Arrêt de la Cour (troisième chambre) du 21 décembre 2023.#ZQ contre Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts.#Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 6, paragraphe 1 – Conditions de licéité du traitement – Article 9, paragraphes 1 à 3 – Traitement portant sur des catégories particulières de données – Données concernant la santé – Appréciation de la capacité de travail d’un employé – Service médical en matière d’assurance maladie traitant des données relatives à la santé de ses propres employés – Admissibilité et conditions d’un tel traitement – Article 82, paragraphe 1 – Droit à réparation et responsabilité – Réparation d’un préjudice moral – Fonction compensatoire – Incidence de la faute commise par le responsable du traitement.#Affaire C-667/21.

Affaire C‑667/21

ZQ

contre

Medizinischer Dienst der Krankenversicherung Nordrhein, Körperschaft des öffentlichen Rechts

(demande de décision préjudicielle, introduite par le Bundesarbeitsgericht)

Arrêt de la Cour (troisième chambre) du 21 décembre 2023

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 6, paragraphe 1 – Conditions de licéité du traitement – Article 9, paragraphes 1 à 3 – Traitement portant sur des catégories particulières de données – Données concernant la santé – Appréciation de la capacité de travail d’un employé – Service médical en matière d’assurance maladie traitant des données relatives à la santé de ses propres employés – Admissibilité et conditions d’un tel traitement – Article 82, paragraphe 1 – Droit à réparation et responsabilité – Réparation d’un préjudice moral – Fonction compensatoire – Incidence de la faute commise par le responsable du traitement »

1. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Traitement portant sur des catégories particulières de données à caractère personnel – Interdiction – Dérogations – Traitement nécessaire aux fins de l’appréciation de la capacité de travail du travailleur – Traitement des données concernant la santé d’un employé par son employeur agissant en qualité de service médical – Admissibilité – Conditions

   [Règlement du Parlement européen et du Conseil 2016/679, art. 9, § 1, 2, h), et 3]

   (voir points 44, 47-51, 53, 57, 58, disp. 1)

2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Traitement portant sur des catégories particulières de données à caractère personnel – Interdiction – Dérogations – Traitement nécessaire aux fins de l’appréciation de la capacité de travail du travailleur – Obligation du responsable du traitement d’empêcher les collègues d’un tel travailleur d’avoir accès aux données se rapportant à l’état de sa santé – Conditions d’imposition

   [Règlement du Parlement européen et du Conseil 2016/679, art. 5, § 1, f), 9, § 1, 2, h), 3 et 4, et 32, § 1, a) et b)]

   (voir points 61-68, 70, disp. 2)

3. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Traitement portant sur des catégories particulières de données à caractère personnel – Interdiction – Dérogations – Conditions de licéité du traitement – Applicabilité

   [Règlement du Parlement européen et du Conseil 2016/679, art. 5, § 1, 6, § 1, et 9, § 2, h)]

   (voir points 75-79, disp. 3)

4. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit à réparation et responsabilité – Conditions – Responsabilité du responsable du traitement – Critère – Existence d’une faute – Exonération de responsabilité – Charge de la preuve incombant au responsable du traitement

   (Règlement du Parlement européen et du Conseil 2016/679, art. 82, § 1 à 3)

   (voir points 82, 90-100, 103, disp. 5)

5. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit à réparation et responsabilité – Droit à réparation du préjudice subi – Fixation du montant des dommages et intérêts – Application des règles nationales relatives à l’étendue de la réparation pécuniaire – Condition – Respect des principes d’équivalence et d’effectivité – Absence de prise en compte du degré de gravité de la faute commise par le responsable du traitement

   (Règlement du Parlement européen et du Conseil 2016/679, art. 82)

   (voir points 83, 101-103, disp. 5)

6. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit à réparation et responsabilité – Droit à réparation du préjudice subi – Fonction compensatoire – Compensation intégrale du préjudice subi – Fonction dissuasive ou punitive – Absence

   (Règlement du Parlement européen et du Conseil 2016/679, considérant 146, 6e phrase, et art. 82, § 1)

   (voir points 84-87, disp. 4)

Voir le texte de la décision.