CJUE – Land Hessen (Obligation d’agir de l’autorité de protection des données) – C-768/21

La Caisse d’épargne est un établissement communal de droit public qui effectue, notamment, des opérations bancaires et de crédit. Le 15 novembre 2019, elle a notifié au HBDI, conformément à l’article 33 du RGPD, une violation de données à caractère personnel, constituée par le fait que l’une de ses employées avait consulté à plusieurs reprises, sans y être habilitée, des données à caractère personnel de TR, l’un de ses clients. La Caisse d’épargne s’est abstenue de communiquer à TR la violation de ses données à caractère personnel. Après avoir pris incidemment connaissance du fait que ses données à caractère personnel avaient été indûment consultées, TR a, le 27 juillet 2020, introduit une réclamation auprès du HBDI.

L'autorité a entendu la Caisse d’épargne par écrit et oralement sur les reproches formulés à son égard. Au cours de l’audition, la Caisse d’épargne a indiqué qu’elle s’était abstenue de procéder à une communication au titre de l’article 34 du RGPD, car son délégué à la protection des données avait estimé qu’il n’y avait pas de risque élevé pour les droits et les libertés de TR. Par une décision du 3 septembre 2020, le HBDI a informé TR que la Caisse d’épargne n’avait pas enfreint l’article 34 du RGPD et que, selon lui, un contrôle de principe de chaque accès n'est pas nécessaire..

TR a alors introduit un recours contre cette décision devant le Verwaltungsgericht Wiesbaden (tribunal administratif de Wiesbaden, Allemagne), la juridiction de renvoi, en lui demandant d’enjoindre au HBDI d’intervenir contre la Caisse d’épargne.