|
Résumé :
|
La mise en oeuvre du RGPD est réalisée par le biais d’une combinaison d’une mise en oeuvre par la sphère publique et par la sphère privée. Dans le cadre de la mise en oeuvre par la sphère privée, l’action en réparation (article 82 du RGPD) occupe une place particulière. Le régime de responsabilité prévu par l’article 82 du RGPD a fait l’objet ces derniers mois de nombreuses décisions préjudicielles de la Cour de Justice. Cette dernière a ainsi précisé que l’application de l’article 82 du RGPD requiert les exigences de responsabilité classiques : faute, lien de causalité et dommage. En exigeant l’existence d’une faute, la Cour de Justice a clairement décidé que le régime de responsabilité n’impliquait pas une responsabilité objective. L’article 82 du RGPD prévoit bien une présomption réfragable de faute et de lien de causalité à charge du responsable du traitement et du sous-traitant, qu’ils pourront en tout cas difficilement renverser. La notion de « dommage » a également été précisée par la Cour de Justice. L’application de la notion est autonome et englobe tant les dommages matériels qu’immatériels. Pour l’application de l’article 82 du RGPD, aucune règle de minimis ne s’applique et le montant de l’indemnité ne dépend pas de la nature de la faute. Le régime de responsabilité n’est toutefois pas entièrement régi au niveau du droit de l’Union. Ainsi, les règles de compétence internes et les règles relatives à la preuve (à l’exception des présomptions déjà mentionnées) sont régies par le droit national. La possibilité de résultats divergents subsiste donc. Néanmoins, un certain nombre d’incertitudes persistent. La doctrine admet de manière quasi unanime que tout un chacun (et donc pas uniquement les personnes concernées) peut invoquer l’article 82 du RGPD. Elle est toutefois particulièrement divisée sur le plan des limitations de responsabilité. Une très grande majorité de la doctrine admet que des limitations à l’égard de la personne concernée ne sont pas possibles. Néanmoins, la doctrine ne semble pas assumer de manière cohérente les implications de ces positions. Bien que la doctrine admette que tout un chacun peut invoquer l’article 82 du RGPD et qu’une limitation de responsabilité à l’égard de la personne concernée n’est pas possible, cette même doctrine maintient la position selon laquelle la responsabilité du sous-traitant à l’égard du responsable du traitement n’est pas régie par le RGPD. Cette position est incompatible avec le libellé de l’article 82 du RGPD. Il découle inévitablement des positions susmentionnées qu’aucune limitation de responsabilité n’est possible en vertu de l’article 82 du RGPD. Étant donné l’important enjeu, ce point de désaccord ne sera certainement définitivement réglé que par un jugement de la Cour de Justice. La responsabilité des responsables conjoints du traitement constitue également un point d’interrogation. Il est clair qu’ils relèvent également du champ d’application de l’article 82 du RGPD et qu’ils ne peuvent donc de jure pas limiter leur responsabilité. Ils peuvent néanmoins bien délimiter leur rôle dans le cadre d’un traitement, avec pour conséquence qu’il semble de facto possible qu’ils excluent leur responsabilité pour les tâches qui sont assignées à un ou plusieurs autre(s) responsable(s) du traitement. Il s’agit en tout cas d’un point d’attention dans le cadre de l’élaboration des accords de responsabilité conjointe sur la base de l’article 26 du RGPD. La Cour de Justice devra certainement aussi affiner davantage la jurisprudence existante afin de trancher cette question. (Extrait de Bulletin des assurances, dossier 28, p.220)
|
