L’avocat général Giovanni Pitruzzella estime que l’accès illicite d'un tiers à des données à caractère personnel implique la responsabilité présumée du responsable du traitement de ces données et peut donner lieu à un dommage moral réparable. Ses conclusions, rendues à la Cour de justice de l’UE jeudi 27 avril, font suite à une interrogation de la Cour suprême administrative bulgare sur l’interprétation du règlement général sur la protection des données (RGPD) dans le cadre de l’affaire C-340/21(« Natsionalna agentsia za prihodite »).
Données piratées
En 2019, suite au piratage du système informatique de l’Agence nationale bulgare des recettes publiques (NAP), des informations fiscales et relatives aux assurances sociales de millions de personnes ont été publiées sur Internet. Des citoyens ont alors assigné la NAP en justice pour obtenir réparation de leur préjudice moral occasionné par la crainte que leurs données divulguées soient utilisées abusivement. Pour eux, la NAP, en qualité de responsable du traitement, n’a pas honoré son obligation d’adopter des mesures appropriées pour garantir la sécurité de leurs données.
La juridiction de première instance a rejeté la demande, estimant que la NAP n’était pas responsable de la diffusion des données, que c’était aux citoyens qu’incombait la charge de prouver le caractère inapproprié des mesures et qu’aucun dommage moral n’était indemnisable. Saisie, la Cour suprême administrative bulgare a demandé à la Cour de justice de l’UE de préciser son interprétation du RGPD dans ce cas.
Conclusions
M. Pitruzzella rappelle que le responsable du traitement des données est « tenu de mettre en œuvre des mesures techniques et organisationnelles appropriées pour garantir la conformité au RGPD » et que le caractère approprié de ces mesures est évalué au cas par cas.
Ainsi, pour lui, l’existence d’une violation des données personnelles ne permet pas, à elle seule, de conclure que les mesures sont inappropriées. Toutefois, il revient bien au responsable du traitement de prouver que les mesures étaient adéquates.
Par ailleurs, le fait que la violation du RGPD ait été commise par un tiers n’exonère pas, en soi, la responsabilité du responsable du traitement. Pour être exonéré, il doit démontrer « avec un niveau de preuve élevé » que le fait dommageable ne lui est nullement imputable.
Enfin, pour ce qui est d’obtenir réparation, la personne concernée peut y prétendre, à condition qu’elle ait démontré l’existence d’un préjudice lié à la « crainte d’une utilisation potentielle abusive future de ses données à caractère personnel » et que ceci représente un « dommage émotionnel et certain ».
Les conclusions : https://aeur.eu/f/6ky (Hélène Seynaeve)