ARRÊT DE LA COUR (huitième chambre)
4 octobre 2024 ( *1 )
« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Article 82, paragraphe 1 – Droit à réparation et responsabilité – Traitement illicite de données – Violation du droit à la protection des données à caractère personnel – Notion de “dommage” – Réparation d’un dommage moral sous forme de présentation d’excuses – Admissibilité – Principe d’effectivité – Appréciation de la forme et du niveau de la réparation – Prise en compte éventuelle de l’attitude et de la
motivation du responsable du traitement »
Dans l’affaire C‑507/23,
ayant pour objet une demande de décision préjudicielle au titre de l’article 267 TFUE, introduite par l’Augstākā tiesa (Senāts) (Cour suprême, Lettonie), par décision du 7 août 2023, parvenue à la Cour le 8 août 2023, dans la procédure
A
contre
Patērētāju tiesību aizsardzības centrs,
LA COUR (huitième chambre),
composée de M. N. Piçarra, président de chambre, MM. N. Jääskinen (rapporteur) et M. Gavalec, juges,
avocat général : M. M. Szpunar,
greffier : M. A. Calot Escobar,
vu la procédure écrite,
considérant les observations présentées :
– pour le gouvernement letton, par Mmes J. Davidoviča et K. Pommere, en qualité d’agents,
– pour la Commission européenne, par MM. A. Bouchagiar, H. Kranenborg et I. Naglis, en qualité d’agents,
vu la décision prise, l’avocat général entendu, de juger l’affaire sans conclusions,
rend le présent
Arrêt
1 La demande de décision préjudicielle porte sur l’interprétation de l’article 82, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).
2 Cette demande a été présentée dans le cadre d’un litige opposant A au Patērētāju tiesību aizsardzības centrs (Centre de protection des droits des consommateurs, Lettonie) (ci-après le « PTAC ») au sujet de la réparation du préjudice moral que le requérant au principal affirme avoir subi en raison du traitement sans autorisation de sa part de certaines de ses données à caractère personnel par le PTAC.
Le cadre juridique
Le droit de l’Union
3 Les considérants 1, 75, 85, 146 et 148 du RGPD sont libellés comme suit :
« (1) La protection des personnes physiques à l’égard du traitement des données à caractère personnel est un droit fondamental. L’article 8, paragraphe 1, de la [c]harte des droits fondamentaux de l’Union européenne (ci-après dénommée « Charte ») et l’article 16, paragraphe 1, [TFUE] disposent que toute personne a droit à la protection des données à caractère personnel la concernant.
[...]
(75) Des risques pour les droits et libertés des personnes physiques, dont le degré de probabilité et de gravité varie, peuvent résulter du traitement de données à caractère personnel qui est susceptible d’entraîner des dommages physiques, matériels ou un préjudice moral, en particulier : lorsque le traitement peut donner lieu [...] à une atteinte à la réputation, [...] ou à tout autre dommage économique ou social important ; lorsque les personnes concernées pourraient être privées de leurs droits
et libertés ou empêchées d’exercer le contrôle sur leurs données à caractère personnel ; [...]
[...]
(85) Une violation de données à caractère personnel risque, si l’on n’intervient pas à temps et de manière appropriée, de causer aux personnes physiques concernées des dommages physiques, matériels ou un préjudice moral tels qu’une perte de contrôle sur leurs données à caractère personnel ou la limitation de leurs droits, [...] une atteinte à la réputation, [...] ou tout autre dommage économique ou social important. [...]
[...]
(146) Le responsable du traitement ou le sous‑traitant devrait réparer tout dommage qu’une personne peut subir du fait d’un traitement effectué en violation du présent règlement. [...] La notion de dommage devrait être interprétée au sens large, à la lumière de la jurisprudence de la Cour de justice, d’une manière qui tienne pleinement compte des objectifs du présent règlement. Cela est sans préjudice de toute action en dommages‑intérêts fondée sur une infraction à d’autres règles du droit de
l’Union ou du droit d’un État membre. [...] Les personnes concernées devraient recevoir une réparation complète et effective pour le dommage subi. [...]
[...]
(148) Afin de renforcer l’application des règles du présent règlement, des sanctions y compris des amendes administratives devraient être infligées pour toute violation du présent règlement [...]. Il convient toutefois de tenir dûment compte de la nature, de la gravité et de la durée de la violation, du caractère intentionnel de la violation et des mesures prises pour atténuer le dommage subi, du degré de responsabilité [...], et de toute autre circonstance aggravante ou atténuante. [...] »
4 L’article 1er de ce règlement, intitulé « Objet et objectifs », dispose, à son paragraphe 2 :
« Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel. »
5 L’article 4 dudit règlement, intitulé « Définitions », prévoit :
« Aux fins du présent règlement, on entend par :
1) “données à caractère personnel”, toute information se rapportant à une personne physique identifiée ou identifiable (ci‑après dénommée “personne concernée”) ; [...]
[...]
7) “responsable du traitement”, la personne physique ou morale, l’autorité publique, le service ou un autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement ; [...]
[...]
12) “violation de données à caractère personnel”, une violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l’altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d’une autre manière, ou l’accès non autorisé à de telles données ;
[...] »
6 L’article 6 du même règlement, intitulé « Licéité du traitement », dispose, à son paragraphe 1, que le traitement de données à caractère personnel n’est licite que si, et dans la mesure où, au moins l’une des conditions qu’il énumère est remplie.
7 Le chapitre VIII du RGPD, intitulé « Voies de recours, responsabilité et sanctions », comporte les articles 77 à 84 de celui‑ci.
8 L’article 82 de ce règlement, intitulé « Droit à réparation et responsabilité », dispose, à ses paragraphes 1 et 2 :
« 1. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.
2. Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du présent règlement. [...] »
9 L’article 83 du RGPD, intitulé « Conditions générales pour imposer des amendes administratives », prévoit, à son paragraphe 2 :
« [...] Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments suivants :
a) la nature, la gravité et la durée de la violation, compte tenu de la nature, de la portée ou de la finalité du traitement concerné, ainsi que du nombre de personnes concernées affectées et le niveau de dommage qu’elles ont subi ;
b) le fait que la violation a été commise délibérément ou par négligence ;
c) toute mesure prise par le responsable du traitement ou le sous‑traitant pour atténuer le dommage subi par les personnes concernées ;
[...]
k) toute autre circonstance aggravante ou atténuante applicable aux circonstances de l’espèce, telle que les avantages financiers obtenus ou les pertes évitées, directement ou indirectement, du fait de la violation. »
10 L’article 84 de ce règlement, intitulé « Sanctions », précise, à son paragraphe 1 :
« Les États membres déterminent le régime des autres sanctions applicables en cas de violations du présent règlement, en particulier pour les violations qui ne font pas l’objet des amendes administratives prévues à l’article 83, et prennent toutes les mesures nécessaires pour garantir leur mise en œuvre. Ces sanctions sont effectives, proportionnées et dissuasives. »
Le droit letton
11 L’article 14, intitulé « Détermination de la réparation du préjudice moral », du Valsts pārvaldes iestāžu nodarīto zaudējumu atlīdzināšanas likums (loi sur la réparation des dommages causés par des autorités publiques), du 2 juin 2005 (Latvijas Vēstnesis, 2005, no 96), dans sa version applicable au litige au principal (ci-après la « loi de 2005 »), dispose :
« 1. La réparation du préjudice moral est déterminée en fonction de l’importance des droits violés et des intérêts protégés par la loi ainsi que de la gravité de l’atteinte en cause, en tenant compte des motifs de fait et de droit fondant le comportement de l’autorité, du comportement et de la coresponsabilité de la personne lésée ainsi que des autres circonstances pertinentes de l’espèce.
2. Le préjudice moral est réparé par le rétablissement de la situation antérieure au préjudice ou, si cela n’est pas ou pas totalement possible ou pas adéquat, par la présentation d’excuses ou le versement d’une indemnité adéquate.
3. Si l’autorité ou le juge, après avoir apprécié les circonstances de l’espèce, conclut à l’absence de gravité de la violation des droits ou des intérêts protégés par la loi d’un particulier, des excuses écrites ou publiques peuvent constituer une réparation autonome ou complémentaire du préjudice moral.
4. La réparation du préjudice moral est fixée à un maximum de 7000 euros. En cas de préjudice moral grave, ce maximum peut atteindre 10000 euros, mais, en cas d’atteinte à la vie ou d’atteinte particulièrement grave à la santé, ledit maximum de l’indemnisation peut atteindre 30000 euros. »
Le litige au principal et les questions préjudicielles
12 Le requérant au principal est connu en Lettonie comme étant un journaliste expert dans le domaine automobile.
13 Dans le cadre d’une campagne visant à sensibiliser les consommateurs aux risques encourus lors de l’achat d’un véhicule d’occasion, le PTAC a diffusé, sur plusieurs sites Internet, une séquence vidéo qui, notamment, mettait en scène un personnage imitant le requérant au principal, sans que ce dernier y ait consenti.
14 Malgré l’opposition exprimée par celui-ci à l’égard de la réalisation et la diffusion de cette séquence vidéo, celle‑ci est restée disponible en ligne. En outre, le PTAC a rejeté ses demandes expresses tendant à l’arrêt de cette diffusion et à une réparation pour atteinte à sa réputation.
15 Le requérant au principal a alors saisi l’administratīvā rajona tiesa (tribunal administratif de district, Lettonie), afin, d’une part, de faire constater l’illégalité des agissements du PTAC, consistant à utiliser et diffuser ses données à caractère personnel sans autorisation ainsi que, d’autre part, d’obtenir la réparation de son préjudice moral, sous la forme de présentation d’excuses et d’une indemnité de 2000 euros. Après avoir déclaré illégal ces agissements, cette juridiction a ordonné au
PTAC de mettre fin à ces derniers et de présenter des excuses publiques à ce requérant ainsi que de lui verser une indemnité de 100 euros au titre de la réparation du préjudice moral subi.
16 Par arrêt du 20 mai 2023, l’Administratīvā apgabaltiesa (Cour administrative régionale, Lettonie), statuant en appel, a confirmé le caractère illégal du traitement de données à caractère personnel effectué par le PTAC, sur le fondement de l’article 6 du RGPD, et a ordonné la cessation de ce comportement ainsi que la publication d’excuses sur les sites Internet ayant diffusé la séquence vidéo, en application de l’article 14 de la loi de 2005. En revanche, cette juridiction a rejeté la demande de
réparation pécuniaire du préjudice moral subi par le requérant au principal. À cet égard, elle a, notamment, considéré que la violation commise n’était pas grave, aux motifs que la séquence vidéo avait pour but d’exécuter une mission d’intérêt public, et non de nuire à la réputation, à l’honneur et à la dignité de ce requérant. En outre, elle a estimé que cette violation était due au fait que le PTAC avait mal interprété des dispositions légales ayant un caractère complexe.
17 Dans son pourvoi en cassation formé devant l’Augstākā tiesa (Senāts) (Cour suprême, Lettonie), qui est la juridiction de renvoi dans la présente affaire, le requérant au principal conteste cet arrêt en ce que la réparation pécuniaire de son préjudice moral y a été refusée. Il fait valoir, en substance, que la juridiction d’appel a commis des erreurs dans l’appréciation de la gravité de la violation de ses droits et dans l’évaluation du préjudice découlant de cette dernière. Il soutient également
qu’une réparation sous forme de présentation d’excuses n’est ni équitable ni adéquate au regard de l’article 82 du RGPD.
18 En premier lieu, la juridiction de renvoi estime, à la lumière de l’arrêt du 4 mai 2023, Österreichische Post (Préjudice moral lié au traitement de données personnelles) (C‑300/21, ci‑après l’ arrêt Österreichische Post , EU:C:2023:370), que l’article 82 du RGPD ne permet pas d’ordonner une réparation au titre d’une violation de ce règlement, sans avoir préalablement caractérisé un préjudice causé par cette violation. Selon elle, en l’occurrence, la juridiction d’appel a méconnu cet article 82 en
ordonnant une telle réparation sans avoir constaté une atteinte à la réputation, à l’honneur et à la dignité du requérant au principal. Dans ce contexte, cette juridiction cherche à déterminer si, au regard de l’article 1er, paragraphe 2, du RGPD ainsi que des considérants 75, 85 et 146 de celui‑ci, un traitement illicite de données à caractère personnel peut constituer, à lui seul, une violation du droit fondamental à la protection de ces données, tel que garanti à l’article 8, paragraphe 1, de
la Charte, et, par suite, constituer un « dommage » au sens dudit article 82, y compris lorsqu’aucune atteinte à la réputation, à l’honneur ou à la dignité de la personne concernée n’est établie.
19 En deuxième lieu, la juridiction de renvoi s’interroge sur la réparation adéquate d’un dommage moral au titre de l’article 82, paragraphe 1, du RGPD, tel qu’interprété dans l’arrêt du 4 mai 2023, Österreichische Post (C‑300/21, EU:C:2023:370). Elle souhaite savoir si l’obligation de présenter des excuses à la personne lésée, qui dans le droit letton est susceptible de constituer une forme de réparation autonome ou complémentaire, peut dans certains cas être tenue pour une réparation suffisante,
au regard de cet article 82, paragraphe 1.
20 En troisième et dernier lieu, cette juridiction se demande, eu égard au point 58 de cet arrêt, si l’article 82, paragraphe 1, du RGPD permet de prendre en compte, afin d’apprécier la forme et le niveau de la réparation due à ce titre, des circonstances entourant, voire justifiant, les agissements de l’auteur de la violation de dispositions de ce règlement.
21 Dans ces conditions, l’Augstākā tiesa (Senāts) (Cour suprême) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :
« 1) L’article 82, paragraphe 1, du [RGPD] doit-il être interprété en ce sens qu’un traitement illicite de données à caractère personnel, en tant que violation [de ce règlement], peut constituer en soi une atteinte injustifiée au droit subjectif d’une personne à la protection des données et un dommage causé à cette personne ?
2) L’article 82, paragraphe 1, du [RGPD] doit-il être interprété en ce sens qu’il permet, en cas d’impossibilité de rétablir la situation antérieure à la survenance du dommage, d’ordonner la présentation d’excuses en tant que seule réparation d’un préjudice moral ?
3) L’article 82, paragraphe 1, du [RGPD] doit-il être interprété en ce sens qu’il permet que des circonstances révélatrices de l’intention et de la motivation du responsable du traitement (par exemple, la nécessité d’exécuter une mission d’intérêt public, l’absence d’intention de nuire, des difficultés de compréhension du cadre juridique) justifient une réparation moindre du préjudice ? »
Sur les questions préjudicielles
Sur la première question
22 Par sa première question, la juridiction de renvoi demande, en substance, si l’article 82, paragraphe 1, du RGPD, lu à lumière de l’article 8, paragraphe 1, de la Charte, doit être interprété en ce sens qu’une violation de dispositions de ce règlement suffit, à elle seule, pour constituer un « dommage », au sens de cet article 82, paragraphe 1.
23 L’article 82, paragraphe 1, du RGPD dispose que « [t]oute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ».
24 La Cour a itérativement interprété cet article 82, paragraphe 1, en ce sens que la simple violation de ce règlement ne suffit pas pour conférer un droit à réparation sur ce fondement, dès lors que l’existence d’un « dommage », matériel ou moral, ou d’un « préjudice » ayant été « subi » constitue l’une des conditions du droit à réparation prévu à cette disposition, tout comme l’existence d’une violation de dispositions dudit règlement et d’un lien de causalité entre ce dommage et cette violation,
ces trois conditions étant cumulatives. Ainsi, la personne demandant réparation d’un dommage moral sur le fondement de ladite disposition est tenue d’établir non seulement la violation du même règlement, mais également que cette violation lui a effectivement causé un tel dommage [voir, en ce sens, arrêts du 4 mai 2023, Österreichische Post, C‑300/21, EU:C:2023:370, points 32, 33, 42 et 50 ; du 20 juin 2024, Scalable Capital, C‑182/22 et C‑189/22, EU:C:2024:531, points 41 et 42, ainsi que du
20 juin 2024, PS (Adresse erronée), C‑590/22, EU:C:2024:536, points 22, 24, 25 et 27].
25 Ces trois conditions cumulatives étant nécessaires et suffisantes pour avoir un droit à réparation, au sens de l’article 82, paragraphe 1, du RGPD (arrêt du 14 décembre 2023, Gemeinde Ummendorf, C‑456/22, EU:C:2023:988, point 14), ce droit ne saurait être subordonné à la démonstration supplémentaire que la personne concernée, telle que définie à l’article 4, point 1, de ce règlement, a subi une atteinte injustifiée à l’intérêt juridique que vise à protéger le même règlement, à savoir le droit
d’une telle personne à la protection de ses données à caractère personnel.
26 En outre, la Cour a souligné que, quand bien même la disposition du RGPD ayant fait l’objet d’une violation octroierait des droits aux personnes physiques, une telle violation ne saurait être, à elle seule, susceptible de constituer un « dommage moral », au sens de ce règlement, et de fonder un droit à réparation à ce titre, puisque ledit règlement exige que les deux autres conditions rappelées au point 24 du présent arrêt soient aussi remplies (voir, en ce sens, arrêt du 11 avril 2024, juris,
C‑741/21, EU:C:2024:288, point 40).
27 Cette interprétation de l’article 82, paragraphe 1, du RGPD est corroborée par les considérants 75, 85 et 146 de celui-ci. En effet, il ressort de ces considérants, premièrement, que la réalisation d’un dommage dans le cadre d’un traitement illicite de données à caractère personnel est une conséquence seulement potentielle et non automatique d’un tel traitement, deuxièmement, qu’une violation du RGPD n’entraîne pas nécessairement un dommage et, troisièmement, qu’un lien de causalité doit exister
entre la violation en cause et le dommage subi par la personne concernée pour fonder un droit à réparation (voir, en ce sens, arrêt du 4 mai 2023, Österreichische Post, C‑300/21, EU:C:2023:370, point 37).
28 Ladite interprétation est ainsi de nature à garantir la protection des données à caractère personnel en tant que droit fondamental consacré à l’article 8, paragraphe 1, de la Charte, auquel renvoie le considérant 1 du RGPD.
29 Eu égard aux motifs qui précèdent, il convient de répondre à la première question que l’article 82, paragraphe 1, du RGPD, lu à lumière de l’article 8, paragraphe 1, de la Charte, doit être interprété en ce sens qu’une violation de dispositions de ce règlement ne suffit pas, à elle seule, pour constituer un « dommage », au sens de cet article 82, paragraphe 1.
Sur la deuxième question
30 Par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens que la présentation d’excuses peut constituer une réparation adéquate d’un dommage moral sur le fondement de cette disposition, notamment lorsqu’il est impossible de rétablir la situation antérieure à la survenance de ce dommage.
31 Conformément à une jurisprudence constante, il appartient à l’ordre juridique interne de chaque État membre de régler les aspects procéduraux des recours en justice destinés à assurer la sauvegarde des droits des justiciables, en vertu du principe de l’autonomie procédurale, à condition, toutefois, que ces modalités ne soient pas, dans les situations relevant du droit de l’Union, moins favorables que celles régissant des situations similaires soumises au droit interne (principe d’équivalence) et
qu’elles ne rendent pas impossible en pratique ou excessivement difficile l’exercice des droits conférés par le droit de l’Union (principe d’effectivité) (arrêts du 4 mai 2023, Österreichische Post, C‑300/21, EU:C:2023:370, point 53, ainsi que du 20 juin 2024, Scalable Capital, C‑182/22 et C‑189/22, EU:C:2024:531, point 32).
32 En l’occurrence, dès lors que le RGPD ne contient pas de disposition ayant pour objet de définir les règles relatives à l’évaluation des dommages‑intérêts dus au titre du droit à réparation consacré à l’article 82 de ce règlement, les juges nationaux doivent, à cette fin, appliquer les règles internes de chaque État membre relatives à l’étendue de la réparation pécuniaire, pour autant que soient respectés les principes d’équivalence et d’effectivité du droit de l’Union [voir, en ce sens, arrêts
du 4 mai 2023, Österreichische Post, C‑300/21, EU:C:2023:370, points 54 et 59 ; du 20 juin 2024, Scalable Capital, C‑182/22 et C‑189/22, EU:C:2024:531, points 27 et 33, ainsi que du 20 juin 2024, PS (Adresse erronée), C‑590/22, EU:C:2024:536, point 40].
33 À cet égard, s’agissant du respect de ce principe d’équivalence, la Cour ne dispose d’aucun élément de nature à indiquer que ledit principe serait susceptible d’avoir une incidence concrète dans le présent litige au principal.
34 S’agissant du respect de ce principe d’effectivité, la fonction exclusivement compensatoire du droit à réparation prévu à l’article 82 du RGPD implique que les critères d’évaluation de la réparation due au titre de cet article doivent être fixés au sein de l’ordre juridique de chaque État membre, pour autant qu’une telle réparation soit complète et effective, sans qu’il soit nécessaire, aux fins d’une telle compensation intégrale, d’imposer le versement de dommages‑intérêts punitifs [voir, en ce
sens, arrêts du 4 mai 2023, Österreichische Post, C‑300/21, EU:C:2023:370, points 57 et 58 ; du 20 juin 2024, Scalable Capital, C‑182/22 et C‑189/22, EU:C:2024:531, points 23, 24, 35, 36 et 43, ainsi que du 20 juin 2024, PS (Adresse erronée), C‑590/22, EU:C:2024:536, point 42].
35 Par ailleurs, la Cour a admis que, en l’absence de gravité du préjudice subi par la personne concernée, une juridiction nationale puisse compenser celui‑ci en accordant à cette personne une indemnité minime, pour autant que le montant peu élevé de dommages‑intérêts ainsi alloué soit de nature à compenser intégralement ce préjudice, ce qu’il appartient à cette juridiction de vérifier (voir, en ce sens, arrêt du 20 juin 2024, Scalable Capital, C‑182/22 et C‑189/22, EU:C:2024:531, point 46).
36 De même, l’article 82, paragraphe 1, du RGPD ne s’oppose pas à ce que la présentation d’excuses puisse constituer une réparation autonome ou complémentaire d’un dommage moral, ainsi que le prévoit en l’occurrence l’article 14 de la loi de 2005, pour autant qu’une telle forme de réparation respecte lesdits principes d’équivalence et d’effectivité, en particulier en ce que celle‑ci doit permettre de compenser intégralement le dommage moral qui a été concrètement subi du fait de la violation de ce
règlement, ce qu’il appartient à la juridiction nationale saisie de vérifier, au regard des circonstances de chaque cas d’espèce.
37 Eu égard aux motifs qui précèdent, il convient de répondre à la deuxième question que l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens que la présentation d’excuses peut constituer une réparation adéquate d’un dommage moral sur le fondement de cette disposition, notamment lorsqu’il est impossible de rétablir la situation antérieure à la survenance de ce dommage, pour autant que cette forme de réparation soit de nature à compenser intégralement le préjudice subi par la personne
concernée.
Sur la troisième question
38 Par sa troisième question, la juridiction de renvoi demande, en substance, si l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens qu’il s’oppose à ce que l’attitude et la motivation du responsable du traitement puissent être prises en compte afin, le cas échéant, d’accorder à la personne concernée une réparation inférieure au préjudice qu’elle a concrètement subi.
39 En premier lieu, il ressort de l’article 83 du RGPD, lu à la lumière du considérant 148 de celui‑ci, que, pour décider s’il y a lieu d’imposer une amende administrative et pour en déterminer le montant, il convient de tenir compte, notamment, de critères relatifs à l’attitude et à la motivation du responsable du traitement, à titre de « circonstance aggravante ou atténuante ». En revanche, ces critères ne sont pas mentionnés à l’article 82 de ce règlement, ni d’ailleurs au considérant 146 de
celui‑ci, qui porte spécifiquement sur le droit à réparation prévu à cet article 82.
40 L’absence de référence à de tels critères se justifie par le fait que l’article 82 du RGPD remplit une fonction exclusivement compensatoire, en ce qu’une réparation, en particulier pécuniaire, fondée sur cet article 82 doit permettre de compenser intégralement le préjudice subi, contrairement à d’autres dispositions de ce règlement figurant aussi au chapitre VIII de celui‑ci, à savoir ses articles 83 et 84, qui ont, quant à eux, essentiellement une finalité punitive, puisqu’ils permettent
respectivement d’infliger des amendes administratives et d’autres sanctions (voir, en ce sens, arrêts du 4 mai 2023, Österreichische Post, C‑300/21, EU:C:2023:370, points 38 et 40, ainsi que du 20 juin 2024, Scalable Capital, C‑182/22 et C‑189/22, EU:C:2024:531, point 22).
41 Dès lors, eu égard aux différences de libellés et de finalités existant entre l’article 82 du RGPD, lu à la lumière du considérant 146 de celui‑ci, et l’article 83 de ce règlement, lu à la lumière du considérant 148 de celui‑ci, il ne saurait être considéré que les critères d’évaluation énoncés spécifiquement à cet article 83 sont applicables mutatis mutandis dans le cadre de cet article 82 [arrêt du 20 juin 2024, PS (Adresse erronée), C‑590/22, EU:C:2024:536, point 43 et jurisprudence citée].
Cette constatation vaut, en particulier, pour la fixation du montant des dommages‑intérêts dus au titre de la réparation d’un dommage fondée sur ledit article 82 [voir, en ce sens, arrêt du 20 juin 2024, PS (Adresse erronée), C‑590/22, EU:C:2024:536, points 39 et 44] ainsi que, plus généralement, pour la détermination de la forme, pécuniaire ou autre, et du niveau d’une telle réparation.
42 En second lieu, la fonction exclusivement compensatoire du droit à réparation prévu à l’article 82, paragraphe 1, du RGPD s’oppose à ce que le degré de gravité et l’éventuel caractère intentionnel de la violation de ce règlement commise par le responsable du traitement soient pris en compte aux fins de la réparation d’un dommage sur le fondement de ladite disposition (voir, en ce sens, arrêt du 20 juin 2024, Scalable Capital, C‑182/22 et C‑189/22, EU:C:2024:531, points 28 à 30).
43 Eu égard à la fonction exclusivement compensatoire, et non punitive, remplie par ce droit à réparation, la gravité d’une telle violation ne saurait influer sur le montant des dommages‑intérêts octroyés au titre de cet article 82, paragraphe 1, et ce montant ne saurait être fixé à un niveau dépassant la compensation complète du préjudice [voir, en ce sens, arrêt du 20 juin 2024, PS (Adresse erronée), C‑590/22, EU:C:2024:536, point 41 et jurisprudence citée]. Seul le préjudice concrètement subi par
la personne concernée doit être pris en considération pour fixer le montant d’une telle réparation pécuniaire (voir, en ce sens, arrêt du 11 avril 2024, juris, C‑741/21, EU:C:2024:288, point 64).
44 De même, la fonction exclusivement compensatoire dudit article 82, paragraphe 1, ne serait pas respectée si l’attitude et la motivation du responsable du traitement étaient prises en compte pour déterminer la forme de la réparation accordée sur le fondement de cette disposition ou pour octroyer une réparation d’un « niveau inférieur » à la compensation complète du préjudice subi par la personne concernée, ainsi que la juridiction de renvoi l’envisage dans la présente affaire.
45 Eu égard aux motifs qui précèdent, il convient de répondre à la troisième question que l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens qu’il s’oppose à ce que l’attitude et la motivation du responsable du traitement puissent être prises en compte afin, le cas échéant, d’accorder à la personne concernée une réparation inférieure au préjudice qu’elle a concrètement subi.
Sur les dépens
46 La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle‑ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.
Par ces motifs, la Cour (huitième chambre) dit pour droit :
1) L’article 82, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lu à lumière de l’article 8, paragraphe 1, de la charte des droits fondamentaux de l’Union européenne,
doit être interprété en ce sens que :
une violation de dispositions de ce règlement ne suffit pas, à elle seule, pour constituer un « dommage », au sens de cet article 82, paragraphe 1.
2) L’article 82, paragraphe 1, du règlement 2016/679
doit être interprété en ce sens que :
la présentation d’excuses peut constituer une réparation adéquate d’un dommage moral sur le fondement de cette disposition, notamment lorsqu’il est impossible de rétablir la situation antérieure à la survenance de ce dommage, pour autant que cette forme de réparation soit de nature à compenser intégralement le préjudice subi par la personne concernée.
3) L’article 82, paragraphe 1, du règlement 2016/679
doit être interprété en ce sens que :
il s’oppose à ce que l’attitude et la motivation du responsable du traitement puissent être prises en compte afin, le cas échéant, d’accorder à la personne concernée une réparation inférieure au préjudice qu’elle a concrètement subi.
Signatures
--------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------
( *1 ) Langue de procédure : le letton.
