Affaire C-687/21, MediaMarktSaturn: Arrêt de la Cour (troisième chambre) du 25 janvier 2024 (demande de décision préjudicielle de l’Amtsgericht Hagen — Allemagne) — BL / MediaMarktSaturn Hagen-Iserlohn GmbH, anciennement Saturn Electro-Handelsgesellschaft mbH Hagen [Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Interprétation des articles 5, 24, 32 et 82 – Appréciation de la validité de l’article 82 – Irrecevabilité de la demande en appréciation de validité – Droit à réparation du dommage causé par le traitement de telles données effectué en violation de ce règlement – Transmission de données à un tiers non autorisé en raison d’une erreur commise par des employés du responsable du traitement – Appréciation du caractère approprié des mesures de protection mises en œuvre par le responsable du traitement – Fonction compensatoire remplie par le droit à réparation – Incidence de la gravité de la violation – Nécessité d’établir l’existence d’un dommage causé par ladite violation – Notion de «dommage moral»]

1)

Les articles 5, 24, 32 et 82 du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), lus conjointement,

doivent être interprétés en ce sens que:

dans le cadre d’une action en réparation fondée sur cet article 82, le fait que des employés du responsable du traitement ont remis par erreur à un tiers non autorisé un document contenant des données à caractère personnel ne suffit pas, à lui seul, pour considérer que les mesures techniques et organisationnelles mises en œuvre par le responsable du traitement en cause n’étaient pas «appropriées», au sens de ces articles 24 et 32.

2)

L’article 82, paragraphe 1, du règlement 2016/679

doit être interprété en ce sens que:

le droit à réparation prévu à cette disposition, notamment en cas de dommage moral, remplit une fonction compensatoire, en ce qu’une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive.

3)

L’article 82 du règlement 2016/679

doit être interprété en ce sens que:

cet article ne requiert pas que le degré de gravité de la violation commise par le responsable du traitement soit pris en compte aux fins de la réparation d’un dommage sur le fondement de cette disposition.

4)

L’article 82, paragraphe 1, du règlement 2016/679

doit être interprété en ce sens que:

la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral.

5)

L’article 82, paragraphe 1, du règlement 2016/679

doit être interprété en ce sens que:

dans l’hypothèse où un document contenant des données à caractère personnel a été remis à un tiers non autorisé dont il est établi qu’il n’a pas pris connaissance de celles-ci, un «dommage moral», au sens de cette disposition, n’est pas constitué par le simple fait que la personne concernée craint que, à la suite de cette communication ayant rendu possible la réalisation d’une copie dudit document avant sa restitution, une diffusion, voire un usage abusif, de ses données se produise dans le futur.