Préjudice moral et cybersécurité : la CJUE précise le régime de l’article 82 RGPD
Par son arrêt du 14 décembre 2023 (CJUE, C-340/21, Natsionalna agentsia za prihodite), la Cour de justice consacre une avancée majeure en matière de droits numériques : la crainte légitime d’un usage abusif futur de données personnelles, à la suite d’une violation du RGPD, peut constituer un dommage moral indemnisable au titre de l’article 82
Vers une ouverture de l’indemnisation du préjudice causé par la fuite de données - CJUE, 14 déc. 2023, C-340/21 –
Introduction
Par l’arrêt Natsionalna agentsia za prihodite (CJUE, 14 décembre 2023, C-340/21), la Cour de justice de l’Union européenne apporte une précision majeure sur le régime de l’article 82 RGPD : la crainte d’une utilisation abusive future des données personnelles, à la suite d’une violation de données, peut constituer un dommage moral indemnisable.
Sans consacrer une indemnisation automatique de toute fuite de données, la Cour opère une avancée décisive : elle reconnaît que le préjudice numérique peut naître dès l’exposition au risque, avant même la réalisation d’un usage frauduleux effectif. L’arrêt ouvre ainsi une voie contentieuse importante pour les victimes de violations de données.
1. La CJUE admet que la “crainte” post-fuite de données peut constituer un dommage moral
L’apport principal de l’arrêt tient à la reconnaissance explicite d’un préjudice moral de crainte. La Cour juge que la peur éprouvée par une personne concernée quant à un mésusage futur de ses données personnelles peut, à elle seule, relever de la notion de dommage moral au sens de l’article 82 RGPD.
Cette solution est fondamentale : elle rompt avec une lecture restrictive qui subordonnerait l’indemnisation à la preuve d’un dommage déjà “consommé” (usurpation d’identité, fraude bancaire, chantage, etc.).
La CJUE reconnaît ici la spécificité du préjudice lié à la fuite de données : la violation produit immédiatement une insécurité informationnelle, susceptible d’affecter la personne indépendamment de toute exploitation frauduleuse déjà constatée.
2. L’arrêt ouvre une indemnisation du préjudice causé par la fuite de données, sans instaurer d’automaticité
L’arrêt ne consacre pas une présomption irréfragable de préjudice. La Cour maintient l’architecture classique de l’article 82 RGPD : la réparation suppose la réunion de trois éléments :
une violation du RGPD,
un dommage (matériel ou moral),
un lien de causalité entre la violation et le dommage.
Autrement dit, la fuite de données ne suffit pas, à elle seule, à déclencher automatiquement une indemnisation. Mais la Cour abaisse clairement le seuil d’accès à la réparation en admettant que le dommage moral puisse être constitué par la seule crainte légitime née de la fuite.
L’ouverture est donc majeure sur le plan indemnitaire : la victime n’a plus nécessairement à attendre la réalisation du risque pour agir.
3. La décision consacre une approche réaliste du préjudice numérique : perte de contrôle, anxiété, charge mentale
Sur le plan doctrinal, l’arrêt participe à la reconnaissance d’un préjudice proprement numérique, caractérisé par :
la perte de contrôle sur ses données,
le sentiment d’exposition à un risque durable,
l’anxiété liée à un possible usage malveillant,
la charge mentale de surveillance et de sécurisation (comptes, mots de passe, vigilance renforcée).
La CJUE valide ainsi une compréhension contemporaine du dommage, adaptée à la réalité des violations massives de données : le préjudice n’est pas uniquement patrimonial, il peut être psychologique et comportemental.
Cette approche renforce la protection effective des personnes concernées, en phase avec la finalité du RGPD.
4. Portée contentieuse : une ouverture stratégique pour l’indemnisation des victimes de fuites de données
L’arrêt C-340/21 constitue une base solide pour soutenir des demandes indemnitaires fondées sur l’article 82 RGPD dans les contentieux de fuites de données. Sa portée est double :
Pour les victimes : il devient juridiquement possible d’obtenir réparation d’un préjudice moral même en l’absence de fraude déjà matérialisée, dès lors que la crainte est réelle, personnelle et justifiable.
Pour les responsables de traitement : l’arrêt accroît le risque contentieux en cas de violation de données, en élargissant le champ des préjudices indemnisables au-delà des seuls dommages patrimoniaux.
L’ouverture n’est pas illimitée — la preuve du dommage demeure requise — mais elle est substantielle : la CJUE facilite la reconnaissance judiciaire des conséquences humaines d’une fuite de données.
Conclusion
L’arrêt CJUE, 14 déc. 2023, C-340/21 marque une étape importante dans l’évolution du contentieux indemnitaire du RGPD. Sans automatiser la réparation, il ouvre clairement l’indemnisation du préjudice causé par la fuite de données en admettant que la crainte légitime d’un usage abusif futur puisse constituer un dommage moral. Il en résulte une consolidation de la protection des personnes concernées et une reconnaissance plus réaliste du préjudice numérique.
