CJUE | Arrêt du 27 octobre 2025 | C-655/23 | Quirin Privatbank │ FAITS & PROCEDURE

---

CONTEXTE FACTUEL

La présente affaire trouve son origine dans un incident de traitement illicite de données à caractère personnel survenu dans le cadre d’un processus de recrutement professionnel. IP a postulé, par l’intermédiaire d’un réseau social professionnel en ligne, à un emploi auprès de Quirin Privatbank Avocat Général, société de droit allemand exerçant une activité bancaire.

Par la suite, une employée de Quirin Privatbank Avocat Général a utilisé le service de messagerie électronique de ce réseau social professionnel pour envoyer à un tiers, non concerné par le processus de recrutement, un message destiné uniquement à IP, dans lequel elle informait ce dernier du rejet de ses prétentions salariales et lui proposait une autre rémunération. Ayant travaillé avec IP auparavant, cette tierce personne lui a transmis ce message et lui a demandé s’il était à la recherche d’un emploi.

Cet incident constitue une divulgation non autorisée de données à caractère personnel relatives à la candidature de IP, révélant notamment des informations relatives à ses prétentions salariales, en violation des exigences de l’article 5, §1, sous a), et de l’article 6, §1, du RGPD.

---

PROCÉDURE AU PRINCIPAL — PREMIÈRE INSTANCE

IP a introduit devant le Landgericht Darmstadt (tribunal régional de Darmstadt, Allemagne) une action tendant à ce que Quirin Privatbank Avocat Général soit condamnée :

—-d’une part, à s’abstenir de tout traitement des données à caractère personnel en rapport avec sa candidature de nature à réitérer la divulgation non autorisée de celles-ci ;
—-d’autre part, à lui verser des dommages-intérêts en réparation du préjudice moral subi.

La juridiction de première instance a fait droit à ces deux demandes.

---

PROCÉDURE EN APPEL

À la suite de l’appel formé par Quirin Privatbank Avocat Général devant l’Oberlandesgericht Frankfurt (tribunal régional supérieur de Francfort, Allemagne), ce jugement a été partiellement réformé. La demande de dommages-intérêts a été rejetée par la juridiction d’appel aux motifs suivants :

—-la preuve d’un préjudice concret n’avait pas été fournie par IP ;
—-à supposer même que celui-ci ait vécu une humiliation à la suite de la réception du message litigieux, cet éprouvé ne saurait être qualifié de préjudice moral au sens de l’article 82, §1, du RGPD.

En revanche, la condamnation à l’injonction d’abstention (Unterlassungsklage) a été maintenue, Quirin Privatbank Avocat Général étant ainsi tenue de ne pas réitérer la divulgation non autorisée des données à caractère personnel relatives à la candidature de IP.

Conformément aux constatations de la juridiction d’appel qui lient la juridiction de renvoi, « il y a jamais eu, et le demandeur n’a lui-même jamais fait valoir, aucun élément susceptible de fonder la crainte que les données en cause fassent l’objet d’un usage abusif ou d’un traitement autrement illicite ».

---

POURVOI EN CASSATION DEVANT LE BUNDESGERICHTSHOF — RENVOI PRÉJUDICIEL

IP et Quirin Privatbank Avocat Général ont chacun formé un pourvoi contre cet arrêt devant le Bundesgerichtshof (Cour fédérale de justice, Allemagne), qui constitue la juridiction de renvoi.

Nourrissant des doutes quant à l’interprétation de plusieurs dispositions du RGPD, la haute juridiction allemande a interrogé la Cour de justice sur :

—-l’étendue des voies de recours : le RGPD prévoit-il, en faveur de la personne concernée par un traitement illicite de ses données à caractère personnel qui ne demande pas l’effacement de celles-ci, une voie de recours lui permettant d’obtenir à titre préventif qu’il soit enjoint au responsable du traitement de s’abstenir d’effectuer à l’avenir un nouveau traitement illicite ? Et, dans la négative, les États membres peuvent-ils néanmoins prévoir une telle voie de recours dans leurs ordres juridiques respectifs ?
—-la portée du droit à réparation : le degré de gravité et l’éventuel caractère intentionnel de la violation commise par le responsable du traitement peuvent-ils être pris en compte dans l’évaluation de la réparation pécuniaire due au titre de l’article 82, §1, du RGPD ?
—-l’incidence de l’injonction d’abstention sur la réparation pécuniaire : le bénéfice d’une injonction d’abstention obtenue en vertu du droit national peut-il réduire l’étendue de la réparation pécuniaire due au titre de l’article 82, §1, du RGPD, voire s’y substituer ?

---

DISPOSITIONS DU RGPD EN CAUSE

Les dispositions fondamentalement en cause dans le présent renvoi préjudiciel sont les suivantes :

—-Article 5, §1, sous a) du RGPD : principe de licéité, loyauté et transparence du traitement ;
—-Article 6, §1 du RGPD : conditions de licéité du traitement ;
—-Article 17 du RGPD : droit à l’effacement des données (« droit à l’oubli ») ;
—-Article 18 du RGPD : droit à la limitation du traitement ;
—-Article 79, §1 du RGPD : droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant ;
—-Article 82, §1 du RGPD : droit à réparation et responsabilité du responsable du traitement.

---

INCIDENCE IMMÉDIATE DE L’ARRÊT SUR UNE AFFAIRE PARALLÈLE

Par lettre du 4 septembre 2025, le greffe de la Cour a transmis à l’Oberlandesgericht Wien (tribunal régional supérieur de Vienne, Autriche), qui avait introduit une demande de décision préjudicielle dans l’affaire C-40/25 portant sur des questions similaires, une copie de l’arrêt Quirin Privatbank en l’invitant à indiquer si, à la lumière de cet arrêt, il souhaitait maintenir sa demande. Par réponse du 16 septembre 2025, la juridiction de renvoi a informé la Cour qu’elle n’entendait pas maintenir sa demande de décision préjudicielle, conduisant à la radiation de l’affaire C-40/25 du registre de la Cour par ordonnance du président de la Cour du 30 septembre 2025 (ECLI:EU:C:2025:786). Ce fait témoigne de la portée directe et immédiate de l’arrêt Quirin Privatbank sur le contentieux en cours.

---

 
 
 

---

POINTS ESSENTIELS

---

Saisie par le Bundesgerichtshof à la suite d’une divulgation non autorisée, par une employée d’une banque allemande, de données relatives à la candidature d’IP à un tiers n’ayant aucun rôle dans le processus de recrutement — divulgation effectuée par erreur via la messagerie interne d’un réseau social professionnel —,

la Cour de justice de l’Union européenne tranche, dans l’arrêt Quirin Privatbank (quatrième chambre, 4 septembre 2025, ECLI:EU:C:2025:655), trois questions fondamentales au confluent du droit à un recours effectif et du régime de responsabilité consacré par le RGPD :

en premier lieu, elle juge que le RGPD ne prévoit pas, au profit de la personne concernée, une voie de recours juridictionnel lui permettant d’obtenir à titre préventif qu’il soit enjoint au responsable du traitement de s’abstenir de tout nouveau traitement illicite, tout en précisant avec une égale fermeté que ce règlement ne s’oppose pas à ce qu’un État membre prévoie une telle voie de recours préventif dans son ordre juridique interne — confirmant ainsi l’autonomie procédurale des États membres dans les limites du principe d’effectivité ;

en deuxième lieu, elle affirme que la fonction exclusivement compensatoire du droit à réparation consacré par l’article 82, §1, du RGPD s’oppose à ce que le degré de gravité et l’éventuel caractère intentionnel de la violation commise par le responsable du traitement soient pris en compte, à la hausse comme à la baisse, dans l’évaluation du montant de la réparation, excluant ainsi toute logique punitive mais interdisant également toute réduction de l’indemnité fondée sur la bonne foi ou le caractère non délibéré de la violation ;

en troisième et dernier lieu, elle juge que l’article 82, §1, du RGPD s’oppose à ce que le bénéfice d’une injonction d’abstention obtenue en vertu du droit national applicable soit pris en compte pour réduire l’étendue de la réparation pécuniaire due ou, a fortiori, pour s’y substituer, au motif que l’injonction d’abstention — dont la finalité est purement préventive — et la réparation pécuniaire — dont la finalité est exclusivement compensatoire — constituent deux instruments distincts, cumulatifs et non fongibles, dont l’un ne saurait empiéter sur la sphère de l’autre ;

l’impact immédiat de cet arrêt se mesure à la radiation, dès le 30 septembre 2025, de l’affaire C-40/25 (Oberlandesgericht Wien) portant sur des questions similaires, ainsi qu’à sa citation par l’Avocat Général dans les conclusions du 18 septembre 2025 dans l’affaire C-526/24 (Brillen Rottler, ECLI:EU:C:2025:723), confirmant son rôle de référence désormais incontournable dans la construction jurisprudentielle de l’article 82 du RGPD.

---