Les conditions d’ouverture de l’indemnisation du préjudice au titre de l’article 82 RGPD
Introduction
Avec l’arrêt Österreichische Post (CJUE, 4 mai 2023, C-300/21), la Cour de justice pose les premières bases du régime indemnitaire de l’article 82 RGPD. La décision est structurante : elle refuse l’idée d’une indemnisation automatique en cas de violation du RGPD, mais elle écarte aussi toute exigence de “gravité minimale” du dommage moral. La Cour dessine ainsi une voie médiane, essentielle en pratique : ouvrir l’indemnisation des préjudices numériques réels, sans transformer toute violation de données en réparation de plein droit.
1. La CJUE rappelle que la violation du RGPD, à elle seule, n’ouvre pas automatiquement droit à réparation
L’apport principal de l’arrêt est de clarifier que la seule méconnaissance d’une disposition du RGPD ne suffit pas à fonder une indemnisation sur le terrain de l’article 82. La Cour exige la réunion de trois conditions cumulatives :
une violation du RGPD,
un dommage (matériel ou moral),
un lien de causalité entre la violation et le dommage.
Cette solution est fondamentale pour la cohérence du contentieux : elle distingue le droit à réparation (article 82) des autres mécanismes de protection du RGPD (plainte, injonctions, sanctions administratives), qui n’exigent pas nécessairement la preuve d’un dommage.
2. Mais la Cour refuse tout seuil de gravité du préjudice moral : une ouverture importante pour les victimes
Dans le même mouvement, la CJUE écarte une condition souvent invoquée par certaines juridictions nationales : l’existence d’un préjudice moral d’une gravité suffisante. La Cour juge que l’article 82 RGPD s’oppose à une telle exigence de seuil.
La portée est majeure : si la victime doit prouver un dommage, elle n’a pas à démontrer qu’il atteint un niveau “exceptionnel” ou “particulièrement grave”.
Cette solution ouvre l’indemnisation des préjudices moraux numériques “ordinaires mais réels” (trouble, stress, perte de confiance, sentiment d’exposition), dès lors qu’ils sont établis et causés par la violation.
3. L’arrêt établit un cadre doctrinal favorable à la réparation des préjudices liés aux fuites de données
Même si l’affaire Österreichische Post ne porte pas exactement sur une fuite de données massive comme dans l’arrêt C-340/21, elle joue un rôle doctrinal central pour ces contentieux : elle définit la grammaire juridique de la réparation sous article 82.
En pratique, l’arrêt permet de soutenir que les préjudices causés par une fuite de données peuvent être indemnisés :
sans automaticité (la preuve reste nécessaire),
sans seuil de gravité (pas de filtre excessif),
dans un cadre européen harmonisé.
Il constitue ainsi le socle sur lequel la CJUE a ensuite pu reconnaître, dans C-340/21, que la crainte d’un mésusage futur des données est susceptible de constituer un dommage moral. (Ici, Österreichische Post prépare le terrain conceptuel.)
4. Portée contentieuse : une ouverture encadrée de l’indemnisation du préjudice numérique
L’arrêt C-300/21 instaure un équilibre utile pour les contentieux de violations de données :
Ouverture : les victimes ne sont pas écartées au motif que leur préjudice moral serait “insuffisamment grave”.
Encadrement : elles doivent néanmoins prouver l’existence du dommage et son lien avec la violation.
Harmonisation : les États membres ne peuvent pas ajouter des barrières nationales incompatibles avec l’économie de l’article 82 RGPD.
Cet arrêt marque donc une étape clé : il ne consacre pas un automatisme indemnitaire, mais il abaisse les obstacles excessifs à la réparation des préjudices causés par les atteintes aux données personnelles.
