RGPD : la violation ne suffit pas à ouvrir droit à réparation

La chambre sociale de la Cour de cassation a rendu un arrêt déterminant sur la question de la réparation en cas de violation du RGPD. Elle rappelle que la simple infraction au règlement ne suffit pas à ouvrir droit à indemnisation : un dommage matériel ou moral doit être établi.

Un litige lié à un sabotage de campagne anti-phishing

Un salarié, analyste en stratégies algorithmiques, a délibérément saboté les campagnes internes de sensibilisation au phishing en cliquant sur des faux courriels et en saisissant des identifiants injurieux. Licencié pour ce motif, il a contesté son licenciement sans succès. Par ailleurs, il a invoqué une violation du RGPD, l’employeur ayant exploité ses données via un prestataire sans son consentement.

La cour d’appel a retenu que la preuve obtenue était illicite mais recevable, au motif qu’elle était indispensable et proportionnée au droit à la preuve. Elle a accordé au salarié une indemnisation de 5 000 € pour exécution déloyale, estimant que le non-respect du RGPD lui avait « nécessairement causé un préjudice ». C’est ce seul chef que l’employeur a contesté en cassation.

L’absence de préjudice automatique : l’article 82 du RGPD en question

La Cour de cassation censure la décision de la cour d’appel au visa de l’article 82, § 1, du RGPD. Elle rappelle que le droit à réparation exige trois conditions cumulatives : une violation du règlement, un dommage matériel ou moral, et un lien de causalité entre les deux. La simple violation ne suffit pas : le demandeur doit prouver non seulement l’infraction, mais aussi le préjudice subi.

En présumant le préjudice sans rechercher sa réalité, la cour d’appel a violé l’article 82 du RGPD. La chambre sociale prononce une cassation partielle et renvoie l’affaire devant la Cour d’appel de Paris, autrement composée, pour apprécier la matérialité du dommage.

Une jurisprudence alignée sur la CJUE

Cet arrêt s’inscrit dans la continuité de la jurisprudence de la Cour de justice de l’Union européenne, qui a déjà rappelé que le droit à réparation au titre du RGPD ne peut être automatique. La Cour de cassation confirme ainsi l’abandon de la théorie du préjudice nécessaire, déjà écartée dans d’autres contentieux.

En pratique, cet arrêt ne remet pas en cause la protection des données personnelles, mais rationalise le contentieux indemnitaire. Pour les employeurs, la conformité RGPD reste une obligation incontournable. Pour les salariés, l’enjeu se déplace vers la démonstration concrète du préjudice subi.

Source : Derriennic