- Une demande de dommages-intérêts moraux en vertu de l’article 82 du RGPD exige la preuve d’un préjudice concret ; une simple violation de la protection des données ne suffit pas.
- Le considérant 146/85 élargit la notion de dommage ; les violations de la protection des données peuvent avoir des conséquences physiques, matérielles ou immatérielles, telles que le vol d’identité ou l’atteinte à la réputation.
- Toute infraction au RGPD n’entraîne pas automatiquement une obligation de compensation ; il faut une atteinte concrète à la personnalité, par exemple par une mise à nu.
Le 4 septembre 2020, le tribunal de grande instance de Hambourg s’est prononcé, entre autres, sur une demande de réparation d’un préjudice moral (Jugement 324 S 9/19). Le contexte était une collecte de données via un formulaire de prise de rendez-vous sur un site web. Le tribunal de grande instance de Hambourg a rejeté une demande de dommages-intérêts moraux parce que l’existence d’un tel préjudice n’avait pas été prouvée (voir déjà à ce sujet ici):
2) La requérante n’a pas non plus le droit de réclamer au défendeur des dommages-intérêts pour préjudice moral (“Schmerzensgeld”) au titre de l’article 82 du RGPD ou de tout autre aspect juridique. L’octroi d’un droit à réparation requiert la survenance d’un préjudice. La requérante n’a pas démontré l’existence d’un tel préjudice et il n’est pas évident qu’il existe. La seule violation de la législation sur la protection des données n’entraîne pas l’obligation pour le responsable de payer des dommages-intérêts (ainsi que le LG Karlsruhe, jugement du 2.8.2019 – 8 O 26/19 = ZD 2019, 511). La condition d’une demande de dommages et intérêts au titre de l’article 82, paragraphe 1, du RGPD, qui s’applique directement en droit national et n’exclut pas d’autres motifs de demande (Nemitz, in : Ehmann/Selmayr, DS-GVO, 2e édition, article 82, point 7), est une violation du RGPD et un préjudice causé par celle-ci, ce qu’un demandeur doit exposer et prouver (LG Karlsruhe, op. cit.).
33 Selon le considérant 146, le La notion de dommage doit être interprétée de manière largeafin que les personnes concernées obtiennent une réparation effective. Le considérant 85 indique qu’une violation de la protection des données à caractère personnel peut entraîner un préjudice physique, matériel ou moral pour les personnes physiques – tel que la perte de contrôle sur leurs données à caractère personnel ou la limitation de leurs droits, la discrimination, le vol ou la fraude d’identité, des pertes financières, la suppression non autorisée de la pseudonymisation ou l’atteinte à la réputation – si une réponse appropriée n’est pas apportée en temps utile.
34 Il n’est donc pas nécessaire de porter une atteinte grave au droit de la personnalité pour faire valoir un préjudice moral (Gola/Piltz, DS-GVO, 2e édition, art. 82, point 13). Néanmoins, toute violation du RGPD ne donne pas lieu à une obligation de compensation.En effet, l’obligation d’indemniser un préjudice moral doit être compensée par une atteinte à la personnalité identifiable et réelle, qui peut par exemple consister en une “exposition” liée à une mise à disposition illicite de données (LG Karlsruhe, op. cit.).