La simple violation du règlement général de protection des données (RGPD) ne fonde pas un droit à réparation, estime la Cour de justice de l’UE (CJUE) dans un arrêt rendu jeudi 4 mai (C-300/21). Elle souligne, en revanche, que l'obtention d'une réparation ne dépend pas de la gravité du dommage subi.
Depuis 2017, l’Österreichische Post collecte des informations sur les préférences politiques des citoyens autrichiens. Or, un individu, n'ayant pas consenti au traitement de ses données personnelles, a affirmé avoir subi un préjudice moral lorsque la poste a pu établir son affinité avec un parti politique et a réclamé une réparation de 1 000 euros.
Or, la Cour suprême autrichienne a demandé à la CJUE de clarifier, d’une part, si une simple violation du RGPD ouvre le droit à une réparation, et d’autre part, si la réparation n’est possible qu’au-delà d’un certain degré de gravité du dommage.
Dans son arrêt, la CJUE rappelle que, pour obtenir réparation, il faut une violation du RGPD, un dommage matériel ou moral résultant de cette violation ainsi qu'un lien de causalité entre le dommage et la violation. Dès lors, toute violation du RGPD n’ouvre pas, à elle seule, le droit à réparation. « Ainsi, l’action en réparation se distingue d’autres voies de recours prévues par le RGPD, notamment celles permettant d’infliger des amendes administratives, pour lesquelles l’existence d’un dommage individuel n’a pas à être démontrée », précise-t-elle.
En outre, la CJUE souligne que le RGPD ne soumet pas l'obtention d'une réparation à des dommages dépassant un certain seuil de gravité. Pour elle, le contraire risquerait de nuire à la cohérence du règlement, car l’appréciation de la gravité d’un évènement peut varier d’un juge à l’autre.
Enfin, la CJUE estime qu’il appartient aux États membres de fixer les critères qui déterminent les montants des réparations, « sous réserve de respecter les principes d’équivalence et d’effectivité ». Elle rappelle néanmoins que le droit à la réparation prévu par le RGPD tend à assurer une « réparation complète et effective pour le dommage subi ».
Voir l’arrêt : https://aeur.eu/f/6p7 (Hélène Seynaeve)