Demande de décision préjudicielle présentée par le Bundesgerichtshof (Allemagne) le 7 novembre 2023 – IP/Quirin Privatbank AG
(Affaire C-655/23, Quirin Privatbank)
Langue de procédure : l’allemand
Juridiction de renvoi
Bundesgerichtshof
Parties à la procédure au principal
Partie requérante : IP
Partie défenderesse : Quirin Privatbank AG
Questions préjudicielles
a) L’article 17 du règlement (UE) 2016/679 (RGPD) 1 doit-il être interprété en ce sens que la personne concernée, dont les données à caractère personnel ont fait l’objet d’une communication par transmission illicite de la part du responsable du traitement, peut exiger de ce dernier qu’il s’abstienne de toute nouvelle transmission illicite, si elle ne lui demande pas de les effacer ?
b) Un tel droit peut-il (également) résulter de l’article 18 du RGPD ou de toute autre disposition dudit RGPD ?
En cas de réponse affirmative aux questions 1a), ou 1b), ou aux deux :
a) Le droit de l’Union ne confère-t-il à la personne concernée le droit d’exiger de l’auteur d’une violation des droits qu’elle tire du RGPD qu’il s’abstienne de commettre toute nouvelle violation de ces droits que si de nouvelles violations sont à craindre (risque de récidive) ?
b) L’existence d’un risque de récidive est-elle, le cas échéant, présumée en raison de la précédente violation du RGPD ?
En cas de réponse négative aux questions 1a) et 1b) :
Les dispositions combinées des articles 84 et 79 du RGPD doivent-elles être interprétées en ce sens qu’elles permettent au juge national de reconnaître à la personne concernée dont les données à caractère personnel ont fait l’objet d’une communication par transmission illicite de la part du responsable du traitement, outre la réparation du dommage matériel ou moral en vertu de l’article 82 du RGPD et les droits découlant des articles 17 et 18 du RGPD, le droit d’exiger du responsable du traitement qu’il s’abstienne de toute nouvelle transmission illicite de ces données, sur le fondement des dispositions du droit national ?
De simples sentiments négatifs, tels que le mécontentement, la contrariété, l’insatisfaction, l’inquiétude et la peur, qui, en soi, font partie des risques généraux inhérents à la vie et, souvent, du vécu quotidien, suffisent-ils à caractériser un dommage moral au sens de l’article 82, paragraphe 1, du RGPD ? Ou bien faut-il, pour admettre l’existence d’un dommage, que la personne physique concernée ait subi un préjudice allant au-delà de ces sentiments ?
L’article 82, paragraphe 1, du RGPD doit-il être interprété en ce sens que le degré de gravité de la faute du responsable du traitement ou du sous-traitant, ou de leur personnel, est un critère pertinent aux fins de l’évaluation du dommage moral indemnisable ?
En cas de réponse affirmative aux questions 1a), 1b) ou 3 :
L’article 82, paragraphe 1, du RGPD doit-il être interprété en ce sens que le fait que la personne concernée, parallèlement à son droit à réparation, puisse exiger de l’auteur de la violation qu’il s’abstienne de commettre toute nouvelle violation, peut être pris en compte pour réduire le montant du dommage moral indemnisable lors de son évaluation ?
____________
1 Règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1).