Revue - Revue des contrats 2-2024 - 34

Responsabilité
202a3
Le contentieux de
la réparation des
dommages causés
par la violation
du RGPD :
les tiraillements
de la CJUE
Dans quatre arrêts rendus en décembre 2023
et janvier 2024, la Cour de justice de l'Union
européenne tente, sans grand succès,
de clarifier le régime de responsabilité
de l'article 82 du règlement général sur
la protection des données : nature du
régime de responsabilité, caractères du
préjudice réparable, appréciation abstraite
ou concrète du préjudice et évaluation des
dommages-intérêts.
CJUE, 14 déc. 2023, no
21 déc. 2023, no
C-340/21, VB c/ Natsionalna
agentsia za prihodite - CJUE, 14 déc. 2023,
no
C-456/22, VX et AT c/ Gemeinde Ummendorf - CJUE,
C-667/21, ZQ c/ Medizinischer Dienst
der Krankenversicherung Nordrhein, Körperschaft des
öffentlichen Rechts - CJUE, 25 janv. 2024, no
BL c/ MediaMarktSaturn Hagen-Iserlohn GmbH
Par Jonas Knetsch
Professeur à l'École de droit de la Sorbonne
RDC202a3
L
32
e renouvellement du droit de la responsabilité viendrait-il de
Bruxelles et de Luxembourg plutôt que de la place Vendôme et
des bureaux de la Chancellerie ?
À l'heure où la réforme de la responsabilité du fait des produits
défectueux est en passe d'être promulguée (1)
et où les autorités
européennes se sont résolues à créer un nouveau régime de responsabilité
pour sanctionner le manquement au devoir de vigilance des
entreprises (2)
, le commentaire de ces quatre décisions de la Cour de
(1) V. la Résolution législative du Parlement européen du 12 mars 2024 sur la proposition
de directive du Parlement européen et du Conseil sur la responsabilité du
fait des produits défectueux, réf. P9 TA(2024)0132.
(2) V. Malingre, « Devoir de vigilance : l'Union européenne trouve enfin un accord »,
Le Monde, 15 mars 2024.
Revue des contRats 2 - Juin 2024
C-687/21,
(3) Pour une étude d'ensemble, v. ainsi que v. déjà A. Danis-Fatôme, « Quelles
actions judiciaires en cas de violation du RGPD ? », Comm. com. électr. 2018, dossier
18 (l'étude aborde la question sous l'angle de l'identification des responsables
et de la mise en œuvre, individuelle ou collective, de l'action) et plus récemment
T. Douville, « La responsabilité des responsables du traitement et des sous-traitants
à l'égard des personnes concernées : une grande oubliée », RAE 2021/1, p. 27 ;
T. Douville, Droit des données à caractère personnel, 2023, LGDJ, nos
9782275111346 ; ainsi qu'en dernier lieu N. Martial-Braz, « L'articulation des différentes
sanctions : les alternatives à la sanction administrative », Comm. com.
électr. 2024, dossier 2, spéc. nos
11 et s. V. encore J. Knetsch, « Les actions civiles en
réparation fondées sur une violation du RGPD », JCP G 2022, 1062
(4) J. Knetsch, « L'européanisation de la responsabilité civile : mythe ou réalité ? »,
D. 2017, p. 18 (cette étude reprend une communication donnée le 26 septembre
2016 au Centre de droit économique de l'Université Aix-Marseille).
(5) V. par ex., G. Viney, « L'apport du droit communautaire au droit français de
la responsabilité civile », in Études de droit de la consommation. Liber amicorum
Jean Calais-Auloy, 2004, Dalloz, p. 1135, spéc. p. 1136 (« apport [...] très faible ») ;
et encore récemment P. Brun, Responsabilité civile extracontractuelle, 6e
éd., 2023,
LexisNexis, n° 21 (« avancées très modestes réalisées en ce sens dans le cadre de
l'Union européenne »).
(6) V. en dernier lieu, V. Janeček/C. Teixeira Santos, « The autonomous concept of
" damage " according to the GDPR and its unfortunate implications : Österreichische
Post », Common Market Law Review 2024, vol. 61, p. 531, spec. p. 543 (« Article 82
of the GDPR relies on generic legal concepts such as " damage " and the right to
" compensation " which have long-established and often quite varied meanings and
implications in the Member States'individual jurisdictions »).
justice de l'Union européenne, rendues en application de l'article 82
du règlement général sur la protection des données (RGPD) (3)
, rappelle
toute l'importance qu'a prise le droit européen, en l'espace de
quelques années, dans le domaine de la responsabilité civile. Alors
que l'auteur de ces lignes a pu encore s'interroger en 2016 sur la réalité
ou le mythe d'une européanisation de la matière (4)
, les développements
récents apportent un démenti à ceux qui considèrent que la
responsabilité civile est l'apanage du droit national et que la matière
échappe largement aux influences supranationales (5)
.
Illustration par excellence de l'interférence du droit européen avec
le droit de la responsabilité, l'article 82 du RGPD prévoit, dans son
alinéa 1er
, que « toute personne ayant subi un dommage matériel ou
moral du fait d'une violation du présent règlement a le droit d'obtenir
du responsable du traitement ou du sous-traitant réparation du
préjudice subi ». Cette disposition est l'un des rares fondements
directs d'un régime de responsabilité d'origine européenne, les autorités
ayant privilégié, jusque-là, la voie de la directive. Or, si ce texte
instaure bien un régime de responsabilité, celui-ci ne se suffit pas à
lui-même. Les notions de dommage et de réparation n'y reçoivent
pas de définition et la question qui se trouve au cœur des quatre
affaires ici commentées est bien de savoir dans quelle mesure cellesci
doivent être interprétées à la lumière du droit national ou relèvent
d'une interprétation autonome (6)
.
Au regard du champ d'application de l'article 82 du RGPD, on comprend
pourquoi le contentieux fondé sur ce texte trouve naturellement
sa place dans une chronique portant sur les liens entre « Contrat
et responsabilité ». C'est qu'à l'image de la responsabilité du fait
des produits défectueux, ce régime « transcende » (selon la formule
consacrée) les ordres de responsabilité contractuelle et extracontractuelle.
Il s'applique bien souvent dans des situations où une personne
confie à une autre des données à caractère personnel en exécution
ou en prévision d'un contrat. Il en est ainsi, par exemple, dans le
cas où une cyberattaque vise un réseau social nourri par des données
personnelles confiées par leurs utilisateurs (en exécution d'un
845 et s., EAN :
Revue - Revue des contrats 2-2024

Table des matières de la publication Revue - Revue des contrats 2-2024
