CJUE | ARRÊT DU 27 OCTOBRE 2025 | C-655/23 | QUIRIN PRIVATBANK │
FIN DE L’IMPUNITÉ FACE AUX FUITES DE DONNÉES
OBTENIR UNE INJONCTION POUR PARALYSER UN TRAITEMENT ILLICITE NE VIENDRA PLUS INTERDIRE LA REPARATION DE VOTRE PREJUDICE MORAL.
FAITS & PROCEDURE MOTIFS & DISPOSITIF PORTEE DE L’AFFAIRE JURISPRUDENCE ANALYSE CONSEILS
I.
La Cour de justice de l’Union européenne, réunie en Grande Chambre, a rendu le 4 septembre 2025 un arrêt structurant dans l’affaire C-655/23 opposant une personne physique à la Quirin Privatbank AG, établissement bancaire de droit allemand, au sujet d’un traitement illicite de données à caractère personnel. Cette décision, attendue par l’ensemble des praticiens du droit de la protection des données, clarifie définitivement les conditions dans lesquelles une personne concernée peut obtenir d’une juridiction nationale une injonction ordonnant à un responsable du traitement de cesser et de ne pas réitérer un traitement illicite. Elle précise également le régime d’évaluation du dommage moral réparable au titre de l’article 82, paragraphe 1, du RGPD.
II.
Le droit à l’injonction d’abstention : un droit fondé directement sur le RGPD
La Cour consacre l’existence d’un droit à l’injonction judiciaire d’abstention directement fondé sur les articles 17, 18 et 79 du RGPD, lus à la lumière de l’article 47 de la Charte des droits fondamentaux de l’Union européenne. La personne concernée peut, devant les juridictions civiles nationales, solliciter non seulement la réparation du préjudice subi du fait d’un traitement illicite passé, mais également l’interdiction faite au responsable du traitement de procéder à tout nouveau traitement illicite similaire à l’avenir. Ce droit est autonome par rapport aux voies administratives (réclamation à l’autorité de contrôle) et n’exige pas la démonstration d’un dommage déjà réalisé : il suffit que le risque de répétition du traitement illicite soit réel.
III.
L’évaluation du préjudice moral : la gravité de la faute du responsable comme facteur pertinent
Sur le terrain de la réparation, la Cour précise que la gravité de la faute du responsable du traitement peut être prise en compte par la juridiction nationale dans l’évaluation du montant du préjudice moral réparable au titre de l’article 82, paragraphe 1, dans la mesure où cette gravité est de nature à influer sur l’intensité du préjudice effectivement subi par la personne concernée. L’article 82 demeure une disposition indemnitaire et non punitive : le dommage réel doit être prouvé, et la réparation ne saurait excéder le préjudice effectivement subi. Mais dès lors qu’une faute particulièrement grave, délibérée ou systémique, a aggravé le sentiment de violation ressenti par la personne, cette circonstance peut légitimement se refléter dans le montant alloué.
L’injonction obtenue n’efface pas le droit à réparation du préjudice passé
La Cour précise également que l’obtention d’une injonction d’abstention — qui écarte le risque de préjudice futur — ne prive pas automatiquement la personne concernée du droit à réparation du préjudice moral antérieurement subi. Les deux recours ont des finalités distinctes et peuvent être exercés simultanément dans la même procédure. En revanche, la juridiction peut tenir compte, dans le quantum indemnitaire, du fait que l’injonction a supprimé le risque futur, ce qui peut justifier une réduction de la composante prospective du préjudice.
IV.
Alertes à l’attention des directions générales et directions juridiques
DIRECTION GÉNÉRALE / DPO — RISQUE CONTENTIEUX TRIPLE
L’arrêt Quirin Privatbank transforme l’exposition contentieuse de tout responsable du traitement en cas de violation des droits des personnes concernées. Désormais, tout traitement illicite expose simultanément à : (1) une sanction administrative de l’autorité de contrôle (jusqu’à 4 % du chiffre d’affaires mondial annuel) ; (2) une action en réparation du préjudice moral devant les juridictions civiles, sans seuil de gravité minimale du dommage ; (3) une injonction judiciaire d’abstention ordonnant la cessation immédiate et définitive du traitement litigieux, directement fondée sur le RGPD.
DIRECTION JURIDIQUE — STRATÉGIE CONTENTIEUSE
Les services juridiques doivent intégrer que l’injonction d’abstention est désormais un outil contentieux de droit de l’Union, directement invocable devant toutes les juridictions civiles nationales, sans besoin de se fonder sur le droit interne. Cette clarification peut conduire à une multiplication des actions tendant à la cessation de traitements illicites, notamment dans les domaines du marketing direct, de la prospection commerciale, de la gestion des données RH et du profilage comportemental.
DIRECTION DES RESSOURCES HUMAINES — TRAITEMENT DES DONNÉES SALARIÉS
En matière de traitement des données des salariés — domaine particulièrement sensible au regard de l’article 88 du RGPD et de la jurisprudence de la Cour (notamment C-65/23, K GmbH) — l’arrêt Quirin Privatbank signifie que les salariés victimes de traitements illicites peuvent désormais, avec une base juridique renforcée, solliciter des injonctions d’abstention devant les prud’hommes ou les juridictions civiles, en sus de la réparation du préjudice moral. La gestion diligente des demandes d’exercice de droits (effacement, limitation, opposition) constitue dès lors un impératif de premier ordre pour limiter l’exposition contentieuse.
POINTS ESSENTIELS
26.05.2026 | Dernière Mise à Jour | Armand-Ari BETTAN & Dominique KARPISEK-BETTAN, Avocats