L’article 82 du RGPD permet à la personne concernée subissant un dommage du fait d’un manquement au RGPD de solliciter la réparation de son préjudice. Régulièrement actionné dans certains Etats membres de l’UE, le dispositif en est à ses balbutiements en France.
Deux récentes décisions de Cour d’Appel ont ainsi rejeté les demandes d’indemnisation, faute de preuve du préjudice subi (CA Pau, Ch. sociale, 1 juin 2023, n° 21-02773 ; CA Paris, Pôle 4 – Ch. 10, 25 mai 2023, n° 19-08637). Jusque là, rien que de très logiques, vu la jurisprudence d’autres Etats membres (Rb. Overijssel, 11 août 2020, n° AK 20 2097 ; LG Gießen, 3 novembre 2022, 5 O 195-22) et, surtout, de la CJUE (CJUE, 4 mai 2023, Österreichische Post AG, n° C-300-21).
L’intérêt de ces décisions relève plutôt, pour la 1ère, de la stratégie juridique déployée, pour la 2nde, du champ d’application de l’action indemnitaire.
Les juges palois ont été saisis par un salarié demandant réparation d’un licenciement sans cause réelle et sérieuse et d’une situation de harcèlement moral. Dans ce contexte, la demande présentée au titre de l’article 82 du RGPD suggère une utilisation du texte aux fins de maximiser les chances d’indemnisation.
La décision parisienne ne met pas en œuvre cet article 82, les données ayant été collectées en 2013. Parties et juges en ont conclu à l’inapplicabilité des dispositions postérieures au RGPD. Pourtant, elles ont été exploitées jusque fin octobre 2020. Cette prolongation du traitement au-delà de l’entrée en application du RGPD aurait donc dû suffire à l’appliquer, pour la CNIL et le Conseil d’Etat (CE, 1er mars 2021, Futura Internationale, n° 437808 ; Délibération SAN-2021-020). La solution interpelle, donc, en ce qu’elle fait naître une opposition entre le juge judiciaire et l’autorité de protection des données (et son juge naturel) quant au champ d’application temporel du RGPD.
Mais l’intérêt de cette décision ne s’arrête pas là. Elle suggère en effet que le droit à obtenir réparation dépasse le champ du RGPD et de la directive Police-Justice, pour englober tout traitement de données soumis à la loi de 1978. Stratégiquement, lorsque la personne concernée doute du régime applicable au traitement de données litigieux, sa demande d’indemnisation devrait donc reposer sur le droit commun, plutôt que sur le RGPD ou la directive Police Justice.