GuiGui's Show

L'article 82 du RGPD prévoit la réparation, y compris l'indemnisation, d'un dommage, matériel ou moral, découlant d'un manquement au RGPD par un responsable de traitement (RT = entité qui traite des données à caractère personnel, DCP).

En droit français, ça se concrétise par une demande devant les juridictions civiles (ou administratives si le RT est une administration). (Rappel : quand la CNIL impose une amende à un RT, elle revient au budget général de l'État, comme toute amende, y compris pénale, et non aux auteurs de réclamations devant la CNIL.)

Pour prospérer, comme l'a jugé la CJUE depuis 2023 au moins (voir ici, ou là, ou là-bas), il faut établir le manquement au RGPD, son caractère fautif, le dommage, et la causalité entre manquement et dommage. (Une autorité de protection des données, comme la CNIL, doit également prouver le caractère fautif d'un manquement au RGPD avant d'imposer des mesures correctrices, dont une amende, voir ici.)

Autrement dit, la marche est haute, même si, en théorie, la CJUE a admis que des sentiments négatifs (crainte d'un mésusage de ses DCP, ou d'atteinte à sa réputation, ou mécontentement causé par la une perte de contrôle sur ses DCP, peur, etc.) peuvent ouvrir droit à réparation, sous réserve de leur démonstration.

Ici, il s'agit du premier arrêt de la Cour de cassation qui reprend la jurisprudence de la CJUE sur la nécessité d'établir la réalité d'un dommage allégué. Un manquement au RGPD n'ouvre pas, à lui seul, un droit à réparation.