Par un arrêt rendu le 4 mai 2023, la Cour de justice de l’Union européenne précise les conditions d’indemnisation prévues par le règlement général sur la protection des données. Une société de droit autrichien avait collecté des données relatives aux affinités politiques de la population pour définir des adresses de groupes cibles à des fins publicitaires. Une personne physique, s’estimant lésée par l’attribution d’une étiquette politique à son insu, sollicita la cessation du traitement ainsi que le versement de dommages-intérêts au tribunal. Le tribunal régional statuant en matière civile de Vienne, par décision du 14 juillet 2020, a fait droit à la demande de cessation mais a rejeté l’indemnisation. Le tribunal régional supérieur de Vienne a confirmé cette solution par un arrêt rendu le 9 décembre 2020, en invoquant l’absence d’un seuil de gravité suffisant du préjudice. La Cour suprême autrichienne, par arrêt du 15 avril 2021, a ensuite saisi la Cour de justice de l’Union européenne de plusieurs questions préjudicielles sur l’article 82 du règlement. Il s’agissait de déterminer si la simple violation de la norme suffit à fonder un droit à réparation et si un seuil de gravité du dommage est nécessaire. La Cour énonce que si la violation ne suffit pas en soi, le dommage moral ne saurait être subordonné à une exigence de gravité particulière par le juge. L’examen des conditions de naissance du droit à réparation précède l’étude des modalités de mise en œuvre de l’indemnisation par les autorités judiciaires compétentes des États membres.
I. L’affirmation des conditions cumulatives du droit à réparation
A. L’exigence d’un préjudice distinct de la violation
Le texte de l’article 82 dispose que « toute personne ayant subi un dommage matériel ou moral du fait d’une violation » du règlement a droit à obtenir réparation. La juridiction souligne que l’existence d’un dommage ayant été subi constitue une condition autonome, s’ajoutant à celle de la violation et du lien de causalité juridique. Il en résulte que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » au profit de la personne physique concernée. Le législateur européen a instauré un régime de responsabilité civile classique qui nécessite la démonstration d’un préjudice concret découlant directement du manquement aux obligations de protection. La mention distincte de la violation et du dommage au sein de l’article précité serait superflue si le manquement suffisait à fonder seul l’indemnisation du demandeur.
B. L’exclusion de tout seuil de gravité pour le dommage moral
La Cour refuse de limiter la réparation aux seuls préjudices atteignant une certaine importance, privilégiant une interprétation large de la notion fondamentale de dommage moral réellement subi. Elle précise que le droit de l’Union « s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral […] à un certain degré de gravité ». Cette solution assure une protection cohérente des droits fondamentaux en évitant que l’indemnisation ne fluctue selon les appréciations discrétionnaires des magistrats nationaux statuant sur le territoire européen. Le respect des finalités du règlement impose une application homogène des règles de protection des libertés individuelles à l’égard du traitement automatisé des informations à caractère personnel. Une fois le principe de la responsabilité admis, il convient d’étudier la manière dont le préjudice doit être évalué par les autorités judiciaires saisies du litige.
II. La mise en œuvre de l’indemnisation par les juridictions nationales
A. L’encadrement par les principes d’équivalence et d’effectivité
En l’absence de règles européennes précises, il revient à chaque État membre de fixer les critères permettant de déterminer l’étendue de la réparation pécuniaire due au justiciable lésé. Cette autonomie procédurale reste strictement encadrée par les principes d’équivalence et d’effectivité, afin de ne pas rendre impossible l’exercice des droits conférés par l’ordre juridique de l’Union. Les juges nationaux doivent appliquer leurs règles internes « pour autant que les principes d’équivalence et d’effectivité du droit de l’Union soient respectés » par les autorités compétentes. La mise en œuvre du droit à réparation ne doit pas être soumise à des modalités moins favorables que celles régissant des situations similaires relevant exclusivement du droit interne. L’application de ces principes directeurs garantit que la sanction financière imposée au responsable du traitement conserve une portée réelle et protectrice pour les individus dont les données sont traitées.
B. La finalité compensatoire de la réparation intégrale
Le règlement européen tend à assurer une « réparation complète et effective pour le dommage subi », ce qui impose de compenser intégralement le préjudice moral ou matériel concrètement démontré. La fonction de cette indemnisation demeure exclusivement compensatoire, écartant le versement de dommages-intérêts punitifs qui resteraient étrangers à la logique globale du système de protection des libertés publiques. L’effectivité de la garantie repose sur un équilibre entre la preuve nécessaire du dommage et l’absence de tout obstacle procédural ou matériel injustifié imposé par l’État membre. Une telle approche permet de décourager la réitération de comportements illicites tout en respectant les principes classiques de la responsabilité civile au sein de l’espace de liberté européen. La protection des données s’affirme par un mécanisme de réparation juste, dont l’intensité est proportionnée à la réalité de l’atteinte portée aux droits de la personne physique.
