CJUE | Arrêt du 27 octobre 2025 | C-655/23 | Quirin Privatbank │ C-655-23-ESSENTIELS

1. Un droit à l’injonction d’abstention directement fondé sur le RGPD
La Cour de justice consacre, sur le fondement des articles 17, 18 et 79 du RGPD lus à la lumière de l’article 47 de la Charte des droits fondamentaux, le droit pour toute personne concernée d’obtenir d’une juridiction nationale une injonction ordonnant au responsable du traitement de s’abstenir de tout nouveau traitement illicite. Ce droit est autonome, directement invocable sans fondement dans le droit national, et ne requiert pas la démonstration d’un dommage déjà réalisé.

2. La condition du risque réel de répétition
L’injonction d’abstention n’est pas subordonnée à la certitude de répétition du traitement illicite. Il suffit que ce risque soit réel et non purement hypothétique au regard des circonstances de l’espèce. La protection juridictionnelle effective du RGPD implique un volet préventif autonome, complémentaire du volet réparateur.

3. La gravité de la faute du responsable : facteur pertinent pour le quantum indemnitaire
Sans constituer un critère autonome — l’article 82 n’est pas une disposition punitive —, la gravité de la faute du responsable du traitement peut être prise en compte dans l’évaluation du préjudice moral dès lors qu’elle a aggravé l’intensité du dommage effectivement ressenti par la personne concernée.

4. Injonction et réparation : deux recours cumulables aux finalités distinctes
L’obtention d’une injonction d’abstention ne supprime pas le droit à réparation du préjudice moral antérieurement subi. Ces deux recours, fondés sur des dispositions différentes du RGPD et poursuivant des finalités différentes (préventive pour l’un, réparatrice pour l’autre), peuvent être exercés simultanément. La juridiction peut toutefois réduire le quantum indemnitaire pour la composante prospective du préjudice, le risque futur ayant été écarté par l’injonction.

5. Triple exposition contentieuse des responsables du traitement
L’arrêt consacre une architecture contentieuse tripartite : sanction administrative de l’autorité de contrôle, réparation civile du préjudice moral, et injonction judiciaire d’abstention. Tout traitement illicite expose désormais cumulativement à ces trois voies, ce qui impose aux responsables du traitement de renforcer significativement la conformité effective à leurs obligations au titre du RGPD, notamment la gestion diligente des demandes d’exercice de droits.

POINTS ESSENTIELS