Tribunal Administratif de Montpellier — Décision N° TA34-2300982

Vu la procédure suivante :

Par une requête et un mémoire, enregistrés le 20 février 2023 et le 27 juin 2024, M. C B, représenté par Me Manya, demande au tribunal :

1°) de condamner l'Etat à lui verser la somme de 20 000 euros en réparation de son préjudice moral ;

2°) de mettre à la charge de l'Etat une somme de 2 000 euros à lui verser au titre de l'article L. 761-1 du code de justice administrative.

Il soutient que :

- l'Etat est responsable de la faute commise par son agent, non détachable du service, qui a divulgué des documents personnels le concernant ;

- l'article 82 du règlement 2016/679 du parlement européen et du Conseil du 27 avril 2016 lui permet d'obtenir réparation de son préjudice ;

- l'Etat a commis une faute dès lors qu'en méconnaissance de l'article 32 du RGPD aucune mesure n'a été mise en place afin de garantir que les personnes ayant accès à des données à caractère personnel ne les traite pas ;

- l'Etat a commis une faute en ne notifiant pas cette violation en méconnaissance de l'article 34 du RGPD ;

- il a subi un préjudice moral résultant de la divulgation de sa qualité de travailleur handicapé, de son statut marital, de son adresse personnelle et de son RIB, avec un risque de piratage, et il subit toujours un préjudice, en l'absence de soutien psychologique et au vu de l'aggravation de sa pathologie, dès lors que le mail n'a pas été effacé et que ses relations avec sa hiérarchie se sont dégradées.

Par un mémoire en défense, enregistré le 9 octobre 2023, le préfet des Pyrénées-Orientales, représenté par Me Nivet, conclut au rejet de la requête et à ce qu'il soit mis à la charge de M. B la somme de 2 000 euros en application des dispositions de l'article L. 761-1 du code de justice administrative.

Il soutient que si la faute de nature à engager sa responsabilité n'est pas contestable, il n'existe pas de lien de causalité entre la faute et le dommage allégué par le requérant.

Vu les autres pièces du dossier.

Vu :

- le code général de la fonction publique ;

- le règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 ;

- le code de justice administrative.

Les parties ont été régulièrement averties du jour de l'audience.

Ont été entendus au cours de l'audience publique :

- le rapport de Mme A,

- les conclusions de Mme Delon, rapporteure publique,

- et les observations de Me Py, représentant M. B.

Considérant ce qui suit :

1. M. B, responsable mutations économiques au sein de la direction départementale de l'emploi, du travail et des solidarités de la préfecture des Pyrénées-Orientales, a été destinataire d'un courriel de rappel le 10 mai 2022, également destiné à une cinquantaine d'autres agents de la préfecture, contenant en pièces jointes plusieurs documents relatifs à sa situation personnelle. Le 30 octobre 2022, M. B a formé une réclamation indemnitaire préalable tendant à la réparation de son préjudice moral qui a été rejetée par le préfet des Pyrénées-Orientales le 21 décembre 2022. Par la présente requête, M. B demande au tribunal de condamner l'Etat à lui verser la somme de 20 000 euros en réparation de son préjudice moral résultant de la divulgation de données personnelles le concernant.

Sur les conclusions indemnitaires :

En ce qui concerne la violation de données à caractère personnel :

2. Aux termes du point 12 de l'article 4 du règlement (UE) 2016/679 du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, la violation de données à caractère personnel se définit comme une " violation de la sécurité entraînant, de manière accidentelle ou illicite, la destruction, la perte, l'altération, la divulgation non autorisée de données à caractère personnel transmises, conservées ou traitées d'une autre manière, ou l'accès non autorisé à de telles données ". Aux termes du point 1 de l'article 82 de ce règlement : " Toute personne ayant subi un dommage matériel ou moral du fait d'une violation du présent règlement a le droit d'obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ".

3. Il est constant que le 10 mai 2022, un mail de rappel concernant le CESU 2022 a été envoyé à une cinquantaine d'agents des services de la préfecture des Pyrénées-Orientales, alors qu'il contenait en pièces jointes des documents contenant les données personnelles de M. B à savoir son avis d'imposition, son livret de famille, son relevé d'identité bancaire ainsi que des documents relatifs à son état de santé. Une telle divulgation, entrainant une violation de données à caractère personnel en méconnaissance du règlement précité, constitue une faute de nature à engager la responsabilité de l'Etat à l'égard de l'intéressé.

4. M. B, qui a droit à la réparation des préjudices en lien avec cette faute de l'administration, sollicite la réparation de son préjudice moral. Il fait valoir que la divulgation d'éléments relatifs à sa vie privée et à son handicap auprès de ses collègues a engendré des souffrances psychologiques, lesquelles en l'absence de suivi psychologique diligenté par l'administration, ont abouti à son placement en congé longue maladie à compter du 30 janvier 2023 jusqu'au 29 juillet 2024, ainsi qu'à un traitement et un suivi psychologique. Eu égard aux conséquences de cet incident sur l'état de santé du requérant d'une part et d'autre part à la faible portée de cette violation des données personnelles qui n'a touché qu'une cinquantaine d'agents de la préfecture auxquels il a été demandé une heure après la divulgation de supprimer le courriel litigieux, il sera fait une juste appréciation du préjudice moral de M. B en lui allouant à ce titre la somme de 1 500 euros.

En ce qui concerne les autres fautes invoquées par M. B :

5. M. B soutient que l'Etat serait également responsable de deux autres fautes résultant, d'une part, de l'absence de notification de la violation litigieuse de données à caractère personnel en méconnaissance de l'article 34 du règlement général sur la protection des données et, d'autre part, de l'absence d'édiction de mesures en méconnaissance de l'article 32 de ce règlement. Toutefois, à les supposer établies, ces fautes ne sont pas en lien avec le dommage dont se prévaut M. B lequel résulte uniquement de la divulgation de ses données personnelles le 10 mai 2022.

6. Il résulte de tout ce qui précède que M. B est fondé à solliciter la réparation de son préjudice moral résultant de la divulgation de ses données personnelles le 10 mai 2022 à hauteur de la somme de 1 500 euros.

Sur les frais liés au litige :

7. Dans les circonstances de l'espèce, il y a lieu de mettre à la charge de l'Etat la somme de 1 500 euros à verser à M. B sur le fondement des dispositions de l'article L. 761-1 du code de justice administrative. Les dispositions de l'article L. 761-1 du code de justice administrative font obstacle à ce que M. B, qui n'a pas la qualité de partie perdante, verse à l'Etat la somme qu'il réclame au titre des frais exposés et non compris dans les dépens.

D E C I D E :

Article 1er : L'Etat est condamné à verser à M. B la somme de 1 500 euros en réparation de son préjudice moral.

Article 2 : L'Etat versera à M. B la somme de 1 500 euros en application des dispositions de l'article L. 761-1 du code de justice administrative.

Article 3 : Les conclusions présentées par le préfet des Pyrénées-Orientales sur le fondement de l'article L. 761-1 du code de justice administrative sont rejetées.

Article 4 : Le présent jugement sera notifié à M. C B et au ministre de l'intérieur.

Copie en sera adressée, pour information, au préfet des Pyrénées-Orientales.

Délibéré après l'audience du 28 mai 2025, à laquelle siégeaient :

Mme Valérie Quéméner, présidente,

Mme Camille Doumergue, première conseillère,

Mme Marion Bossi, première conseillère.

Rendu public par mise à disposition au greffe le 20 juin 2025.

La rapporteure,

C. A

La présidente,

V. Quéméner

La greffière,

B. Flaesch

La République mande et ordonne au ministre de l'intérieur en ce qui le concerne ou à tous commissaires de justice à ce requis en ce qui concerne les voies de droit commun contre les parties privées de pourvoir à l'exécution de la présente décision.

Pour expédition conforme,

Montpellier le 20 juin 2025

La greffière,

B. Flaesch