CJUE | ARRÊT DU 27 OCTOBRE 2025 | C-655/23 | QUIRIN PRIVATBANK │
FIN DE L’IMPUNITÉ FACE AUX FUITES DE DONNÉES
OBTENIR UNE INJONCTION POUR PARALYSER UN TRAITEMENT ILLICITE NE VIENDRA PLUS INTERDIRE LA REPARATION DE VOTRE PREJUDICE MORAL.
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
I.
La présente affaire porte sur la portée du droit à l’effacement prévu à l’article 17 du RGPD, sur le droit à la limitation du traitement consacré à l’article 18, sur le droit à un recours juridictionnel effectif garanti par l’article 79, ainsi que sur la délicate articulation entre ces droits et le régime de responsabilité civile prévu à l’article 82, paragraphe 1, du même règlement. La question centrale soumise à la Grande Chambre était la suivante : un justiciable peut-il, sur le seul fondement du RGPD, obtenir d’une juridiction nationale une injonction ordonnant au responsable du traitement de s’abstenir, à l’avenir, de tout nouveau traitement illicite de ses données à caractère personnel — et dans l’affirmative, selon quelles conditions et selon quel fondement normatif ? Cette question, d’apparence procédurale, recèle en réalité une dimension substantielle de premier ordre, en ce qu’elle interroge l’étendue de la protection juridictionnelle conférée aux personnes concernées par le droit de l’Union.
Le cadre de l’espèce est celui d’une personne physique, cliente d’un établissement bancaire allemand — la Quirin Privatbank AG — qui se plaignait d’un traitement illicite de ses données à caractère personnel et qui entendait non seulement obtenir réparation du préjudice moral subi au titre de l’article 82, paragraphe 1, du RGPD, mais encore faire interdire judiciairement au responsable du traitement de réitérer ce traitement illicite à l’avenir. La juridiction de renvoi s’interrogeait sur le fondement juridique exact d’une telle injonction d’abstention, sur les conditions auxquelles elle est subordonnée, ainsi que sur l’incidence éventuelle d’une telle injonction sur l’évaluation du préjudice moral réparable.
II.
Le cadre normatif mobilisé par la Cour
L’article 17 du RGPD consacre le droit à l’effacement, communément dénommé « droit à l’oubli », qui impose au responsable du traitement d’effacer dans les meilleurs délais les données à caractère personnel lorsque certaines conditions sont réunies — notamment lorsque les données ne sont plus nécessaires au regard des finalités pour lesquelles elles ont été collectées, lorsque la personne concernée retire son consentement, ou encore lorsque le traitement est illicite. L’article 18 prévoit quant à lui le droit à la limitation du traitement, permettant à la personne concernée d’obtenir que le responsable du traitement limite l’utilisation de ses données dans certaines circonstances, notamment lorsqu’elle conteste l’exactitude des données ou lorsqu’elle s’oppose à leur traitement. Ces deux droits, formant avec le droit d’accès et le droit à la portabilité le corpus des droits individuels du RGPD, constituent des mécanismes de gouvernance par lesquels la personne concernée peut exercer une maîtrise active sur ses données.
L’article 79, paragraphe 1, du RGPD dispose que toute personne concernée qui considère que le traitement de données à caractère personnel la concernant constitue une violation du règlement a le droit de former un recours juridictionnel effectif. Ce recours peut être formé indépendamment de la voie de la réclamation auprès d’une autorité de contrôle prévue à l’article 77 ou du recours juridictionnel contre cette autorité prévu à l’article 78. L’article 82, paragraphe 1, établit pour sa part le droit à réparation de toute personne ayant subi un dommage matériel ou moral du fait d’un traitement effectué en violation du RGPD.
La question de l’injonction d’abstention
La Cour examine avec minutie si le fondement de l’injonction d’abstention doit être recherché dans le seul article 82, paragraphe 1 — qui vise explicitement la « réparation » d’un dommage — ou si d’autres dispositions du RGPD, notamment son article 17 et son article 79, fournissent une base autonome pour une telle prétention. La juridiction de renvoi avait notamment relevé que la jurisprudence nationale divergeait sur ce point : certaines formations admettaient que l’injonction d’abstention procède naturellement du droit à l’effacement, d’autres estimaient qu’elle devait être rattachée à la réparation du préjudice, d’autres encore soutenaient que le RGPD n’ouvre pas un tel recours sui generis et que les justiciables devaient se tourner vers les voies de droit nationales.
La Grande Chambre tranche ce débat de façon nette. Elle juge que le droit à un recours juridictionnel effectif consacré à l’article 79, paragraphe 1, du RGPD exige que la personne concernée puisse obtenir d’une juridiction nationale une injonction ordonnant au responsable du traitement ou au sous-traitant de ne pas réitérer un traitement illicite. Cette conclusion s’appuie sur la lecture combinée de l’article 79, qui garantit l’accès à un juge, et de l’article 17, dont l’effectivité implique logiquement que le juge dispose du pouvoir d’interdire la continuation ou la répétition d’un traitement illicite. Le recours prévu à l’article 79 n’est pas un recours limité à la réparation pécuniaire : il doit être « effectif » au sens de la Charte des droits fondamentaux de l’Union européenne, laquelle, en son article 47, garantit le droit à un recours juridictionnel effectif.
III.
Les conditions de l’injonction d’abstention
La Cour précise les conditions matérielles auxquelles est subordonnée la délivrance d’une telle injonction d’abstention. Il appartient à la personne concernée de démontrer l’illicéité du traitement passé ou en cours. Le risque de répétition du traitement illicite n’a pas à être prouvé avec certitude : il suffit que ce risque soit réel et non purement hypothétique au regard des circonstances de l’espèce. La Cour rappelle à cet égard que la protection juridictionnelle effective du RGPD serait vidée de sa substance si elle ne pouvait opérer qu’ex post, après réalisation d’un dommage, sans permettre de prévenir la répétition du manquement.
Cette approche s’inscrit dans la ligne de la jurisprudence antérieure de la Cour, notamment l’arrêt SCHUFA Holding (C-26/22 et C-64/22, EU:C:2023:958), qui avait souligné la double dimension — réparatrice et préventive — des voies de droit ouvertes par le RGPD, et l’arrêt Nemzeti Adatvédelmi és Információszabadság Hatóság (C-132/21, EU:C:2023:2), qui avait précisé les modalités d’articulation entre recours administratifs et recours juridictionnels. La présente affaire s’inscrit ainsi dans un mouvement jurisprudentiel continu d’affermissement des droits individuels des personnes concernées par le traitement de données.
L’articulation avec le droit national
La Cour rappelle que si le RGPD fonde lui-même le droit à l’injonction d’abstention, les modalités procédurales de ce recours — délais, conditions de recevabilité, degré de preuve, voies d’exécution — relèvent de l’autonomie procédurale des États membres, sous réserve du respect des principes d’équivalence et d’effectivité. Les juridictions nationales ne sauraient, au nom de règles procédurales internes, priver les personnes concernées du bénéfice de ce recours prévu par le droit de l’Union. À l’inverse, elles ne sont pas tenues d’adopter des modalités procédurales plus favorables que celles existant en droit interne pour les recours comparables, dès lors que le niveau de protection garanti par le droit de l’Union est assuré.
IV.
La question du dommage moral et de son évaluation
La Grande Chambre aborde ensuite la question de l’évaluation du dommage moral réparable au titre de l’article 82, paragraphe 1, du RGPD. La jurisprudence de la Cour avait déjà, dans l’arrêt juris (C-741/21, EU:C:2024:305) notamment, précisé que le dommage moral est réparable sans condition de gravité minimale, toute violation du RGPD ayant causé un dommage — fût-il modeste — ouvrant droit à réparation. La question posée dans la présente affaire portait sur un aspect complémentaire : la juridiction nationale peut-elle, dans l’évaluation du montant de la réparation du préjudice moral, tenir compte de la gravité de la faute commise par le responsable du traitement ?
La Cour répond par l’affirmative, tout en maintenant une distinction fondamentale. Le droit à réparation prévu à l’article 82, paragraphe 1, du RGPD est une action indemnitaire, non punitive : il vise à réparer intégralement le préjudice effectivement subi, non à sanctionner le responsable du traitement. Par conséquent, la gravité de la faute du responsable du traitement ne constitue pas, en elle-même, un critère autonome de détermination du montant de la réparation. Cependant, la Cour admet que la gravité de la faute peut être prise en compte dans la mesure où elle est pertinente pour l’appréciation de l’étendue du dommage moral effectivement subi par la personne concernée : une faute particulièrement grave, accompagnée par exemple d’un comportement délibéré ou d’une indifférence prolongée aux droits de la personne, peut avoir aggravé le préjudice psychologique ressenti par celle-ci, et il est légitime que cette circonstance soit reflétée dans la réparation.
L’incidence de l’injonction d’abstention sur l’évaluation du préjudice
La Cour tranche également la question connexe de savoir si le fait que la personne concernée a obtenu une injonction d’abstention — c’est-à-dire la cessation et la non-répétition du traitement illicite — peut réduire ou neutraliser le dommage moral ouvrant droit à réparation. La réponse est nuancée. L’injonction d’abstention et la réparation du préjudice moral sont des recours distincts, fondés sur des dispositions différentes du RGPD et poursuivant des finalités différentes. L’obtention d’une injonction ne prive pas automatiquement la personne concernée de son droit à réparation : le dommage moral antérieur à l’injonction — notamment l’angoisse, le sentiment de perte de contrôle, la vulnérabilité ressentie à l’occasion du traitement illicite — demeure réparable. En revanche, la juridiction nationale peut légitimement tenir compte, dans l’évaluation du quantum indemnitaire, du fait que le risque de préjudice futur a été écarté par l’injonction, ce qui peut réduire la composante du préjudice moral liée aux effets prospectifs du traitement illicite.
V.
Portée doctrinale et systémique de l’arrêt
L’arrêt Quirin Privatbank constitue une contribution jurisprudentielle majeure à l’architecture du contentieux RGPD devant les juridictions nationales. Il consacre explicitement l’existence, dans le droit de l’Union, d’un droit à l’injonction d’abstention fondé sur l’article 79 du RGPD, lu à la lumière de l’article 17 et de l’article 47 de la Charte. Ce faisant, il met fin à l’incertitude qui régnait dans plusieurs États membres — dont l’Allemagne, la France et l’Autriche — quant à la question de savoir si les personnes concernées pouvaient, devant les juridictions civiles, solliciter des injonctions de cessation et de non-répétition d’un traitement illicite sans devoir se fonder sur le droit national de la responsabilité délictuelle ou sur des dispositions spécifiques du droit processuel interne.
Du point de vue de la théorie des droits subjectifs, cet arrêt consacre la plénitude de la protection juridictionnelle conférée par le RGPD : celle-ci n’est pas limitée à la voie administrative (réclamation à l’autorité de contrôle) ni à la réparation pécuniaire, mais comprend un volet injonctif autonome, directement applicable devant toutes les juridictions des États membres. Cette architecture protectrice tripartite — recours administratif, injonction civile, réparation du préjudice — est désormais fermement établie par la jurisprudence de la Cour.
L’arrêt est également remarquable par sa pédagogie dans la distinction entre la dimension réparatrice et la dimension préventive du contentieux RGPD. Il clarifie que ces deux voies, bien que susceptibles d’être exercées cumulativement dans la même procédure, obéissent à des logiques distinctes : l’injonction est orientée vers l’avenir et vise à protéger la personne concernée contre la répétition d’un préjudice, tandis que la réparation est orientée vers le passé et vise à compenser un préjudice déjà subi. Cette distinction conceptuelle est fondamentale pour les praticiens du contentieux RGPD, qui doivent construire leurs stratégies contentieuses en articulant correctement ces deux prétentions.
Incidences sur la faute du responsable du traitement
L’admission, par la Cour, de la pertinence de la gravité de la faute du responsable du traitement dans l’évaluation du préjudice moral mérite une attention particulière. Si la Cour maintient fermement que l’article 82 n’est pas une disposition à finalité punitive — ce qui exclut toute assimilation aux dommages-intérêts punitifs de tradition anglo-saxonne — elle reconnaît néanmoins la réalité psychologique selon laquelle la gravité objective d’un manquement peut avoir une incidence directe sur l’intensité du préjudice moral ressenti par la victime. Cette position est cohérente avec la jurisprudence de la Cour EDH sur la réparation au titre de l’article 8 de la CEDH, qui tient compte des circonstances de la violation dans l’appréciation du préjudice moral.
Il en résulte, pour la pratique, que les avocats représentant des personnes concernées auront tout intérêt, dans leur stratégie contentieuse, à documenter non seulement le préjudice subi par leurs clients, mais également les circonstances aggravantes du comportement du responsable du traitement — notamment le caractère délibéré ou systémique du manquement, la durée pendant laquelle il a perduré, l’absence de réaction suite aux demandes d’exercice de droits, et l’indifférence manifestée à l’égard des droits de la personne concernée. Ces éléments, sans constituer des critères autonomes de détermination du quantum, sont pertinents pour démontrer l’intensité du préjudice moral.
VI.
Apports de l’arrêt pour les responsables du traitement
Pour les responsables du traitement, l’arrêt Quirin Privatbank emporte des conséquences pratiques significatives. L’existence désormais consacrée d’un droit à l’injonction d’abstention, directement fondé sur le RGPD, signifie que tout traitement illicite de données à caractère personnel expose le responsable non seulement à des sanctions administratives de l’autorité de contrôle, à des actions en réparation du préjudice moral, mais également à des injonctions judiciaires ordonnant la cessation immédiate et la non-répétition du traitement litigieux. La combinaison de ces trois voies d’action renforce considérablement l’exposition contentieuse des responsables du traitement qui ne respectent pas leurs obligations au titre du RGPD.
Cette situation appelle à une révision des dispositifs de conformité des responsables du traitement, qui doivent désormais intégrer pleinement le risque d’injonction civile dans leur cartographie des risques contentieux. Le respect effectif des droits des personnes concernées — et notamment la gestion diligente des demandes d’effacement, de limitation du traitement et des objections au traitement — constitue dès lors non seulement une obligation légale, mais également un impératif de gestion du risque juridictionnel.
L’arrêt mérite également d’être mis en relation avec les affaires pendantes C-40/25 (CRIF), dans laquelle est posée la question de la possibilité d’exiger du responsable du traitement qu’il s’abstienne de toute nouvelle transmission illicite de données à caractère personnel, et C-41/4/24 (D e.a., Articulation des recours), relative à l’articulation entre réclamation administrative et recours juridictionnel. Ces affaires pendantes, expressément mentionnées dans les conclusions de l’Avocate générale dans d’autres affaires contemporaines, confirment que la présente thématique constitue un axe jurisprudentiel en pleine structuration, dont l’arrêt Quirin Privatbank constitue une pierre angulaire.
Dialogue avec le droit national français
Du point de vue du droit français, l’arrêt présente un intérêt de premier ordre dans la mesure où les juridictions civiles françaises ont jusqu’à présent fait preuve d’une certaine réticence à accorder des injonctions d’abstention fondées directement sur le RGPD, préférant recourir aux voies de droit interne — notamment le régime de la responsabilité délictuelle de l’article 1240 du Code civil ou les procédures de référé. La jurisprudence de la Cour clarifie désormais que ces voies nationales, si elles demeurent disponibles, ne sont pas les seules ni même les voies de principe : le RGPD lui-même, en son article 79 combiné à son article 17, fonde directement et de manière autonome le droit à l’injonction d’abstention devant les juridictions civiles nationales.
Cette clarification est susceptible d’influer significativement sur la pratique contentieuse française en matière de protection des données, en rendant plus accessibles — par leur fondement directement dans le droit de l’Union — des recours tendant à la cessation d’un traitement illicite. Elle est également susceptible d’influencer la jurisprudence de la Cour de cassation sur les modalités de mise en œuvre de ces recours.
POINTS ESSENTIELS
26.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats