Infraction aux données personnelles : pas de préjudice minimal requis pour une indemnisation

La Cour de justice de l’Union européenne a acté dans une décision du jeudi 4 mai le principe d’indemnisation des individus ayant été reconnu comme victime d’une violation de leurs données personnelles, à la seule condition qu’un dommage ait été constaté, sans fixer de seuil minimal pour ce préjudice. L’affaire a été portée par un citoyen autrichien : La Poste autrichienne avait collecté des données sur la population autrichienne (adresses, éléments démographiques…) et illégalement attribué pour une partie d’entre elle une affinité avec un ou des partis politiques. Elle a ensuite commercialisé ces données à des clients et annonceurs, y compris des partis. La Poste estimait le préjudice minime et proposait une indemnité à 2 000 victimes pouvant atteindre 1 350 euros. Le requérant avait refusé la proposition.

À retenir. Le point clé de la décision de la CJCE tient au fait que le tribunal européen a refusé de déterminer ce qui constitue un préjudice grave et substantiel lié au non-respect de la protection des données personnelles d’un individu. Elle consacre donc le principe de plein droit pour n individu à recevoir une indemnité dès qu’un préjudice aux données personnelles est établi, indépendamment de son degré. Une position souple saluée par l’activiste autrichien Max Schrems, président de l’association de protection des données Noyb.

Charlène Salomé