TL;DR pour le DPO
Le risque financier de vos clients n'est pas seulement l'amende de l'autorité. C'est la somme de nombreuses petites actions civiles nées d'une même violation et multipliées par le nombre de personnes concernées. Ce qui décide ces affaires tient presque toujours à une chose : pouvoir démontrer que les mesures de sécurité étaient adaptées avant que quoi que ce soit n'arrive.
Ce que dit réellement l'article 82
L'article 82, paragraphe 1 reconnaît à toute personne ayant subi un dommage matériel ou moral du fait d'une violation du Règlement le droit d'obtenir réparation auprès du responsable du traitement ou du sous-traitant. C'est une disposition brève, que les juridictions nationales ont lue pendant des années de manières opposées : certaines exigeaient un préjudice sérieux et documenté, d'autres estimaient la violation suffisante en soi. Entre 2023 et 2024, la Cour de justice a refermé presque toutes ces divergences.
Trois éléments, et le seuil qui n'existe pas
Dans l'arrêt Osterreichische Post (affaire C-300/21, 4 mai 2023), la Cour a jugé que le droit à réparation suppose trois conditions cumulatives : une violation du Règlement, un dommage effectif et un lien de causalité entre les deux. La seule violation ne fait pas naître le droit. Jusque-là, bonne nouvelle pour les responsables. La seconde partie du même arrêt reprend une grande part de ce que la première avait accordé.
Aucun seuil minimal de gravité
La Cour a exclu que la réparation puisse être subordonnée à ce que le préjudice atteigne un certain degré de gravité. Un dommage minime reste un dommage réparable. Autrement dit, l'argument « il ne s'est pas passé grand-chose » n'est pas une défense : il déplace la discussion vers le montant, pas vers l'existence de l'obligation.
La crainte peut être un dommage. Mais pas toujours
Dans l'affaire C-340/21 (14 décembre 2023), née d'une cyberattaque contre l'administration fiscale bulgare, la Cour a affirmé que la crainte d'un usage illicite éventuel des données par des tiers, consécutive à une violation, peut constituer en elle-même un préjudice moral. Il n'est pas nécessaire que l'usage illicite se soit déjà produit. Peu après, dans MediaMarktSaturn (affaire C-687/21, 25 janvier 2024), elle a posé la limite : une crainte purement hypothétique, sans conséquence négative concrète, ne suffit pas. La frontière passe entre la crainte fondée sur une perte de contrôle réelle et l'inquiétude générale.
À qui incombe quelle preuve
C'est la partie la plus proche du travail quotidien du DPO. Dans la même affaire C-340/21, la Cour a précisé que, lorsque l'adéquation des mesures techniques et organisationnelles de l'article 32 est en cause, la charge de la preuve pèse sur le responsable du traitement. Ce n'est pas à la personne concernée de démontrer que les mesures étaient insuffisantes : c'est au responsable de démontrer qu'elles étaient appropriées. Et l'exonération de l'article 82, paragraphe 3 ne joue que si le responsable prouve que le fait ne lui est nullement imputable - une barre haute que, dans juris (affaire C-741/21, 11 avril 2024), la Cour a confirmé ne pas être franchie du seul fait que l'erreur a été commise par un salarié.
Réparer, non punir
Dans l'affaire C-590/22 (20 juin 2024), la Cour a rappelé que la fonction de l'article 82 est exclusivement compensatoire : elle répare le préjudice subi, elle ne punit pas le responsable et ne dissuade pas le marché. Deux conséquences opposées en découlent. La première : aucun montant punitif ne peut être réclamé. La seconde, moins confortable : l'amende déjà prononcée par l'autorité ne réduit pas la réparation due à la personne. Ce sont deux voies distinctes, et elles s'additionnent.
Ce qu'on en fait lundi matin
Traduire cette jurisprudence en travail concret est moins dramatique qu'il n'y paraît, mais cela se fait avant et non après. Cinq points, dont aucun n'exige un projet.
- Vérifiez que chaque client dispose d'une documentation datée des mesures de l'article 32 et des raisons pour lesquelles elles ont été jugées adaptées : c'est ce qui déplace la charge de la preuve en votre faveur, et cela doit exister avant l'incident.
- Dans le registre des violations, consignez toujours l'évaluation du risque pour les personnes concernées, même lorsque vous décidez de ne pas notifier : c'est la trace qui prouve qu'une évaluation a eu lieu.
- Quand une violation touche beaucoup de personnes, rappelez-vous que l'exposition civile se multiplie par leur nombre : une somme modeste par personne devient le poste financier le plus lourd de l'incident.
- Informer rapidement les personnes concernées n'est pas seulement une obligation de l'article 34 : cela réduit la crainte, et la crainte est précisément ce que la Cour qualifie de préjudice réparable.
- Consignez par écrit les avis que vous rendez au responsable lorsque vous déconseillez un choix : si le responsable décide autrement, ce document est la ligne qui sépare sa responsabilité de la vôtre.
La question à poser au client
Non pas « sommes-nous conformes ? », mais : « si une personne nous assigne demain, que met-on entre les mains de l'avocat pour démontrer que les mesures étaient adaptées ? ». Si la réponse est une liste d'outils installés et non un document daté qui explique les choix, c'est là que se trouve le travail.
Vous cherchez un outil pour votre travail de DPO ?
DPO Workspace est conçu par un DPO certifié. 30 jours d'essai gratuit.
Commencer gratuitement
