Contrairement aux amendes prévues à l’article 83 du RGDP, le droit à réparation du préjudice subi en raison d’une violation du RGDP ne remplit pas une fonction dissuasive ni punitive, mais compensatoire. Ainsi, la réparation pécuniaire prévue à l’article 82 doit permettre de compenser intégralement le préjudice subi – sans pour autant dépasser ce niveau de réparation intégrale –, indépendamment de la gravité de la violation.
C’est ce qu’explique la CJUE dans l’arrêt datant du 21 décembre dernier (3ème chambre, affaire C-667/21), conformément aux conclusions de l’avocat général Campos Sánchez-Bordona.
La Cour affirme également que la faute du responsable du traitement de données personnelles à l’origine de la violation est présumée. Ainsi, une fois la preuve des trois éléments traditionnellement requis par l’article 82 aux fins de la réparation (violation au Règlement, préjudice et lien de causalité) rapportée, il incombe au responsable du traitement de démontrer que le dommage ne lui est pas imputable.
Bien que parvenant à la même conclusion, l’avocat général utilise un paradigme différent. Selon lui, et à la lumière des travaux préparatoires et du libellé même de l’article 82, le RGDP a opté pour un régime de responsabilité civile détachée de la faute. Il s’agirait plutôt d’une responsabilité fondée sur le risque que représente le traitement de données. Les acteurs du traitement devraient alors évaluer ces risques afin de les prévenir et minimiser. L’acceptation du risque par le responsable du traitement ne peut toutefois en aucun cas l’obliger à indemniser les préjudices résultant d’actions exclusivement imputables à l’utilisateur
La Cour conclut qu’un tel mécanisme de responsabilité pour faute assorti d’un renversement de la charge de la preuve permet d’assurer un équilibre entre les intérêts du responsable du traitement de données et les droits des personnes dont les données sont traitées, conformément aux objectifs du Règlement de développer l’économie numérique tout en garantissant un niveau élevé de protection des personnes.
On peut toutefois s’interroger sur cet équilibre, qui semble pencher davantage en faveur de l’utilisateur étant donné que la moindre négligence suffit à établir la responsabilité du responsable du traitement, et que le faible degré de gravité ne saurait réduire le montant des dommages-intérêts dus.
Pour plus d’informations n’hésitez pas à nous contacter à l’adresse mail suivante : [email protected].
Emanuela Doria
Jeanne Deniau
Marco Amorese