La Cour de justice de l’Union européenne a rendu un arrêt important ce 4 mai 2023. Celui-ci concerne le droit à la réparation après la constatation d’une violation du RGPD. Il fait suite à une plainte contre l’agence de crédits, CRIF. La poste autrichienne est aussi accusée d’avoir vendu des données de citoyens à des organisations.
La Cour de justice de l’Union européenne s’est prononcée sur le droit de réparation en raison d’une violation du RGPD. La CJUE a publié le 4 mai dernier un arrêt qui reprend une affaire qui concerne la poste autrichienne. Cette dernière était accusée par un citoyen d’exploitation abusive des données concernant les préférences de la population en matière de politiques. Selon lui, l’institution aurait accumulé des informations depuis 2017 et les aurait revendus à des tiers.
Lors du procès, les demandes du plaignant n’ont été que partiellement approuvées. C’est pour appuyer cette décision du tribunal régional que la CJUE a tenu à éclaircir les points de la RGPD.
Un Autrichien contre la CRIF
Au centre de cette affaire se trouve une agence exploitant des informations sur la solvabilité, et qui alimente une base de données en ce sens. Un citoyen autrichien a intenté une action en justice contre l’établissement : la CRIF. Ce premier a remis en question la forme par laquelle ses données personnelles lui avaient été transmises : version synthétique. Malgré cette plainte auprès de l’autorité autrichienne de protection des données (CNIL autrichienne), l’affaire n’a toujours pas de retombée et a été portée au niveau de la CJUE afin d’éclaircir certains points de droit.
En effet, la cour saisie s’est déclarée incompétente pour trancher sur ce litige. La CJUE a donc été contrainte de clarifier le concept d’information dans le cadre de l’article 15(3) du RGPD. Que les données soient collectées via des formulaires ou un contrat en portage salarial, la personne concernée peut en demander une copie.
Selon la CJUE, tant que le terme « copie » n’est pas assorti d’une définition dans l’article 15, il faut l’interpréter selon son sens courant. C’est-à-dire comme la transcription d’un original ou une reproduction fidèle qu’elle soit partielle ou entière. Par conséquent, toute présentation synthétique des données, telle qu’une description générale, un résumé, etc. est écartée. Cependant, il faut noter que cette interprétation ne doit pas entrer en conflit avec les libertés d’autrui.
Des détails sur le droit d’indemnisation
Le plaignant qui a intenté une action contre la poste avait exigé 1000 euros d’indemnisation. Ce montant se justifie selon le citoyen en raison du préjudice moral subit par rapport à l’utilisation de ses données. Les autorités ont tranché partiellement en défaveur du plaignant. La CJUE a donc tenu à éclaircir le principe de dédommagement.
Selon la juridiction de l’Union européenne, la simple violation du RGPD ne suffit pas à conférer un droit à réparation. En somme, la violation en elle-même ne constitue pas une base suffisante pour obtenir une indemnisation. De plus, il faut établir l’existence d’un dommage matériel ou moral et prouver le lien entre celui-ci et la violation. La CJUE insiste sur l’importance de cette condition, soulignant que toute interprétation divergente des dispositions du RGPD serait en contradiction avec sa véritable formulation. Pourtant, elle considère qu’exiger un certain niveau de gravité irait à l’encontre de la conception générale du terme « dommage ». Il convient également de souligner que le RGPD ne prévoit pas de règles spécifiques permettant d’estimer le montant des dommages-intérêts. Il revient donc aux législations propres à chaque État membre de spécifier ces modalités d’évaluation en fonction des abus.
Les autorités ont ainsi été contraintes d’expliquer les clauses de la RGPD. En effet une interprétation erronée (article, texte, convention, contrat en portage salarial, etc.) peut porter à conséquence. En somme, ces précisions permettent de mieux comprendre les exigences juridiques entourant cette question au sein de l’Union européenne.