Dans un jugement du 4 octobre 2024, le tribunal de grande instance de Lübeck s'est penché de manière exhaustive sur la Responsabilité civile conformément à l'article 82 du règlement général sur la protection des données (RGPD) en cas de violation de la protection des données. La décision contient des principes essentiels sur l'imputabilité des traitements de données illégaux, sur l'interprétation de la notion de dommage et sur les possibilités d'exonération des responsables. La question centrale était de savoir dans quelles conditions un responsable est responsable des violations imputables aux actes d'un sous-traitant ou d'un sous-traitant ultérieur.
Fuite de données chez un sous-traitant
La défenderesse, qui exploite une plateforme de musique en streaming en Europe, avait transmis des données de clients à un sous-traitant qui, à son tour, travaillait avec un sous-traitant ultérieur. Or, il n'existait pas de contrat de sous-traitance entre le sous-traitant et le sous-traitant ultérieur, conformément à l'article 28 de la directive. RGPD accord nécessaire.
Après que la défenderesse eut mis fin à sa collaboration avec son sous-traitant, une fuite de données s'est produite chez le sous-traitant secondaire, au cours de laquelle données à caractère personnel ont été dérobées puis publiées sur le Darknet. Les données concernées comprenaient notamment le prénom et le nom, le nom d'utilisateur, la date de naissance, l'adresse e-mail, des informations sur l'utilisation du service D., le sexe, la langue et le pays. L'identifiant utilisateur (UserID) était également concerné dans chaque cas ; il s'agit d'une suite de chiffres attribuée par la défenderesse et attribuée individuellement à chaque utilisateur.
Die Klägerseite, ein Nutzer der Streaming-Plattform der Beklagten, machte immateriellen Schadensersatz geltend und trug vor, aufgrund des Datenlecks Angst vor Missbrauch ihrer Daten zu haben. Zusätzlich sei die Veröffentlichung der Daten im Darknet als eigenständige Verletzung ihres Rechts auf l'autodétermination en matière d'information de l'entreprise.
Conseil de lecture : Le BSI met à jour les normes minimales pour la journalisation des cyberattaques
Tribunal : Traitement illégal des données selon l'article 82 du RGPD à interpréter largement
- Imputation de la violation au responsable
La Cour a estimé que la notion de participation à un traitement illicite de données au sens de l'article 82 RGPD doit être interprété de manière large. Il suffit que le Responsable a participé, au sens d'une condition sine qua non, à la série d'opérations qui ont conduit à l'acte ayant causé le dommage. "La notion de participation à un traitement illicite de données au sens de la RGPD ne suppose pas nécessairement que le Responsable “ a lui-même participé directement à l'événement qui a finalement causé le préjudice », a déclaré le tribunal régional.En l'espèce, le tribunal a considéré que la partie défenderesse était déjà impliquée par le transfert illégal de données à un sous-traitant qui n'était pas suffisamment engagé. L'absence de contrat au sens de l'article 28, paragraphe 4 RGPD a justifié l'illégalité du transfert de données.
- Possibilité pour le responsable de se dégager de toute responsabilité
Selon l'article 82, paragraphe 3 RGPD un responsable peut s'exonérer en prouvant qu'il n'a pas commis de faute. Le tribunal a toutefois souligné que cela valait également pour sa propre contribution à la faute. La partie défenderesse n'a pas été en mesure de prouver que le transfert des données au sous-traitant avait eu lieu sans faute de sa part. Elle a notamment fait preuve de négligence, données à caractère personnel sans avoir vérifié de manière suffisante les obligations du destinataire en matière de protection des données.„ Si la remise a été effectuée par négligence, la responsabilité incombe alors au Responsable “ même s'il n'a pas lui-même participé à l'événement ayant directement causé le préjudice », concluent les juges.
- Notion de préjudice et indemnisabilité des préjudices moraux
Le tribunal a suivi la jurisprudence de la Cour de justice des Communautés européennes (CJCE), selon laquelle un préjudice moral au sens de l'article 82 de la Convention européenne des droits de l'homme (CEDH) peut être considéré comme une atteinte à la vie privée et familiale. RGPD pourrait également résider dans la crainte légitime d'une éventuelle utilisation abusive des données. Il n'existe pas de seuil de minimis. Les craintes et les inquiétudes du requérant – par exemple face à Hameçonnage-les attaques – ont été reconnues comme un préjudice immatériel indemnisable.
Darüber hinaus stellte das Gericht fest, dass die Veröffentlichung personenbezogener Daten im Darknet einen eigenständigen Schaden darstelle. Diese Verletzung des Rechts auf l'autodétermination en matière d'information wurde als schadensersatzbegründender Kontrollverlust über die eigenen Daten gewertet.
- Évaluation des dommages et intérêts
Le tribunal a accordé au plaignant une indemnité de 350 euros au titre du préjudice moral. Il a ainsi tenu compte, d'une part, de la publication de données à caractère personnel sensibles et de l'inquiétude qui en a résulté. D'autre part, aucun préjudice patrimonial notable n'avait été subi et les données ne permettaient que de manière limitée de remonter à l'identité du plaignant.
Les responsables encourent un risque accru en matière de responsabilité
Le jugement du tribunal de grande instance de Lübeck illustre les exigences strictes du RGPD à la responsabilité des entreprises en matière de Traitement des données à caractère personnel. L'élargissement de la notion de participation et l'imputation étendue d'actes de tiers, même non conformes aux instructions, augmentent les risques de responsabilité pour Responsable considérablement.
La reconnaissance des préjudices immatériels sous forme d'angoisses et d'inquiétudes, ainsi que la prise en compte de la perte de contrôle sur données à caractère personnel en tant que dommage autonome marquent une nouvelle étape dans le développement de la Responsabilité civile selon l'art. 82 RGPD. Il en résulte pour les entreprises la nécessité de mettre en œuvre des mesures techniques, organisationnelles et contractuelles complètes afin de satisfaire aux obligations légales en matière de protection des données et de minimiser les risques de responsabilité.
Source : Arrêt du tribunal régional de Lübeck (15 O 216/23) du 4 octobre 2024
Vous avez besoin d'aide pour optimiser vos processus de protection des données ? Nous sommes à votre disposition. N'hésitez pas à nous contacter, nous élaborons pour vous des solutions sur mesure dans les domaines suivants Protection des données et Conformité.
N'hésitez pas à nous contacter :
Tél: +33 1 856 59880
Courrier électronique : paris@2b-advice.com
German 
English 
Italian 
French