Arrêt de la Cour (troisième chambre) du 25 janvier 2024.#BL contre MediaMarktSaturn Hagen-Iserlohn GmbH.#Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Interprétation des articles 5, 24, 32 et 82 – Appréciation de la validité de l’article 82 – Irrecevabilité de la demande en appréciation de validité – Droit à réparation du dommage causé par le traitement de telles données effectué en violation de ce règlement – Transmission de données à un tiers non autorisé en raison d’une erreur commise par des employés du responsable du traitement – Appréciation du caractère approprié des mesures de protection mises en œuvre par le responsable du traitement – Fonction compensatoire remplie par le droit à réparation – Incidence de la gravité de la violation – Nécessité d’établir l’existence d’un dommage causé par ladite violation – Notion de “dommage moral”.#Affaire C-687/21.

Affaire C‑687/21

BL

contre

MediaMarktSaturn Hagen-Iserlohn GmbH

(demande de décision préjudicielle, introduite par l’Amtsgericht Hagen)

Arrêt de la Cour (troisième chambre) du 25 janvier 2024

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Interprétation des articles 5, 24, 32 et 82 – Appréciation de la validité de l’article 82 – Irrecevabilité de la demande en appréciation de validité – Droit à réparation du dommage causé par le traitement de telles données effectué en violation de ce règlement – Transmission de données à un tiers non autorisé en raison d’une erreur commise par des employés du responsable du traitement – Appréciation du caractère approprié des mesures de protection mises en œuvre par le responsable du traitement – Fonction compensatoire remplie par le droit à réparation – Incidence de la gravité de la violation – Nécessité d’établir l’existence d’un dommage causé par ladite violation – Notion de “dommage moral” »

1. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Obligations du responsable du traitement – Mise en œuvre des mesures techniques et organisationnelles appropriées – Divulgation non autorisée de données à caractère personnel ou accès non autorisé à de telles données par des tiers – Circonstances insuffisantes pour retenir le caractère inapproprié de ces mesures

   (Règlement du Parlement européen et du Conseil 2016/679, art. 5, 24, 32 et 82)

   (voir points 38-45, disp. 1)

2. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit à réparation et responsabilité – Droit à réparation du préjudice subi – Fonction compensatoire – Compensation intégrale du préjudice subi – Fonction dissuasive ou punitive – Absence

   (Règlement du Parlement européen et du Conseil 2016/679, art. 82, § 1)

   (voir points 47, 48, 50, disp. 2)

3. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit à réparation et responsabilité – Droit à réparation du préjudice subi – Fixation du montant des dommages et intérêts – Application des règles nationales relatives à l’étendue de la réparation pécuniaire – Condition – Respect des principes d’équivalence et d’effectivité – Absence de prise en compte du degré de gravité de la faute commise par le responsable du traitement

   (Règlement du Parlement européen et du Conseil 2016/679, art. 82)

   (voir points 52-55, disp. 3)

4. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit à réparation et responsabilité – Droit à réparation du préjudice subi – Conditions – Simple violation des dispositions dudit règlement en l’absence d’un préjudice – Absence de droit à réparation – Obligation, pour la personne concernée, de prouver l’existence du préjudice

   (Règlement du Parlement européen et du Conseil 2016/679, art. 82, § 1)

   (voir points 58-61, disp. 4)

5. Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement 2016/679 – Droit à réparation et responsabilité – Droit à réparation du préjudice subi – Dommage moral – Notion – Crainte éprouvée par une personne au sujet d’un potentiel usage abusif de ses données à caractère personnel par des tiers – Inclusion – Limites

   (Règlement du Parlement européen et du Conseil 2016/679, considérants 85 et 146 et art. 82, § 1)

   (voir points 65-69, disp. 5)

Voir le texte de la décision.