La Cour fédérale de justice (BGH) a rendu un arrêt de principe dans le cadre d'un incident majeur lié à la protection des données sur Facebook : même la simple perte de contrôle sur données à caractère personnel peut causer un dommage immatériel au sens de l'art. 82 al. 1 RGPD de l'UE. Quelles sont les conséquences du jugement.
C'est ça le scraping sur Facebook
Cette décision de la Cour fédérale de justice allemande (BGH, VI ZR 10/24) concerne non seulement les demandes de dommages-intérêts, mais également les actions en constatation et en cessation résultant d’un incident lié à la protection des données. L'affaire, dans laquelle, début avril 2021, les données d'environ 533 millions d'utilisateurs de Facebook ont été dérobées par le biais d'une technique dite de „ scraping “, revêt une importance considérable en raison de la diffusion croissante des données à caractère personnel dans l'espace numérique.
La défenderesse, exploitante du réseau social Facebook, permettait aux utilisateurs de rendre leur profil accessible à partir de leur numéro de téléphone. Cette fonctionnalité de recherche d’amis a fait l’objet d’un usage abusif par des tiers inconnus via la fonction d’importation de contacts. Pour ce faire, ces inconnus ont utilisé des séquences aléatoires de numéros de téléphone afin d'associer des données d'utilisateurs accessibles au public (telles que le nom, le sexe et l'employeur) à ces numéros de téléphone. Ils ont ainsi pu accéder à une multitude de données à caractère personnel.
Les données du plaignant, notamment son identifiant utilisateur, son nom, son lieu de travail et son sexe, ont également été associées à son numéro de téléphone et ainsi rendues accessibles à un cercle de personnes non contrôlé.
Le demandeur a alors intenté une action en justice et réclamé des dommages-intérêts pour préjudice moral en raison de la perte de contrôle et des désagréments subis. Il a en outre fait valoir des demandes en constatation, selon lesquelles Facebook devrait être tenu responsable des préjudices matériels et immatériels futurs, ainsi que des demandes visant à obtenir la cessation du traitement des données et le remboursement des frais d'avocat engagés avant le procès.
Perte de contrôle des données : les instances précédentes sont divisées
Le tribunal régional de Bonn a d'abord accordé au plaignant une demande de dommages et intérêts d'un montant de 250 euros, car Facebook avait, selon lui, pris des mesures de sécurité insuffisantes. En appel, le tribunal régional supérieur (OLG) de Cologne a toutefois rejeté la demande dans son ensemble. Il a fait valoir que la simple perte de contrôle ne suffisait pas à justifier un préjudice moral au sens de l'article 82, paragraphe 1, de la loi sur la protection des données. RGPD de justifier une telle mesure. En outre, le requérant n'a pas subi de préjudice psychologique au-delà de la perte de contrôle.
Par décision du 31 octobre 2024, la Cour fédérale de justice (BGH) a statué sur la procédure relative à l’ordonnance de renvoi. Lors de l’audience du 11 novembre 2024, la Cour fédérale de justice est parvenue à une conclusion nuancée et a statué en partie en faveur du demandeur.
La Cour fédérale de justice se prononce contre Facebook
- Droit à des dommages et intérêts immatériels
Selon l'arrêt de la Cour fédérale de justice (BGH), la Cour d'appel de Cologne a commis une erreur dans son appréciation de la question des dommages-intérêts. Selon la jurisprudence de la Cour de justice de l'Union européenne (CJUE), la simple perte, même de courte durée, du contrôle sur données à caractère personnel un préjudice moral au sens de l'art. 82, al. 1 RGPD ne sont pas des abus. Il n'est pas nécessaire que les données fassent l'objet d'une utilisation abusive concrète ni que d'autres conséquences négatives soient démontrées. La perte de contrôle peut ainsi suffire à elle seule à fonder une demande de dommages et intérêts.Cette interprétation est remarquable, car elle permet de garantir le droit à la protection de la personne concernée dans le cadre de la RGPD souligne et précise que le préjudice moral n'implique pas nécessairement une charge plus profonde ou plus durable pour la personne concernée. Au contraire, la perte de la maîtrise des données est déjà reconnue comme une circonstance préjudiciable pouvant donner lieu à un droit à réparation. - Évaluation des dommages
La Cour fédérale de justice (BGH) a renvoyé l'affaire devant la cour d'appel en ce qui concerne le montant du préjudice, tout en fournissant des indications sur l'évaluation de celui-ci. Il est précisé qu'une indemnisation d'un montant d'environ 100 euros pourrait être appropriée pour compenser la perte de contrôle. Il est fait référence à cet égard à l'article 287 du Code de procédure civile allemand (ZPO), selon lequel le tribunal peut évaluer l'étendue du préjudice selon sa libre appréciation, dans la mesure où il n'existe pas d'éléments concrets permettant une quantification exacte. - Détermination de l'obligation d'indemnisation pour les dommages futurs
Le requérant demandait également qu’il soit constaté que le défendeur était tenu de réparer les préjudices futurs. La Cour d’appel avait rejeté cette demande au motif qu’il n’existait pas d’intérêt à obtenir une décision déclaratoire. La Cour fédérale de justice a infirmé cette décision et a souligné que la possibilité de préjudices futurs résultant de la perte de données et du risque persistant d’utilisation abusive était tout à fait réelle. L’intérêt du demandeur à obtenir une décision déclaratoire devait donc être reconnu. - Droit d'injonction et d'information
Le requérant a également demandé que Facebook soit condamné à cesser de diffuser son numéro de téléphone sans son consentement. Consentement de continuer à l'utiliser. La Cour fédérale de justice a estimé que cette demande d'interdiction était suffisamment précise et que le requérant avait un besoin de protection juridique. La révision a été couronnée de succès sur ce point.
En ce qui concerne les autres demandes de cessation et d'information, le pourvoi a en revanche été rejeté. La Cour fédérale de justice (BGH) a confirmé l'avis de la Cour d'appel régionale (OLG) selon lequel les demandes du demandeur étaient infondées à cet égard.
Principe de minimisation des données et consentement
Pour le nouveau procès, la BGH donne des indications à la cour d'appel sur l'examen des paramètres par défaut de Facebook. Elle indique que le préréglage selon lequel le numéro de téléphone est visible publiquement par défaut n'est peut-être pas conforme au principe de minimisation des données. En outre, la cour d'appel devra vérifier si le plaignant a été valablement informé des Traitement de ses données.
Ces indications illustrent les exigences posées par la Cour fédérale de justice en matière de protection sociale. Réseaux en ce qui concerne la conception des préréglages. Le site RGPD exige, à l'article 25 "Protection des données par défaut", que seules les données nécessaires à chaque finalité soient traitées. Les fournisseurs tels que Facebook sont donc tenus de rendre les paramètres par défaut de leurs plateformes respectueuses de la vie privée et d'assurer un consentement éclairé. Consentement des utilisateurs.
Conseil de lecture : La CJUE interprète la notion d„“ intérêt légitime » au sens de l'article 6, paragraphe 1, point f), du RGPD
Les conséquences de la décision de la Cour fédérale de justice sur le scraping sur Facebook
La décision de la Cour fédérale de justice (BGH) renforce considérablement les droits à réparation pour préjudice moral des personnes concernées en cas de violation de la protection des données. La reconnaissance de la simple perte de contrôle comme préjudice rend superflue la nécessité de prouver l’existence de conséquences psychologiques ou matérielles concrètes. Cette approche s’inscrit dans la lignée de la jurisprudence de la CJUE, qui met l’accent sur la protection de la souveraineté en matière de données. On peut s’attendre à ce que cet arrêt ait des répercussions considérables sur les pratiques des entreprises qui traitent de grandes quantités de données à caractère personnel.
L'arrêt précise en outre que les dommages futurs résultant de violations de la protection des données peuvent également être couverts par le droit à réparation, ce qui est particulièrement pertinent dans le contexte de la numérisation et de l'interconnexion croissantes des données personnelles. Les entreprises doivent adapter leurs stratégies de protection des données et Traitement et le stockage des données à caractère personnel de manière particulièrement restrictive afin de prévenir toute demande de dommages et intérêts à l'avenir.
Source : Arrêt de la 6e chambre civile du 18 novembre 2024 – VI ZR 10/24 –
German 
English 
Italian 
French