CJUE | Arrêt du 27 octobre 2025 | C-655/23 | Quirin Privatbank │ PORTEE DE L'AFFAIRE

---

CLARIFICATION DU RÉGIME DES VOIES DE RECOURS

L’arrêt Quirin Privatbank marque une étape déterminante dans la définition des voies de recours ouvertes à la personne concernée en cas de traitement illicite de ses données à caractère personnel. En jugeant que le RGPD n’impose pas aux États membres de prévoir une injonction d’abstention préventive mais ne l’interdit pas davantage, la Cour a dessiné les contours d’une harmonisation asymétrique : minimale s’agissant des obligations, mais non plafonnée s’agissant des facultés nationales.

Cette solution a une portée considérable pour les ordres juridiques des États membres qui connaissent des mécanismes d’injonction dans le droit commun de la responsabilité civile — comme le droit allemand avec l’Unterlassungsklage, le droit autrichien ou le droit français avec le référé-injonction. Ces instruments demeurent pleinement disponibles pour la protection des droits conférés par le RGPD, indépendamment de l’absence de fondement exprès dans le règlement. Il en résulte une disparité normative entre les États membres : les justiciables établis dans des États dotés de mécanismes d’injonction préventive bénéficieront d’une protection plus étendue que ceux résidant dans des États où de tels mécanismes n’existent pas ou sont peu développés.

---

CONSOLIDATION ET PRÉCISION DU RÉGIME DE L’ARTICLE 82 DU RGPD

L’arrêt s’inscrit dans une lignée jurisprudentielle déjà fournie relative à l’article 82 du RGPD et l’enrichit sur trois points essentiels.

En premier lieu, il confirme que la réparation au titre de l’article 82, §1, du RGPD remplit une fonction exclusivement compensatoire. Cette confirmation est décisive en ce qu’elle exclut définitivement l’introduction, par les juges nationaux, d’une logique punitive dans l’évaluation du montant de la réparation. La gravité de la faute du responsable du traitement, son caractère intentionnel, son attitude ou ses motivations ne peuvent ni augmenter ni réduire le montant de la réparation due : seul le préjudice effectivement subi par la personne concernée détermine le quantum indemnitaire.

En deuxième lieu, il tranche une question pratique longtemps débattue dans le contentieux national : l’injonction d’abstention ne peut pas tenir lieu de réparation pécuniaire, même partiellement. Cette solution protège les droits de la personne concernée en garantissant qu’elle pourra toujours obtenir une indemnisation effective en numéraire, en sus — et non à la place — d’une injonction d’abstention. Elle prévient ainsi une dévaluation du droit à réparation par substitution d’instruments poursuivant des finalités distinctes.

En troisième lieu, l’arrêt précise implicitement les limites de l’appréciation par les juges nationaux du montant de la réparation due : sans consacrer expressément un seuil minimum, la Cour confirme qu’une indemnité inférieure au préjudice effectivement subi ne serait pas conforme au RGPD, quelle qu’en soit la raison — y compris la possession d’une injonction d’abstention.

---

PORTÉE PRATIQUE DANS LE CONTENTIEUX DU RECRUTEMENT ET DES DONNÉES RH

Les faits de l’espèce — divulgation non autorisée de données relatives à une candidature par une employée d’une banque, via un réseau social professionnel — illustrent un risque majeur dans le domaine des données à caractère personnel dans le contexte des ressources humaines. L’arrêt a donc une portée pratique directe pour les employeurs et les responsables du traitement dans la gestion des candidatures, en soulignant que :

—-le traitement des données de candidature à des fins autres que le recrutement constitue une violation du RGPD susceptible d’engager la responsabilité indemnitaire du responsable du traitement au titre de l’article 82, §1, du RGPD ;
—-la personne concernée peut obtenir, cumulativement, une injonction d’abstention de toute réitération et une réparation pécuniaire du préjudice moral subi ;
—-le responsable du traitement ne peut pas prétendre que la réparation pécuniaire est sans objet au motif que la personne concernée bénéficie d’une injonction d’abstention.

---

IMPACT SUR DES AFFAIRES PARALLÈLES ET RETENTISSEMENT IMMÉDIAT

L’impact de l’arrêt Quirin Privatbank a été immédiat et mesurable. Par ordonnance du 30 septembre 2025 (ECLI:EU:C:2025:786), le président de la Cour a ordonné la radiation de l’affaire C-40/25 du registre de la Cour, à la suite du retrait de sa demande préjudicielle par l’Oberlandesgericht Wien (tribunal régional supérieur de Vienne, Autriche), qui avait été informé de l’arrêt Quirin Privatbank le 4 septembre 2025 et avait estimé que cet arrêt répondait à ses questions. Cette séquence témoigne du rayonnement immédiat de l’arrêt sur le contentieux en cours dans les États membres.

Les conclusions de l’Avocat Général présentées le 20 mars 2025 dans l’affaire C-526/24, Brillen Rottler, ont également cité les points 62 et 64 de l’arrêt Quirin Privatbank à l’appui d’un développement sur la perte de contrôle sur les données à caractère personnel comme source de dommage moral indemnisable.

---

PORTÉE DANS LA PERSPECTIVE DU CONTENTIEUX DE MASSE ET DU PRIVATE ENFORCEMENT

L’arrêt contribue à la structuration du contentieux de masse RGPD (actions individuelles ou collectives fondées sur l’article 82 du RGPD) en fixant des règles claires :

—-Pas de dommages-intérêts punitifs : le juge national ne peut pas utiliser le préjudice pour sanctionner le responsable du traitement ;
—-Pas de déflation indemnitaire par l’effet d’une injonction préalablement obtenue ;
—-Subsistance des mécanismes nationaux préventifs : les États membres qui ont prévu des voies de recours préventives conservent leur compétence normative en ce domaine.

Sur le plan du private enforcement, la solution retenue tempère l’efficacité dissuasive de l’article 82 en réservant la fonction punitive aux seules amendes administratives prévues par l’article 83 du RGPD. Cette dichotomie fonctionnelle — réparation civile exclusivement compensatoire, sanction administrative potentiellement dissuasive — renforce la compétence des autorités de contrôle dans le cadre de la mise en œuvre du RGPD, tout en laissant à la personne concernée un droit à réparation intégrale, mais non majorée.

---

PORTÉE DANS LA PERSPECTIVE DES DROITS FONDAMENTAUX

L’arrêt consolide la protection du droit fondamental à la protection des données à caractère personnel consacré par l’article 8 de la Charte des droits fondamentaux de l’Union européenne. En garantissant à la personne concernée le droit à une réparation effective, complète et non susceptible de réduction par l’effet d’instruments préventifs, la Cour assure la pleine effectivité de ce droit fondamental dans sa dimension contentieuse.

Il consacre également le principe d’effectivité des recours en matière de RGPD : la personne concernée bénéficie d’instruments cumulatifs — injonction préventive (si le droit national le prévoit) et réparation pécuniaire intégrale — dont l’un ne saurait effacer ou réduire l’autre.

---

 
 
 

---

POINTS ESSENTIELS

---

Saisie par le Bundesgerichtshof à la suite d’une divulgation non autorisée, par une employée d’une banque allemande, de données relatives à la candidature d’IP à un tiers n’ayant aucun rôle dans le processus de recrutement — divulgation effectuée par erreur via la messagerie interne d’un réseau social professionnel —,

la Cour de justice de l’Union européenne tranche, dans l’arrêt Quirin Privatbank (quatrième chambre, 4 septembre 2025, ECLI:EU:C:2025:655), trois questions fondamentales au confluent du droit à un recours effectif et du régime de responsabilité consacré par le RGPD :

en premier lieu, elle juge que le RGPD ne prévoit pas, au profit de la personne concernée, une voie de recours juridictionnel lui permettant d’obtenir à titre préventif qu’il soit enjoint au responsable du traitement de s’abstenir de tout nouveau traitement illicite, tout en précisant avec une égale fermeté que ce règlement ne s’oppose pas à ce qu’un État membre prévoie une telle voie de recours préventif dans son ordre juridique interne — confirmant ainsi l’autonomie procédurale des États membres dans les limites du principe d’effectivité ;

en deuxième lieu, elle affirme que la fonction exclusivement compensatoire du droit à réparation consacré par l’article 82, §1, du RGPD s’oppose à ce que le degré de gravité et l’éventuel caractère intentionnel de la violation commise par le responsable du traitement soient pris en compte, à la hausse comme à la baisse, dans l’évaluation du montant de la réparation, excluant ainsi toute logique punitive mais interdisant également toute réduction de l’indemnité fondée sur la bonne foi ou le caractère non délibéré de la violation ;

en troisième et dernier lieu, elle juge que l’article 82, §1, du RGPD s’oppose à ce que le bénéfice d’une injonction d’abstention obtenue en vertu du droit national applicable soit pris en compte pour réduire l’étendue de la réparation pécuniaire due ou, a fortiori, pour s’y substituer, au motif que l’injonction d’abstention — dont la finalité est purement préventive — et la réparation pécuniaire — dont la finalité est exclusivement compensatoire — constituent deux instruments distincts, cumulatifs et non fongibles, dont l’un ne saurait empiéter sur la sphère de l’autre ;

l’impact immédiat de cet arrêt se mesure à la radiation, dès le 30 septembre 2025, de l’affaire C-40/25 (Oberlandesgericht Wien) portant sur des questions similaires, ainsi qu’à sa citation par l’Avocat Général dans les conclusions du 18 septembre 2025 dans l’affaire C-526/24 (Brillen Rottler, ECLI:EU:C:2025:723), confirmant son rôle de référence désormais incontournable dans la construction jurisprudentielle de l’article 82 du RGPD.

---