichienne souhaitait aussi savoir quelles étaient les exigences du droit de l’Union quant à la fixation du montant des dommages-intérêts
Trois conditions cumulatives sont nécessaires pour établir un droit à la réparation d’un préjudice moral.
La Cour précise, en premier lieu, qu’il est clair que le droit à réparation prévu par le RGPD est soumis à trois conditions cumulatives : une violation du RGPD, un préjudice matériel ou immatériel résultant de cette violation et lien de causalité entre le dommage et la violation.
Ainsi, toute violation du RGPD ne donne pas lieu, à elle seule, à un droit à réparation. (Selon les considérants du RGPD, la violation du RGPD n’entraîne pas nécessairement un dommage, et il doit exister un lien de causalité entre la violation en cause et le préjudice subi pour établir un droit à indemnisation.)
Le droit à la réparation n’est pas limité par un seuil de gravité.
La Cour ne donne pas la définition d’un dommage moral dans le contexte du RGPD et ne suit pas non plus l’opinion de l’avocat général dans cette affaire qui préconisait un seuil de gravité au-delà duquel les dommages moraux pourraient donner lieu à une indemnisation. [2]
La Cour a décidé que la mise en œuvre d’un seuil « de gravité » n’était pas opportune, précisant que tout seuil aurait, en pratique, été susceptible de « fluctuer en fonction de l’appréciation des juges saisis ».
Évaluation du dommage.
Enfin, la Cour note que le RGPD ne contient aucune règle régissant l’évaluation des dommages.
Il appartient donc à l’ordre juridique de chaque État membre de prescrire les modalités des actions destinées à sauvegarder les droits que les particuliers tirent à cet égard du RGPD.
Selon la Cour, vise en particulier, les critères permettant de déterminer l’étendue de la réparation due dans ce cadre, sous réserve du respect par les jurisdictions nationales les principes d’équivalence et d’effectivité.
Conclusion
Les personnes cherchant à obtenir une indemnisation pour un dommage moral en lien avec une violation du RGPD peuvent le faire sans devoir prouver qu’un seuil spécifique de “gravité” du préjudice moral est atteint.
Ces personnes devront néanmoins être à même de pouvoir établir un lien de causalité entre la violation et le dommage subi.
[1]https://curia.europa.eu/juris/document/document.jsf?text=&docid=273284&pageIndex=0&doclang=FR&mode=req&dir=&occ=first&part=1&cid=3187740
[2]https://curia.europa.eu/juris/document/document.jsf?text=&docid=266842&pageIndex=0&doclang=FR&mode=lst&dir=&occ=first&part=1&cid=4291329
Pour plus d’informations dans le cadre d’une demande liée à cette thématique, n’hésitez pas à demander un entretien via notre formulaire de contact sur le site web ou écrivant à info@md-lex.be.