La Cour de justice de l’Union européenne (CJUE) a récemment apporté des précisions sur les conditions du droit à réparation en cas de violation du règlement général sur la protection des données (RGPD) et sur l’accès des personnes concernées à la « copie » de leurs données à caractère personnel.
En cas de violation du RGPD, ce dernier prévoit un droit à réparation pour la personne concernée en cas de dommage matériel ou moral.
Concernant ce droit, la CJUE a précisé que la simple violation des dispositions du RGPD ne suffisait pas à conférer un droit à réparation. Conformément à l’article 82 du RGPD, la personne concernée par la violation dudit règlement, doit, pour obtenir une indemnisation, prouver, outre la violation du RGPD, qu’elle a subi un préjudice (dommage matériel ou moral) et qu’il existe un lien de causalité entre ce dommage et la violation du RGPD. Ces 3 conditions (violation du RGPD, préjudice et lien de causalité) sont cumulatives. La CJUE a également précisé que ce droit à réparation n’est pas subordonné à la condition que le dommage atteigne un certain seuil de gravité.
Concernant l’évaluation des dommages-intérêts liés à la réparation du préjudice, elle a indiqué qu’il appartenait à chaque juridiction nationale d’en fixer les critères dans le respect des principes d’équivalence et d’effectivité du droit de l’Union européenne.
Enfin, le RGPD permet à toute personne concernée d’obtenir du responsable du traitement une copie de ses données à caractère personnel faisant l’objet d’un traitement. La CJUE a clarifié cette notion de « copie » en précisant que cela impliquait qu’il soit remis à la personne concernée une reproduction fidèle et intelligible de l’ensemble de ces données. Un simple listage général des données à caractère personnel ou une présentation synthétique (résumé, tableau, etc.) de celles-ci ne remplit donc pas cette condition.
CJUE 4-5-2023 aff. C-300/21 et aff. C‑487/21
© Lefebvre Dalloz