Réparation du préjudice au titre du RGPD (article 82)
Droit de toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement d'obtenir réparation, que la Cour de justice a précisé en 2023 sans seuil de gravité, ce qui ouvre la voie aux actions de masse après une fuite de données.
L'article 82 du règlement général sur la protection des données reconnaît à toute personne ayant subi un dommage matériel ou moral du fait d'une violation du règlement le droit d'obtenir réparation du responsable du traitement ou du sous-traitant. Pendant plusieurs années, les juridictions nationales ont divergé sur deux questions : faut-il un dommage, ou la simple violation suffit-elle, et le dommage moral doit-il atteindre un seuil de gravité ? La Cour de justice de l'Union y a répondu en 2023. Dans l'arrêt du 4 mai 2023, affaire C-300/21, elle a jugé que la simple violation ne suffit pas, qu'il faut prouver un dommage et un lien de causalité, mais que le droit national ne peut pas exiger que le dommage moral atteigne un seuil de gravité. Dans un arrêt du 14 décembre 2023, affaire C-340/21, elle a admis que la crainte d'un usage abusif des données par des tiers après une fuite peut constituer un dommage moral. Ces solutions abaissent le seuil d'accès à la réparation. Chaque indemnité reste modeste, mais multipliée par des centaines de milliers de personnes et combinée aux actions représentatives, elle fait de la responsabilité après fuite de données un risque européen de masse, que la garantie cyber de responsabilité doit désormais absorber.
Cas d'école : après une fuite des données de 500 000 clients, une association de consommateurs agit pour leur compte. Si les juges allouent en moyenne 150 euros par personne au titre de la crainte d'un usage abusif, que la Cour de justice a admise le 14 décembre 2023 comme pouvant constituer un dommage moral, l'exposition atteint 75 millions d'euros, hors frais de défense, pour une fuite qui n'a causé aucune perte financière directe.
article 82 du RGPD, préjudice moral RGPD, GDPR non-material damage
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.