CJUE – MediaMarktSaturn – C-687/21

Décision

Autorité:

Cour de Justice de l'UE

Numéro:

C-687/21

Nom:

MediaMarktSaturn

Date:

25 janvier 2024

Pays:

Allemagne

Lien:

Cliquer ici

Contexte

Le requérant au principal s’est rendu dans les locaux commerciaux de Saturn, où il a acquis un appareil électroménager. Un contrat de vente et de crédit a été établi, à cet effet, par un employé de cette société. À cette occasion, celui-ci a introduit dans le système informatique de Saturn plusieurs données à caractère personnel de ce client, à savoir ses nom et prénom, son adresse, son lieu de résidence, le nom de son employeur, ses revenus ainsi que ses coordonnées bancaires. Le requérant au principal les a ensuite apportés aux employés de Saturn travaillant au lieu de sortie des marchandises.

Un autre client, qui s’était subrepticement faufilé devant le requérant au principal, a alors reçu, par erreur, tant l’appareil commandé par ce dernier que les documents concernés et a emporté le tout. L’erreur ayant été rapidement découverte, un employé de Saturn a obtenu la restitution de l’appareil et des documents, puis les a rendus au requérant au principal, dans la demi-heure qui a suivi leur remise à l'autre client. L’entreprise a souhaité indemniser le requérant au principal pour cette erreur en lui livrant gratuitement l’appareil concerné à son domicile, mais l’intéressé a estimé que cette indemnisation était insuffisante. Le requérant au principal a saisi l’Amtsgericht Hagen (tribunal de district de Hagen, Allemagne), qui est la juridiction de renvoi dans la présente affaire, d’une action tendant à obtenir, notamment sur le fondement des dispositions du RGPD, la réparation du préjudice moral qu’il affirme avoir subi.

Apport(s)
Rupture de la confidentialité des données liée à une erreur - Présomption d'insuffisance des mesures techniques et organisationnelle - Absence Extrait(s) pertinent(s)45. Eu égard aux motifs qui précèdent, il y a lieu de répondre aux troisième et quatrième questions que les articles 5, 24, 32 et 82 du RGPD, lus conjointement, doivent être interprétés en ce sens que, dans le cadre d’une action en réparation fondée sur cet article 82, le fait que des employés du responsable du traitement ont remis par erreur à un tiers non autorisé un document contenant des données à caractère personnel ne suffit pas, à lui seul, pour considérer que les mesures techniques et organisationnelles mises en œuvre par le responsable du traitement en cause n’étaient pas « appropriées », au sens de ces articles 24 et 32. Article(s) du RGPD Article 5 – Principes relatifs au traitement Article 24 – Responsabilité du responsable du traitement Article 32 – Sécurité du traitement Article 82 – Droit à réparation et responsabilité Fait référence à > CJUE – Natsionalna agentsia za prihodite – C-340/21 Autres informations
Violation du RGPD - Réparation du préjudice - Fonction compensatoire et non punitive Extrait(s) pertinent(s)50. Par conséquent, il y a lieu de répondre à la septième question que l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens que le droit à réparation prévu à cette disposition, notamment en cas de dommage moral, remplit une fonction compensatoire, en ce qu’une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive. Article(s) du RGPD Article 82 – Droit à réparation et responsabilité Fait référence à > CJUE – Krankenversicherung Nordrhein – C-667/21 > CJUE – Österreichische Post AG – C-300/21 Autres informations
Violation du RGPD - Réparation du préjudice - Prise en compte du degré de gravité de la violation - Absence d'obligation Extrait(s) pertinent(s)55. Eu égard aux motifs qui précèdent, il convient de répondre à la sixième question que l’article 82 du RGPD doit être interprété en ce sens que cet article ne requiert pas que le degré de gravité de la violation commise par le responsable du traitement soit pris en compte aux fins de la réparation d’un dommage sur le fondement de cette disposition. Article(s) du RGPD Article 82 – Droit à réparation et responsabilité Fait référence à > CJUE – Krankenversicherung Nordrhein – C-667/21 Autres informations
Réparation du préjudice - Conditions de la responsabilité (Régime de responsabilité de droit commun) - 1) Violation du RGPD - 2) Existence d'un dommage - 3) Lien de causalité Extrait(s) pertinent(s)61. Eu égard aux motifs qui précèdent, il convient de répondre à la deuxième question que l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens que la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral. Article(s) du RGPD Article 82 – Droit à réparation et responsabilité Fait référence à > CJUE – Gemeinde Ummendorf – C-456/22 > CJUE – Natsionalna agentsia za prihodite – C-340/21 > CJUE – Österreichische Post AG – C-300/21 > CJUE – Krankenversicherung Nordrhein – C-667/21 Autres informations
Dommage moral - Simple crainte d'un usage abusif des données dont la confidentialité n'a pas été respectée - Rejet Extrait(s) pertinent(s)69. Partant, il y a lieu de répondre à la cinquième question que l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens que, dans l’hypothèse où un document contenant des données à caractère personnel a été remis à un tiers non autorisé dont il est établi qu’il n’a pas pris connaissance de celles-ci, un « dommage moral », au sens de cette disposition, n’est pas constitué par le simple fait que la personne concernée craint que, à la suite de cette communication ayant rendu possible la réalisation d’une copie dudit document avant sa restitution, une diffusion, voire un usage abusif, de ses données se produise dans le futur. Article(s) du RGPD Article 82 – Droit à réparation et responsabilité Fait référence à > CJUE – Natsionalna agentsia za prihodite – C-340/21 > CJUE – Gemeinde Ummendorf – C-456/22 Autres informations