DIVERS - ACCÈS LIBRE

L’article 82 du RGPD prévoit que toute personne ayant subi un dommage matériel ou moral du fait d’une violation du RGPD a le droit d’obtenir réparation auprès du responsable du traitement ou, dans certains cas, du sous-traitant, sous 3 conditions :

1/ Une violation du RGPD

Par exemple, une entreprise peut avoir manqué à ses obligations de sécurité en ne mettant pas en place des mesures techniques ou organisationnelles adaptées pour protéger les données personnelles. Le RGPD impose en effet aux responsables de traitement et aux sous-traitants de mettre en œuvre un niveau de sécurité adapté aux risques.

La responsabilité du responsable du traitement repose sur une faute présumée : il peut toutefois s’exonérer s’il démontre qu’il n’est en aucune façon responsable de l’événement ayant causé le dommage.

2/ Un préjudice réel, matériel ou moral

Il peut s’agir d’une perte financière, d’une usurpation d’identité, d’une atteinte à la réputation, d’une perte de confidentialité, d’une perte de contrôle sur ses données, ou encore de la peur ou de l’inquiétude liées au risque que les données soient utilisées de manière abusive.

Il n’est pas nécessaire que le préjudice moral atteigne un niveau minimal de gravité. En revanche, il doit être réel et être personnellement subi : la simple constatation d’une violation du RGPD ne suffit pas.

En pratique, la CNIL conseille de conserver tous les éléments permettant de démontrer la violation et ses conséquences : notification de l’organisme, courriels, captures d’écran, justificatifs de dépenses, démarches effectuées, plaintes, ou tout document permettant d’établir le préjudice subi.

3/ Un lien entre la violation et le préjudice

Autrement dit, il ne suffit pas d’avoir subi un préjudice et qu’une violation de données ait eu lieu au même moment : il faut pouvoir établir que le préjudice résulte de cette violation.

Enfin, la CNIL insiste sur le fait qu’elle ne peut pas accorder de dommages et intérêts, et que si l’on souhaite obtenir une indemnisation pour le préjudice subi, on doit donc exercer son droit à réparation devant le juge (tribunal judiciaire si le responsable est une entreprise ou une personne privée ; tribunal administratif s’il s’agit d’une administration ou d’une personne publique).

Source : CNIL, publication du 2 octobre