CJUE | ARRÊT DU 27 OCTOBRE 2025 | C-655/23 | QUIRIN PRIVATBANK │
FIN DE L’IMPUNITÉ FACE AUX FUITES DE DONNÉES
OBTENIR UNE INJONCTION POUR PARALYSER UN TRAITEMENT ILLICITE NE VIENDRA PLUS INTERDIRE LA REPARATION DE VOTRE PREJUDICE MORAL.
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
TABLEAU RÉCAPITULATIF DE LA JURISPRUDENCE CITÉE DANS L’ARRÊT ET LES CONCLUSIONS
| Référence | Intitulé | Date | ECLI | Thème | §§ concernés (Arrêt/Concl.) | Extrait verbatim |
|---|---|---|---|---|---|---|
| C-300/21 | Österreichische Post — Préjudice moral lié au traitement de données personnelles | 4 mai 2023 | ECLI:EU:C:2023:370 | Trois conditions cumulatives du droit à réparation — fonction compensatoire | Arrêt §§ 56, 57, 58, 62, 64 ; Concl. §§ 62, 67, 73, 74, 75 | « la simple violation du RGPD ne suffit pas à conférer un droit à réparation à la personne concernée sur ce fondement, dès lors que ce droit est soumis à la réunion de trois conditions cumulatives, à savoir l’existence d’un dommage matériel ou moral, une violation de dispositions de ce règlement et un lien de causalité entre ce dommage et cette violation » (§ 56 arrêt / § 62 Concl.) |
| C-182/22 et C-189/22 | Scalable Capital | 20 juin 2024 | ECLI:EU:C:2024:531 | Fonction exclusivement compensatoire — absence de seuil de minimis — indemnité minime admissible | Arrêt §§ 56, 57, 64, 65 ; Concl. §§ 25, 44, 46 | « le droit à réparation prévu cet article 82, §1, notamment en cas de dommage moral, remplit une fonction exclusivement compensatoire […] et non une fonction dissuasive ou punitive » (§ 153 Agentsia citant Scalable Capital §§ 22, 23) |
| C-200/23 | Agentsia po vpisvaniyata | 4 octobre 2024 | ECLI:EU:C:2024:827 | Perte de contrôle sur les données — dommage moral — crainte d’usage abusif | Arrêt §§ 56, 60, 62, 64 ; Concl. §§ 60, 84 | « la simple allégation de la part de la personne concernée d’une crainte engendrée par une perte de contrôle sur ses données à caractère personnel ne saurait donner lieu à réparation au titre de l’article 82, §1, du RGPD » (§ 63 arrêt Brillen Rottler citant C-200/23 § 143) |
| C-590/22 | PS (Adresse erronée) | 20 juin 2024 | ECLI:EU:C:2024:536 | Perte de contrôle sur les données — crainte d’usage abusif — conditions du dommage moral | Arrêt §§ 62, 63, 64 ; Concl. § 55 | « la simple allégation de la part de la personne concernée d’une crainte engendrée par une perte de contrôle sur ses données à caractère personnel ne saurait donner lieu à réparation au titre de l’article 82, §1, du RGPD » (§ 63 arrêt C-526/24 citant C-590/22 §§ 33 et 35) |
| C-667/21 | Krankenversicherung Nordrhein | 21 décembre 2023 | ECLI:EU:C:2023:1022 | Régime de responsabilité pour faute — charge de la preuve sur le responsable du traitement — gravité de la faute sans incidence | Concl. §§ 67, 74 ; Arrêt §§ 56, 57 | « cet article prévoit un régime de responsabilité pour faute dans lequel la charge de la preuve pèse non pas sur la personne qui a subi un dommage, mais sur le responsable du traitement » (§ 161 arrêt Agentsia citant C-667/21 §§ 94 et 95) |
| C-456/22 | Gemeinde Ummendorf | 14 décembre 2023 | ECLI:EU:C:2023:988 | Absence de seuil de minimis — dommage moral — preuve effective du dommage | Arrêt §§ 62, 63 | « la notion de dommage moral ne saurait être circonscrite aux seuls dommages d’une certaine gravité […] une réglementation nationale ou une pratique nationale ne saurait valablement fixer un seuil de minimis » (§ 62 arrêt Brillen Rottler citant C-456/22 §§ 22 et 23) |
| C-741/21 | juris | 11 avril 2024 | ECLI:EU:C:2024:288 | Fonction compensatoire — caractère intentionnel de la violation sans incidence | Arrêt §§ 56, 57 | « cet article 82 ne requiert pas que le degré de gravité de cette faute soit pris en compte lors de la fixation du montant des dommages-intérêts alloués en réparation d’un préjudice moral sur le fondement dudit article » (§ 154 arrêt Agentsia citant C-741/21 § 52) |
| C-687/21 | MediaMarktSaturn | 25 janvier 2024 | ECLI:EU:C:2024:72 | Gravité de la faute — absence d’incidence sur la réparation | Arrêt §§ 56, 57 | « cet article 82 ne requiert pas que le degré de gravité de cette faute soit pris en compte lors de la fixation du montant des dommages-intérêts » (§ 154 arrêt Agentsia citant C-687/21 § 52) |
| C-507/23 | Patrtju tiesbu aizsardzbas centrs | 4 octobre 2024 | ECLI:EU:C:2024:854 | Conditions du droit à réparation — fait générateur | Concl. §§ 25 ; Arrêt §§ 56 | « trois conditions cumulatives » (§ 24 arrêt C-507/23 cité par Concl. § 62) |
| C-757/22 | Meta Platforms Ireland (Action représentative) | 11 juillet 2024 | ECLI:EU:C:2024:598 | Qualité pour agir — violation des droits du fait du traitement — article 80 §2 RGPD | Concl. §§ 75 | « il doit être allégué que la violation des droits conférés par le RGPD intervient à l’occasion d’un traitement » (§ 75 Concl.) |
| C-319/20 | Meta Platforms Ireland | 28 avril 2022 | ECLI:EU:C:2022:322 | Action en cessation d’un concurrent — système non exhaustif des voies de recours du RGPD | Concl. §§ 4 (note) | Cité parmi les affaires ayant consacré la non-exhaustivité du système des voies de recours du RGPD |
| C-21/23 | Lindenapotheke (ND c. DR) | 4 octobre 2024 | ECLI:EU:C:2024:846 | Non-exhaustivité des voies de recours — qualité pour agir d’un concurrent | Concl. §§ 4 (note) | Cité pour la non-exhaustivité du système des voies de recours du RGPD (actions en cessation fondées sur la violation du RGPD par un concurrent) |
| C-340/21 | Natsionalna agentsia za prihodite | 14 décembre 2023 | ECLI:EU:C:2023:986 | Perte de contrôle — dommage moral — peur et inquiétude face à d’éventuels abus | Arrêt §§ 62, 64 | « la simple perte de contrôle sur leurs propres données à caractère personnel, à la suite d’une violation de ce règlement, quand bien même un usage abusif des données en cause ne se serait pas produit concrètement » (§ 145 arrêt Agentsia citant C-340/21 § 82) |
| C-40/25 | Ordonnance du président de la Cour | 30 septembre 2025 | ECLI:EU:C:2025:786 | Radiation — retrait de la demande préjudicielle consécutif à l’arrêt C-655/23 | N/A | Radiation par le président de la Cour à la suite du retrait de sa demande par l’Oberlandesgericht Wien, informé de l’arrêt Quirin Privatbank le 4 septembre 2025 |
| C-526/24 | Brillen Rottler — Conclusions de l’Avocat Général | 18 septembre 2025 | ECLI:EU:C:2025:723 | Citation des §§ 62 et 64 de l’arrêt C-655/23 — perte de contrôle — dommage moral | Concl. §§ 43, 44, 45, 89 | « la Cour a considéré maintes reprises que la perte de contrôle sur des données à caractère personnel, même pendant un court laps de temps, peut constituer un dommage moral, au sens de l’article 82, §1, du RGPD, ouvrant droit à réparation, sous réserve que la personne concernée démontre avoir effectivement subi un tel dommage » (§ 89 Concl. C-526/24 citant C-655/23 §§ 62 et 64) |
OBSERVATIONS SUR LA JURISPRUDENCE CITÉE
La jurisprudence mobilisée dans l’arrêt Quirin Privatbank et dans les conclusions de l’Avocat Général s’inscrit dans un corpus cohérent et croissant relatif à l’article 82 du RGPD. La référence centrale est l’arrêt Österreichische Post (C-300/21, ECLI:EU:C:2023:370) qui a fixé les trois conditions cumulatives du droit à réparation — existence d’un dommage, violation du RGPD, lien de causalité — et qui est repris dans l’ensemble des décisions ultérieures.
L’arrêt Scalable Capital (C-182/22 et C-189/22, ECLI:EU:C:2024:531) constitue la référence directe sur la fonction exclusivement compensatoire et sur l’admission d’une indemnité minime en l’absence de gravité suffisante du préjudice, ce qui est fondamental pour la deuxième et la troisième question tranchées dans C-655/23. L’arrêt Agentsia po vpisvaniyata (C-200/23, ECLI:EU:C:2024:827) complète ce dispositif en précisant les conditions dans lesquelles la crainte d’un usage abusif des données peut constituer un dommage moral indemnisable.
L’arrêt Quirin Privatbank est lui-même devenu une référence citée par la suite, notamment dans les conclusions de l’Avocat Général dans l’affaire C-526/24 (Brillen Rottler, ECLI:EU:C:2025:723), où les points 62 et 64 de l’arrêt C-655/23 sont expressément cités à l’appui du développement sur la perte de contrôle comme source de dommage moral indemnisable.
POINTS ESSENTIELS
Saisie par le Bundesgerichtshof à la suite d’une divulgation non autorisée, par une employée d’une banque allemande, de données relatives à la candidature d’IP à un tiers n’ayant aucun rôle dans le processus de recrutement — divulgation effectuée par erreur via la messagerie interne d’un réseau social professionnel —,
la Cour de justice de l’Union européenne tranche, dans l’arrêt Quirin Privatbank (quatrième chambre, 4 septembre 2025, ECLI:EU:C:2025:655), trois questions fondamentales au confluent du droit à un recours effectif et du régime de responsabilité consacré par le RGPD :
en premier lieu, elle juge que le RGPD ne prévoit pas, au profit de la personne concernée, une voie de recours juridictionnel lui permettant d’obtenir à titre préventif qu’il soit enjoint au responsable du traitement de s’abstenir de tout nouveau traitement illicite, tout en précisant avec une égale fermeté que ce règlement ne s’oppose pas à ce qu’un État membre prévoie une telle voie de recours préventif dans son ordre juridique interne — confirmant ainsi l’autonomie procédurale des États membres dans les limites du principe d’effectivité ;
en deuxième lieu, elle affirme que la fonction exclusivement compensatoire du droit à réparation consacré par l’article 82, §1, du RGPD s’oppose à ce que le degré de gravité et l’éventuel caractère intentionnel de la violation commise par le responsable du traitement soient pris en compte, à la hausse comme à la baisse, dans l’évaluation du montant de la réparation, excluant ainsi toute logique punitive mais interdisant également toute réduction de l’indemnité fondée sur la bonne foi ou le caractère non délibéré de la violation ;
en troisième et dernier lieu, elle juge que l’article 82, §1, du RGPD s’oppose à ce que le bénéfice d’une injonction d’abstention obtenue en vertu du droit national applicable soit pris en compte pour réduire l’étendue de la réparation pécuniaire due ou, a fortiori, pour s’y substituer, au motif que l’injonction d’abstention — dont la finalité est purement préventive — et la réparation pécuniaire — dont la finalité est exclusivement compensatoire — constituent deux instruments distincts, cumulatifs et non fongibles, dont l’un ne saurait empiéter sur la sphère de l’autre ;
l’impact immédiat de cet arrêt se mesure à la radiation, dès le 30 septembre 2025, de l’affaire C-40/25 (Oberlandesgericht Wien) portant sur des questions similaires, ainsi qu’à sa citation par l’Avocat Général dans les conclusions du 18 septembre 2025 dans l’affaire C-526/24 (Brillen Rottler, ECLI:EU:C:2025:723), confirmant son rôle de référence désormais incontournable dans la construction jurisprudentielle de l’article 82 du RGPD.
25.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats