Revue - Revue des contrats 2-2024 - 39

Responsabilité
elle seule, de constituer un " dommage moral " » (50). Confirmant cette
solution, la CJUE a précisé, dans l'affaire MediaMarktSaturn, que « la
perte de contrôle sur des données à caractère personnel pendant un
court laps de temps peut causer à la personne concernée un " dommage
moral " [...] ouvrant droit à réparation, à condition que ladite
personne démontre avoir effectivement subi un tel dommage, aussi
minime fût-il », étant entendu qu'« un risque purement hypothétique
d'usage abusif par un tiers non autorisé ne saurait donner lieu à
réparation » (51)
.
Loin de consacrer un « préjudice de pistage » résultant d'un sentiment
de « dépossession », tel que proposé par la doctrine (52)
, les juges de
Luxembourg semblent prêts, en revanche, à une analyse plus fine
des éléments constitutifs du dommage moral réparable. En revanche,
contrairement à la pratique française en matière de dommage corporel,
ce n'est donc pas vers la consécration de chefs de préjudice
distincts que paraît s'orienter la CJUE, mais vers l'identification d'un
faisceau de critères qui permettront d'évaluer l'ampleur et la réalité
du « dommage moral », à l'instar de ce que pratiquent les juridictions
françaises dans le contentieux indemnitaire en cas d'atteinte à la vie
privée (53)
. Pour le dire autrement, au lieu de le découper en plusieurs
préjudices autonomes, la CJUE invite les juges nationaux à analyser le
dommage moral à travers ses éléments constitutifs, tels que le sentiment
de dépossession ou de perte de contrôle sur son identité numérique.
Il n'y aurait donc pas lieu d'identifier une pluralité de préjudices
distincts mais de retenir une conception globalisante du préjudice
réparable qui se constituerait d'un certain nombre de répercussions
psychologiques dont la crainte d'un usage abusif.
IV. Deux questions restées en suspens :
l'évaluation des dommages-intérêts et la
recevabilité des actions collectives
Enfin, les décisions ici présentées évoquent, en filigrane, deux autres
questions importantes sur lesquelles la CJUE devra se prononcer
prochainement : comment évaluer les dommages-intérêts en cas de
violation du RGPD et quel est le potentiel des actions collectives dans
les cas où une telle violation a affecté une pluralité de personnes ?
S'agissant de l'évaluation des dommages-intérêts, la Cour avait déjà
jugé, dans l'affaire Österreichische Post, que « le RGPD ne cont[enant]
pas de disposition ayant pour objet de définir les règles relatives
à l'évaluation des dommages-intérêts dus au titre du droit à réparation
consacré à l'article 82 de ce règlement, les juges nationaux
doivent [...] appliquer, en vertu du principe de l'autonomie procédurale,
les règles internes de chaque État membre relatives à l'étendue
de la réparation pécuniaire » (54)
. Reprise par la CJUE dans l'affaire
, cette formule signifie donc qu'il n'y a pas de place pour
un référentiel indemnitaire spécifiquement européen qui puisse guider
les juges et les parties dans leur tentative de fixer le « juste prix »
des désagréments et souffrances résultant d'une violation du RGPD.
Nordrhein (55)
(50) CJUE, 14 déc. 2023, n° C-340/21, pts 85 et 86.
(51) CJUE, 25 janv. 2024, n° C-687/21, pts 66 et 68.
(52) S. Vergnolle, L'effectivité de la protection des personnes par le droit des données
à caractère personnel, thèse, Paris 2, 2022, Bruylant, n° 571.
(53) V. par ex., A. Lepage, Rép. civ. Dalloz, Vo
Droits de la personnalité, 2022, nos
et s. (avec de nombreuses références).
(54) CJUE, 4 mai 2023, n° C-300/21, pt 53.
(55) CJUE, 21 déc. 2023, n° C-667/21, pt 83.
272
(56) CJUE, 21 déc. 2023, n° C-667/21, pt 86.
(57) CJUE, 21 déc. 2023, n° C-667/21, pt 86.
(58) V., pour le droit français, les références citées par A. Lepage, Rép. civ. Dalloz,
Vo
Droits de la personnalité, 2022, nos
276 et s.
(59) CJUE, 5 mars 2024, n° C-755/21, Marián Kočner, pt 140.
(60) V. par ex., Latham & Watkins, Latham DSGVO-Schadensersatztabelle, 12 mai
2023, consultable sur https://lext.so/iKPwrQ. V. également le site internet https://
lext.so/iRY5CE.
(61) La transposition en droit français n'est toujours pas intervenue alors que le
délai de transposition a expiré depuis le 25 décembre 2022. La proposition de loi
est actuellement en seconde lecture devant l'Assemblée nationale (https://lext.so/
sbzpia). Pour un commentaire doctrinal, v. O. Kafi Cherrat, « La transposition de la
directive du 25 novembre 2020 sur les actions représentatives : la France à la croisée
des chemins », JCP G 2023, 107 ; M. Lartigue, « Actions de groupe : les sénateurs
ont sensiblement modifié le texte », GPL 20 févr. 2024, n° GPL459p7.
Revue des contRats 2 - Juin 2024
37
Cela étant, ici encore, les juges de Luxembourg manifestent un certain
tiraillement entre interprétation autonome et subsidiarité. Ils soulignent
en effet que l'évaluation par le juge national des dommagesintérêts
doit respecter « les principes d'équivalence et d'effectivité
du droit de l'Union », sans que l'on sache ce qu'il faut entendre par là
dans ce contexte. Surtout, dans l'affaire Nordrhein, ils précisent que
les dommages-intérêts de l'article 82 du RGPD ne poursuivent pas
une finalité punitive comme l'amende prononcée par les autorités
nationales en vertu des articles 83 et 84 du RGPD. Dès lors, « la gravité
de la violation de ce règlement ayant causé le dommage concerné
ne saurait influer sur le montant des dommages-intérêts octroyés au
titre de cette disposition, même lorsqu'il s'agit d'un dommage non
pas matériel mais moral » (56)
de sorte que « ce montant ne saurait
être fixé à un niveau dépassant la compensation complète de ce
préjudice » (57)
. Si cette affirmation paraît, de prime abord, relever du
bon sens, l'on peut douter que cette décorrélation entre gravité de
la faute et montant indemnitaire soit suivie scrupuleusement par les
juges nationaux qui, en matière d'atteinte aux droits de la personnalité,
accordent souvent sous le couvert de l'appréciation souveraine
des dommages-intérêts plus importants en présence d'une « malveillance
» caractérisée ou en cas d'agissements particulièrement
« dévalorisants » (58)
.
Paradoxalement, dans une affaire récente de responsabilité extracontractuelle
de l'Union européenne, la CJUE a été appelée à évaluer
directement le dommage moral lié à la divulgation de données personnelles.
Selon la Cour, « le dommage moral encouru par le requérant
du fait de la divulgation des transcriptions des conversations
à caractère intime entretenues avec son amie sera adéquatement
réparé par le versement, à celui-ci, d'une indemnité fixée, en équité, à
2 000 euros » (59)
. Il reste donc à voir si la publication par des cabinets
d'avocats de « tableaux indemnitaires » (Schadensersatztabellen) officieux
(60)
conduise la Cour ou le législateur européen à apporter des
précisions supplémentaires quant à la manière de chiffrer les indemnités
en la matière.
S'agissant des actions collectives qui peuvent résulter d'une violation
du RGPD, les décisions commentées ne devraient pas faciliter leur
mise en œuvre au regard des critères de recevabilité issus de la législation
française et de la directive n° 2020/1828 relative aux actions
représentatives (61)
. Rappelons que les textes exigent la démonstration
d'une « situation similaire » pour qu'une action de groupe puisse

https://www.lext.so/iKPwrQ http://https:// http://www.lext.so/iRY5CE https://www.lext.so/

Revue - Revue des contrats 2-2024

Table des matières de la publication Revue - Revue des contrats 2-2024