La Cour de justice de l'Union européenne (CJUE) a jugé que toute violation du règlement général sur la protection des données (RGPD) n'ouvre pas nécessairement droit à réparation.
A compter de l'année 2017, une entreprise autrichienne chargée de l'acheminent postal, a collecté des informations sur les affinités politiques de la population autrichienne. À l’aide d’un algorithme, elle a défini des "adresses de groupes cibles" selon des critères sociaux et démographiques.
Les données ainsi collectées ont conduit la société à établir qu’un citoyen déterminé avait une affinité élevée avec un certain parti politique autrichien. En revanche, les données traitées n’ont pas été transférées à des tiers.
Le citoyen concerné, qui n’avait pas consenti au traitement de ses données à caractère personnel, affirme avoir ressenti une grave contrariété, une perte de confiance, ainsi qu’un sentiment d’humiliation, en raison de l’établissement d’une affinité particulière avec le parti en question. C’est au titre de la réparation du préjudice moral qu’il estime avoir subi qu’il réclame devant les juridictions autrichiennes une certaine somme.
La Cour suprême autrichienne a exprimé des doutes quant à la portée du droit à réparation que le règlement général sur la protection des données (RGPD - règlement 2016-679 du 27 avril 2016) prévoit en cas d’un dommage matériel ou moral du fait d’une violation de ce règlement.
Cette juridiction a demandé à la Cour de justice de l'Union européenne si la simple violation du RGPD suffit pour conférer ce droit, et si la réparation n’est possible qu’au-delà d’un certain degré de gravité du dommage moral subi. Elle souhaite aussi savoir quelles sont les exigences du droit de l’Union quant à la fixation du montant des dommages-intérêts.
Dans un arrêt rendu le 4 mai 2023 (affaire C-300/21), la CJUE juge que la simple violation du RGPD ne fonde pas un droit à réparation.
En effet, tout d'abord, la Cour indique que le droit à réparation prévu par le RGPD est subordonné de manière univoque à trois conditions cumulatives : une violation du RGPD, un dommage matériel ou moral résultant de cette violation et un lien de causalité entre le dommage et la violation.
Ainsi, toute violation du RGPD n'ouvre pas, à elle seule, le droit à la (...)
