Actualité juridique · Publié le
Dommage moral et RGPD : une violation ne suffit pas, mais aucun seuil de gravité ne peut être exigé
Par un arrêt du 4 mai 2023 (UI c. Österreichische Post AG, aff. C-300/21, ECLI:EU:C:2023:370), la troisième chambre de la Cour de justice de l’Union européenne précise les conditions du droit à réparation prévu par l’article 82 du règlement général sur la protection des données. La simple violation du règlement ne suffit pas à ouvrir droit à réparation ; mais le droit national ne peut pas subordonner l’indemnisation d’un dommage moral au franchissement d’un seuil de gravité.
Sommaire de l’article
- Synthèse de la décision
- Une affinité politique attribuée par algorithme et une demande de 1 000 euros pour dommage moral
- Violation, dommage et causalité : trois conditions, sans exigence de gravité minimale
- Ce que la personne concernée doit établir devant le juge
- Tableau comparatif
- Questions fréquentes
- Sources
01
Synthèse de la décision
L’arrêt Österreichische Post est la première grande décision de la Cour de justice sur l’action en réparation ouverte par l’article 82 du RGPD.
- Trois conditions cumulatives : Le droit à réparation suppose une violation du règlement, un dommage matériel ou moral et un lien de causalité entre les deux : la seule violation ne suffit pas.
- Pas de seuil de gravité : Une règle ou une pratique nationale ne peut pas subordonner la réparation d’un dommage moral à la condition que le préjudice ait atteint un certain degré de gravité.
- Évaluation selon le droit national : Le montant des dommages-intérêts est fixé selon les règles internes de chaque État membre, dans le respect des principes d’équivalence et d’effectivité.
02
Une affinité politique attribuée par algorithme et une demande de 1 000 euros pour dommage moral
À compter de 2017, la société Österreichische Post, qui pratique notamment la vente d’adresses, a collecté des informations sur les affinités politiques de la population autrichienne. À l’aide d’un algorithme fondé sur des critères sociaux et démographiques, elle a défini des « adresses de groupes cibles » destinées à des envois publicitaires. Par extrapolation statistique, elle a attribué au requérant une affinité élevée avec un parti politique, sans que ces données soient transmises à des tiers.
Le requérant, qui n’avait pas consenti au traitement, a fait valoir une grave contrariété, une perte de confiance et un sentiment d’humiliation, et réclamé 1 000 euros au titre du dommage moral. Saisi en dernier ressort, l’Oberster Gerichtshof (Cour suprême, Autriche) a interrogé la Cour de justice par une décision du 15 avril 2021 sur les conditions de la réparation prévue par l’article 82 du RGPD.
03
Violation, dommage et causalité : trois conditions, sans exigence de gravité minimale
La Cour juge d’abord que la simple violation des dispositions du règlement ne suffit pas pour conférer un droit à réparation. L’article 82 exige l’existence d’un dommage, matériel ou moral, causé par la violation : ces éléments constituent des conditions distinctes et cumulatives.
Elle ajoute que l’article 82 s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral à la condition que le préjudice ait atteint un certain degré de gravité. Enfin, en l’absence de règles de l’Union sur l’évaluation des dommages-intérêts, il appartient aux juges nationaux d’appliquer les règles internes relatives à l’étendue de la réparation pécuniaire, pour autant que les principes d’équivalence et d’effectivité du droit de l’Union soient respectés.
04
Ce que la personne concernée doit établir devant le juge
L’arrêt écarte deux lectures extrêmes : celle d’une réparation automatique dès qu’une violation du RGPD est constatée, et celle d’un filtre fondé sur la gravité du préjudice moral. La personne concernée doit démontrer l’existence d’un dommage et son lien avec la violation ; elle n’a pas à prouver que ce dommage dépasse un seuil minimal.
Pour les responsables de traitement, la décision confirme que l’exposition au risque contentieux ne se limite pas aux amendes administratives : des actions individuelles en réparation peuvent prospérer pour des préjudices moraux modestes, dont le montant sera évalué selon le droit national applicable.
05
Tableau comparatif
| Question | Réponse de la Cour | Conséquence |
|---|---|---|
| Une violation du RGPD suffit-elle ? | Non : la simple violation ne confère pas un droit à réparation | Le demandeur doit établir un dommage et un lien de causalité |
| Un seuil de gravité du dommage moral peut-il être exigé ? | Non : l’article 82 s’y oppose | Un préjudice moral même modeste peut être indemnisé |
| Comment fixer le montant ? | Selon le droit national, dans le respect de l’équivalence et de l’effectivité | Évaluation par le juge national |
06
Questions fréquentes
- Une simple violation du RGPD permet-elle d’obtenir des dommages-intérêts ?
Non. Selon l’arrêt C-300/21, la violation doit avoir causé un dommage matériel ou moral, dont la personne concernée doit établir l’existence.
- Le juge peut-il refuser une indemnisation au motif que le dommage moral est trop léger ?
Il ne peut pas subordonner la réparation à un seuil de gravité. Le dommage doit être établi, mais aucune gravité minimale ne peut être exigée.
- Qui fixe le montant de la réparation ?
Le juge national, selon les règles internes relatives à l’étendue de la réparation pécuniaire, dans le respect des principes d’équivalence et d’effectivité du droit de l’Union.
07
Sources
Votre situation
Une question sur votre dossier ?
Le cabinet examine la situation sur pièces. Cette page est une information générale ; elle ne remplace pas l’analyse d’un dossier.