- Les tribunaux doivent examiner concrètement les risques (ex ante) et l’adéquation des mesures techniques et organisationnelles en cas de cyberattaques, le cas échéant avec des experts.
- La charge de la preuve que des mesures de sécurité adéquates ont été prises incombe au responsable ; il doit démontrer qu’aucune violation du RGPD n’a causé le dommage de manière causale.
- Le préjudice immatériel comprend également la crainte légitime d’une utilisation abusive des données à l’avenir ; les personnes concernées doivent démontrer le bien-fondé de cette crainte.
La CJCE a jugé dans Arrêt C‑340/21 du 14 décembre 2023 Réponse à des questions préjudicielles posées par la Cour administrative suprême de Bulgarie dans le cadre d’une cyberattaque contre une autorité bulgare.
En toile de fond, une cyber-attaque contre l’autorité, qui a permis Données personnelles publiées sur Internet sans autorisation ont été victimes. Cela a apparemment concerné plus de 6 millions de personnes, dont quelques centaines ont en fait été Réparation du préjudice moral Le préjudice réside dans la crainte que les données personnelles publiées soient utilisées à mauvais escient ou que les personnes concernées puissent être victimes de chantage, d’agression ou d’enlèvement.
La CJCE répond comme suit aux questions posées dans ce contexte. Globalement, il en résulte qu’en cas de cyberattaque
- il convient de vérifier si elle a été rendue possible par un manque de sécurité des données ;
- ce faisant, le tribunal doit examiner concrètement les risques (ex ante) et l’adéquation des mesures prises, le cas échéant en recourant à un rapport d’expertise ;
- si les mesures étaient insuffisantes et que l’attaque a ainsi été rendue possible par un lien de causalité, le responsable peut également être tenu responsable du préjudice moral ;
- ce préjudice peut consister en la crainte d’une utilisation abusive des données à l’avenir.
En détail :
- Les articles 24 et 32 du RGPD doivent être interprétés de telle sorte qu’une divulgation non autorisée de données par des tiers pas encore affectéque les mesures de sécurité du responsable du traitement n’étaient pas “appropriées”. Cela résulte du fait que l’article 32 du RGPD n’exige qu’un “niveau de protection adapté au risque” et qu’il n’y a pas d’obligation de mettre en place des mesures de protection.
[…] montre qu’avec le RGPD, un Système de gestion des risques mis en place et qu’elle n’affirme en aucune manière éliminer le risque de violation de la protection des données à caractère personnel.
- Lorsqu’un organisme tel qu’un tribunal examine l’adéquation des mesures de sécurité, il doit procéder en deux étapes – il doit d’abord déterminer les risques et ensuite vérifier si les TOM sont adéquats. Le responsable dispose alors d’un certain Marge de manœuvre décisionnelle.
- Un tribunal doit néanmoins pouvoir évaluer l’appréciation du responsable. Pour ce faire, il doit disposer d’une “examen matériel de ces mesures”, par une
l’analyse concrète tant de la nature que du contenu des mesures prises par le responsable du traitement, de la manière dont ces mesures ont été appliquées et de leur incidence pratique sur le niveau de sécurité que le responsable du traitement était tenu d’assurer compte tenu des risques présentés par ce traitement
- Le site Charge de la preuve de l’adéquation se situe cependant au Responsable:
Il ressort clairement du libellé de l’article 5, paragraphe 2, de l’article 24, paragraphe 1, et de l’article 32, paragraphe 1, du RGPD que la charge de la preuve que des données à caractère personnel sont traitées de manière à garantir une sécurité appropriée de ces données […] incombe au responsable du traitement concerné […]. Ces trois articles formulent donc une règle d’application générale qui, en l’absence d’indications contraires dans le RGPD, doit également être appliquée dans le cadre d’une action en dommages et intérêts fondée sur l’article 82 du RGPD.
- Lorsqu’un tribunal évalue l’adéquation des mesures de sécurité, il peut prendre en compte un avis d’expert. La procédure de preuve est régie par le droit des États membres ; le droit de l’Union exige seulement que les règles de procédure nationales ne soient pas moins favorables dans les situations régies par le droit de l’Union que dans les situations similaires régies par le droit national (Principe d’équivalence) et elles ne doivent pas rendre pratiquement impossible ou excessivement difficile l’exercice des droits conférés par le droit de l’Union (Principe d’effectivité). On peut donc bien sûr recourir à une expertise, mais elle n’est pas obligatoire. ne sont pas considérées comme généralement nécessaires et suffisantes considérer.
- Dommages et intérêts suppose qu’un dommage a été subi, qu’il a été causé de manière causale par une violation du RGPD en rapport avec le traitement et que le responsable ne prouve pas qu’il n’est pas responsable du dommage.
- En cas de cyberattaque, la violation du RGPD ne peut être imputée au responsable que attribué s’il a permis la violation en violation du RGPD. Il peut ou doit donc prouver qu’il n’y a pas eu de violation du RGPD ou que celle-ci n’est pas à l’origine du dommage. Le fait que des tiers aient commis une attaque n’est toutefois pas encore suffisant.
- Un préjudice moral peut résider non seulement dans le fait que des données personnelles sont utilisées de manière abusive, mais aussi dans la crainte que des données puissent être utilisées abusivement à l’avenir, car de la
Il ressort de l’énumération exemplative des “dommages” que peuvent subir les personnes concernées que le législateur de l’Union a notamment voulu inclure dans la notion de “dommage” la simple “perte de contrôle” de leurs propres données à la suite d’une violation du RGPD, même si, concrètement, aucune utilisation abusive des données concernées n’a été faite au détriment de ces personnes.
- Si une personne concernée prétend avoir subi un préjudice moral, elle doit le prouver. prouver. Si elle affirme craindre une utilisation abusive de ses données à l’avenir, il convient d’examiner si cette crainte “peut être considérée comme fondée dans les circonstances particulières et en ce qui concerne la personne concernée”.