Droit à réparation à la suite d’une violation du RGDP

Une audience de la Cour de justice chambre à cinq juges
Source : Cour de Justice de l’Union Européenne

Dans une décision du 4 mai 2023, la Cour de Justice rappelle les conditions dans lesquelles la violation du RGDP (Règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données) peut donner lieu à une indemnisation (aff. C-300/21, Österreichische Post).
 

Le règlement général de protection des données (RGPD) est un règlement européen qui encadre le traitement des données de manière égalitaire sur tout le territoire de l’Union européenne (UE) (les données sont les informations se rapportant à une personne physique identifiée ou identifiable soit par identification directe grâce par exemple au nom, prénom, etc… soit par identification indirecte au moyen d’un identifiant, d’un numéro, etc…). Le règlement a pour but de renforcer les droits des personnes, de responsabiliser les acteurs traitant des données et d’assurer l’efficacité de la régulation grâce à une coopération renforcée entre les autorités nationales de protection des données.
 

L’affaire portée devant la CJUE a son origine dans la collecte d’informations sur les affinités politiques de la population autrichienne réalisée par l’Österreichische Post depuis 2017. À l’aide d’un algorithme, elle a défini des « adresses de groupes cibles » selon des critères sociaux et démographiques. Les données générées ont été vendues à différentes organisations, pour leur permettre de procéder à des envois ciblés de publicité. Au cours du traitement, Österreichische Post a établi qu’un citoyen déterminé avait une affinité élevée avec un certain parti politique autrichien. Ces données traitées n’ont pas été transférées à des tiers. Le citoyen concerné, qui n’avait pas consenti au traitement de ses données à caractère personnel, a saisi la justice autrichienne. Il déclarait avoir ressenti une grave contrariété, une perte de confiance, ainsi qu’un sentiment d’humiliation, en raison de l’établissement d’une affinité particulière avec le parti en question. Il demandait réparation de son préjudice moral et réclamait pour cela une indemnisation de 1 000 euros. Le litige est arrivé devant la Cour suprême qui a formé un renvoi préjudiciel devant la CJUE. Avant de statuer, elle souhaitait en effet avoir des précisions du l’interprétation à donner aux dispositions du RGDP. Plus précisément, la Cour suprême demande à la CJUE si l’attribution de dommages et intérêts prévue par l’article 82 du RGPD exige-t-elle que le requérant ait subi un préjudice ou bien une violation des dispositions du RGPD suffit-elle ? Pour évaluer ces dommages-intérêts, existe-t-il, à côté des principes d’effectivité et d’équivalence, d’autres exigences du droit de l’Union ? Enfin, la réparation d’un préjudice moral nécessite-t-elle un degré de gravité particulière ?
 

Dans sa décision, la CJUE rappelle que le droit à réparation prévu par le RGPD est subordonné à trois conditions qui doivent se cumuler : une violation du RGPD, un dommage matériel ou moral résultant de cette violation et un lien de causalité entre le dommage et la violation. Par conséquent, une violation du RGPD n’ouvre pas, à elle seule, le droit à réparation.
 

Par ailleurs, la Cour constate que le RGPD ne réserve pas le droit à réparation aux dommages moraux atteignant un certain seuil de gravité. Et elle relève que, dans le cas contraire, le degré de gravité serait apprécié par les juges nationaux saisis ce qui conduirait à des réparations fluctuantes.   
 

Enfin, l’évaluation des dommages-intérêts dépend des règles nationales puisque le RGDP ne contient aucune disposition en la matière en dehors des principes généraux d’équivalence et d’effectivité. On rappelle que le principe d'effectivité exige que la protection des droits que tirent les particuliers du droit de l'Union ne soit pas soumise à des conditions de nature à rendre pratiquement impossible ou excessivement difficile l'exercice de ces droits. Quant au principe d’équivalence, il interdit de juger une situation européenne d’une manière différente d’une situation nationale.
 

Dans l’espèce en question, le requérant ne pourra être indemnisé que si le juge national reconnait l’existence du préjudice moral allégué et son lien avec le traitement de données.