Affaires jointes C-182/22 et C-189/22, Scalable Capital: Arrêt de la Cour (troisième chambre) du 20 juin 2024 (demandes de décision préjudicielle de l’Amtsgericht München – Allemagne) – JU (C-182/22), SO (C-189/22) / Scalable Capital GmbH [Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Article 82 – Droit à réparation du dommage causé par le traitement des données effectué en violation de ce règlement – Notion de dommage moral – Indemnisation à caractère punitif ou à titre de pure compensation et satisfaction – Indemnité minime ou symbolique – Vol de données à caractère personnel enregistrées sur une application de trading – Vol ou usurpation d’identité]

1)

L’article 82, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doit être interprété en ce sens que :

le droit à réparation prévu à cette disposition remplit une fonction exclusivement compensatoire, en ce qu’une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice subi.

2)

L’article 82, paragraphe 1, du règlement 2016/679

doit être interprété en ce sens que :

il ne requiert pas que le degré de gravité et l’éventuel caractère intentionnel de la violation de ce règlement commise par le responsable du traitement soient pris en compte aux fins de la réparation d’un dommage sur le fondement de cette disposition.

3)

L’article 82, paragraphe 1, du règlement 2016/679

doit être interprété en ce sens que :

dans le cadre de la fixation du montant de dommages-intérêts dus au titre du droit à réparation d’un dommage moral, il convient de considérer qu’un tel dommage causé par une violation de données à caractère personnel n’est pas, par nature, moins important qu’un dommage corporel.

4)

L’article 82, paragraphe 1, du règlement 2016/679

doit être interprété en ce sens que :

lorsqu’un préjudice est caractérisé, une juridiction nationale peut, en l’absence de gravité de celui-ci, le compenser en accordant à la personne concernée une indemnité minime, pour autant que cette indemnité soit de nature à compenser intégralement le préjudice subi.

5)

L’article 82, paragraphe 1, du règlement 2016/679, lu à la lumière des considérants 75 et 85 de ce règlement,

doit être interprété en ce sens que :

pour être caractérisée et ouvrir droit à réparation du dommage moral au titre de cette disposition, la notion de «vol d’identité» implique que l’identité d’une personne concernée par un vol de données à caractère personnel soit effectivement usurpée par un tiers. Toutefois, la réparation d’un dommage moral causé par le vol de données à caractère personnel, au titre de ladite disposition, ne saurait être limitée aux cas où il est démontré qu’un tel vol de données a ensuite donné lieu à un vol ou à une usurpation d’identité.