CJUE | Arrêt du 27 octobre 2025 | C-655/23 | Quirin Privatbank │ ANALYSE CRITIQUE

---

PRÉSENTATION ET ENJEUX DE L’AFFAIRE

L’affaire C-655/23, Quirin Privatbank, constitue un jalon décisif dans la construction prétorienne du RGPD par la Cour de justice de l’Union européenne. Saisie par le Bundesgerichtshof (Cour fédérale de justice, Allemagne) à la suite d’un incident de divulgation non autorisée de données à caractère personnel survenu dans le cadre d’un processus de recrutement, la Cour devait répondre à des questions fondamentales portant sur trois axes normatifs distincts : d’abord, l’existence et le fondement d’un droit préventif à l’injonction d’abstention au bénéfice de la personne concernée ; ensuite, les critères gouvernant l’évaluation du dommage moral indemnisable au titre de l’article 82, §1, du RGPD ; enfin, le rapport entre l’injonction d’abstention obtenue par la voie nationale et la réparation pécuniaire du préjudice subi.

L’intérêt de cet arrêt tient à ce qu’il articule, pour la première fois de manière systématique, la distinction entre la fonction préventive du droit à l’injonction et la fonction exclusivement compensatoire du droit à réparation, tout en délimitant les marges d’appréciation respectivement laissées aux États membres et aux juges nationaux. Il s’inscrit ainsi dans le prolongement d’une jurisprudence déjà dense — Österreichische Post (C-300/21), Scalable Capital (C-182/22 et C-189/22), Agentsia po vpisvaniyata (C-200/23), PS (Adresse erronée) (C-590/22) — tout en l’enrichissant de solutions inédites.

---

LE DROIT À L’INJONCTION D’ABSTENTION PRÉVENTIVE

La première question soumise à la Cour portait sur le point de savoir si les dispositions du RGPD fondent, au profit de la personne concernée, un droit à obtenir par voie juridictionnelle, à titre préventif, qu’il soit enjoint au responsable du traitement de s’abstenir d’effectuer à l’avenir tout nouveau traitement illicite — et, dans la négative, si ces dispositions empêchent les États membres d’établir une telle voie de recours.

La Cour répond en deux temps. Elle affirme, d’une part, que le RGPD ne contient pas de dispositions prévoyant, explicitement ou implicitement, que la personne concernée bénéficie d’un droit à obtenir de manière préventive, par voie d’action judiciaire, que le responsable du traitement soit contraint de s’abstenir, à l’avenir, de commettre une violation des dispositions de ce règlement. En particulier, l’article 79, §1, du RGPD, qui consacre le droit à un recours juridictionnel effectif contre un responsable du traitement, n’impose pas aux États membres de prévoir une voie de recours spécifique permettant d’obtenir, à titre préventif, une injonction d’abstention.

Elle considère, d’autre part, que les États membres ne sont pas empêchés de prévoir un tel recours préventif. Plusieurs dispositions du RGPD ouvrent expressément la possibilité pour les États membres de prévoir des règles nationales supplémentaires (dites clauses d’ouverture). Si les dispositions du RGPD visant les voies de recours ne comportent pas spécifiquement une telle clause d’ouverture, le législateur de l’Union n’a pas entendu procéder à une harmonisation exhaustive des voies de recours ouvertes en cas de violation de ce règlement et, en particulier, n’a pas exclu une telle possibilité de recours préventif.

Cette solution est analytiquement rigoureuse : elle distingue nettement ce que le RGPD impose (harmonisation minimale des voies de recours) de ce qu’il autorise (facultés nationales d’extension), sans méconnaître le principe de primauté. Elle évite une harmonisation par le bas qui eût privé les États membres disposant de mécanismes d’injonction préventive — comme c’est le cas du droit allemand — d’outils de protection efficaces.

---

L’ÉVALUATION DU DOMMAGE MORAL ET LA GRAVITÉ DE LA FAUTE

La deuxième question portait sur la prise en compte, dans l’évaluation de la réparation pécuniaire due au titre de l’article 82 du RGPD, du degré de gravité et de l’éventuel caractère intentionnel de la violation commise par le responsable du traitement.

La Cour, s’appuyant sur la fonction exclusivement compensatoire du droit à réparation consacré par l’article 82, §1, du RGPD, répond par la négative. Elle rappelle que les juges nationaux sont tenus d’assurer une réparation complète et effective du dommage subi, sans qu’il soit nécessaire, aux fins d’une telle compensation intégrale, d’imposer le versement de dommages-intérêts punitifs. Par conséquent, cette fonction exclusivement compensatoire s’oppose à ce que le degré de gravité et l’éventuel caractère intentionnel de la violation du RGPD commise par le responsable du traitement soient pris en compte aux fins de la réparation d’un dommage sur ce fondement.

La Cour précise, de façon particulièrement importante, que l’attitude et la motivation du responsable du traitement ne sauraient être prises en considération afin, le cas échéant, d’accorder à la personne concernée une réparation inférieure au préjudice qu’elle a concrètement subi, que ce soit quant au montant ou quant à la forme de cette réparation. Cette précision interdit au juge national de réduire la réparation en invoquant la bonne foi du responsable du traitement ou le caractère non intentionnel de la violation.

Cette solution confirme la ligne directrice dégagée depuis Österreichische Post et Scalable Capital : la réparation est déterminée par l’étendue du préjudice effectivement subi et non par la gravité de la faute de l’auteur. Elle exclut toute logique punitive mais également toute logique de modulation à la baisse fondée sur des considérations subjectives relatives au comportement du responsable du traitement.

---

LE RAPPORT ENTRE INJONCTION D’ABSTENTION ET RÉPARATION PÉCUNIAIRE

La troisième question — sans doute la plus novatrice de l’arrêt — portait sur l’incidence du bénéfice d’une injonction d’abstention obtenue en vertu du droit national applicable sur l’étendue de la réparation pécuniaire due au titre de l’article 82, §1, du RGPD.

La Cour juge que l’article 82, §1, du RGPD s’oppose à ce que la circonstance que la personne concernée a obtenu, en vertu du droit national applicable, une injonction d’abstention de la réitération d’une violation de ce règlement, opposable au responsable du traitement, soit prise en compte afin de réduire l’étendue de la réparation pécuniaire d’un dommage moral due au titre de cet article ou, a fortiori, de se substituer à cette réparation.

La Cour fonde cette solution sur la distinction fondamentale entre la finalité purement préventive de l’injonction d’abstention (s’assurer que la violation ne se répètera pas) et la fonction exclusivement compensatoire du droit à réparation (indemniser un préjudice déjà subi). Ces deux instruments poursuivent des objectifs distincts et ne sont pas fongibles. Une rémunération due au titre de l’article 82 du RGPD ne saurait être allouée sous la forme, en partie ou en intégralité, d’une injonction d’abstention.

Cette solution interdit en pratique toute compensation partielle ou totale de la réparation pécuniaire par le bénéfice préalable d’une injonction. Elle renforce ainsi la protection de la personne concernée en garantissant que celle-ci pourra toujours obtenir une indemnisation effective, même lorsqu’elle dispose par ailleurs d’une injonction d’abstention.

---

APPRÉCIATION CRITIQUE

L’arrêt Quirin Privatbank mérite une appréciation globalement favorable au regard des objectifs du RGPD. En refusant de faire de l’injonction d’abstention un substitut ou un réducteur de la réparation pécuniaire, la Cour préserve l’intégralité des droits de la personne concernée et évite un glissement vers une logique de compensation globale qui affaiblirait la portée de l’article 82 du RGPD.

La solution sur l’injonction préventive est cependant plus délicate. En n’imposant pas aux États membres de prévoir un tel recours, la Cour laisse subsister une hétérogénéité normative au sein de l’Union : les justiciables allemands bénéficient d’une protection préventive que leurs homologues d’autres États membres ne peuvent obtenir. Cette situation pourrait conduire, à terme, à des phénomènes de forum shopping au préjudice de l’harmonisation visée par le RGPD.

Enfin, l’exclusion de la gravité de la faute dans l’évaluation de la réparation suscite une interrogation de fond : en privant la réparation de toute dimension dissuasive, cette solution ne risque-t-elle pas d’affaiblir l’effet préventif du RGPD à l’égard des responsables du traitement, dès lors que ceux-ci savent qu’une violation délibérée n’entraînera pas de réparation majorée ? Cette question est d’autant plus pertinente que les sanctions administratives prévues à l’article 83 du RGPD ne sont pas toujours prononcées, laissant à la seule réparation civile une fonction que la Cour lui refuse expressément.

---

 
 
 

---

POINTS ESSENTIELS

---

Saisie par le Bundesgerichtshof à la suite d’une divulgation non autorisée, par une employée d’une banque allemande, de données relatives à la candidature d’IP à un tiers n’ayant aucun rôle dans le processus de recrutement — divulgation effectuée par erreur via la messagerie interne d’un réseau social professionnel —,

la Cour de justice de l’Union européenne tranche, dans l’arrêt Quirin Privatbank (quatrième chambre, 4 septembre 2025, ECLI:EU:C:2025:655), trois questions fondamentales au confluent du droit à un recours effectif et du régime de responsabilité consacré par le RGPD :

en premier lieu, elle juge que le RGPD ne prévoit pas, au profit de la personne concernée, une voie de recours juridictionnel lui permettant d’obtenir à titre préventif qu’il soit enjoint au responsable du traitement de s’abstenir de tout nouveau traitement illicite, tout en précisant avec une égale fermeté que ce règlement ne s’oppose pas à ce qu’un État membre prévoie une telle voie de recours préventif dans son ordre juridique interne — confirmant ainsi l’autonomie procédurale des États membres dans les limites du principe d’effectivité ;

en deuxième lieu, elle affirme que la fonction exclusivement compensatoire du droit à réparation consacré par l’article 82, §1, du RGPD s’oppose à ce que le degré de gravité et l’éventuel caractère intentionnel de la violation commise par le responsable du traitement soient pris en compte, à la hausse comme à la baisse, dans l’évaluation du montant de la réparation, excluant ainsi toute logique punitive mais interdisant également toute réduction de l’indemnité fondée sur la bonne foi ou le caractère non délibéré de la violation ;

en troisième et dernier lieu, elle juge que l’article 82, §1, du RGPD s’oppose à ce que le bénéfice d’une injonction d’abstention obtenue en vertu du droit national applicable soit pris en compte pour réduire l’étendue de la réparation pécuniaire due ou, a fortiori, pour s’y substituer, au motif que l’injonction d’abstention — dont la finalité est purement préventive — et la réparation pécuniaire — dont la finalité est exclusivement compensatoire — constituent deux instruments distincts, cumulatifs et non fongibles, dont l’un ne saurait empiéter sur la sphère de l’autre ;

l’impact immédiat de cet arrêt se mesure à la radiation, dès le 30 septembre 2025, de l’affaire C-40/25 (Oberlandesgericht Wien) portant sur des questions similaires, ainsi qu’à sa citation par l’Avocat Général dans les conclusions du 18 septembre 2025 dans l’affaire C-526/24 (Brillen Rottler, ECLI:EU:C:2025:723), confirmant son rôle de référence désormais incontournable dans la construction jurisprudentielle de l’article 82 du RGPD.

---