Répondant à une question préjudicielle posée par la Cour Suprême autrichienne, la CJUE a affirmé dans une décision du 4 mai 2023 (1) que la simple violation des dispositions du RGPD ne suffit pas pour conférer un droit à réparation.
Un citoyen autrichien a assigné une société pour avoir traité ses données sans autorisation afin d'établir des statistiques sur ses affinités politiques. Il affirme que « le fait que des données relatives à ses supposées opinions politiques aient été conservées au sein de cette société aurait suscité chez lui une grave contrariété, une perte de confiance, ainsi qu’un sentiment d’humiliation ». Il a ainsi formé un recours tendant à la cession du traitement des données et au paiement de 1000€ en réparation de son préjudice moral.
La Cour suprême autrichienne, saisie du recours en révision formé contre le rejet de la demande d'indemnisation, a décidé de surseoir à statuer afin de poser plusieurs questions préjudicielle à la CJUE.
Question préjudicielle 1
Pour allouer des dommages-intérêts en vertu de l’article 82 du RGPD [...], est-il exigé, à côté d’une violation des dispositions du RGPD, que le requérant ait subi un préjudice ou bien une violation des dispositions du RGPD suffit-elle déjà en soi pour allouer des dommages intérêts ?
La CJUE commence par expliquer que les notions de « dommage matériel ou moral » et de « réparation du préjudice subi » doivent être considérées, aux fins de l’application du RGPD, comme des notions autonomes du droit de l’Union Européenne devant ainsi être interprétées uniformément par les différents États membres.
La CJUE explique ensuite qu'il ressort de l'article 82 du RGPD que « l’existence d’un dommage ou d’un préjudice ayant été subi constitue l’une des conditions du droit à réparation prévu à ladite disposition, tout comme l’existence d’une violation du RGPD et d’un lien de causalité entre ce dommage et cette violation, ces trois conditions étant cumulatives », contrairement aux « articles 83 et 84 du RGPD, qui permettent d’infliger des amendes administratives ainsi que d’autres sanctions, ont essentiellement une finalité punitive et ne sont pas subordonnées à l’existence d’un dommage individuel ».
Ainsi, la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation.
Question préjudicielle 2
Aux fins de l’évaluation des dommages-intérêts, existe-t-il, à côté des principes d’effectivité et d’équivalence, d’autres exigences du droit de l’Union ?
La CJUE répond que « l’article 82 du RGPD doit être interprété en ce sens que, aux fins de la fixation du montant des dommages-intérêts dus au titre du droit à réparation consacré à cet article, les juges nationaux doivent appliquer les règles internes de chaque État membre relatives à l’étendue de la réparation pécuniaire, pour autant que les principes d’équivalence et d’effectivité du droit de l’Union soient respectés. »
Question préjudicielle 3
La position selon laquelle, pour accorder [la réparation d’]un préjudice moral, la condition est qu’il existe une conséquence ou un effet de la violation du droit ayant au moins un certain poids et allant au-delà du mécontentement suscité par la violation du droit est-elle compatible avec le droit de l’Union ?
La CJUE répond que « l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens qu’il s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité. »
-
Photo de Carlos Muza sur Unsplash
Comments