CJUE, n° C-340/21, Demande (JO) de la Cour, 2 juin 2021

16.8.2021

FR

Journal officiel de l’Union européenne

C 329/12

1.

Les dispositions des articles 24 et 32 du règlement (UE) 2016/679 (1) peuvent-elles être interprétées en ce sens qu’une divulgation ou un accès non autorisés à des données à caractère personnel au sens de l’article 4, point 12, du règlement (UE) 2016/679, par des personnes qui ne sont pas des employés de l’administration du responsable du traitement des données à caractère personnel et ne sont pas sous le contrôle de celui-ci, suffit pour considérer que les mesures techniques et organisationnelles mises en œuvre n’étaient pas appropriées?

2.

En cas de réponse négative à la première question préjudicielle, quels doivent être l’objet et l’étendue du contrôle juridictionnel de légalité lors de l’examen du point de savoir si les mesures techniques et organisationnelles mises en œuvre par le responsable du traitement des données à caractère personnel en vertu de l’article 32 du règlement (UE) 2016/679 sont appropriées?

3.

En cas de réponse négative à la première question préjudicielle, le principe de responsabilité au sens de l’article 5, paragraphe 2 et l’article 24, en combinaison avec le considérant 74 du règlement (UE) 2016/679, peuvent-ils être interprétés en ce sens que, dans le cadre d’une action au titre de l’article 82, paragraphe 1, du règlement (UE) 2016/679, le responsable du traitement des données à caractère personnel supporte la charge de la preuve que les mesures techniques et organisationnelles mises en œuvre en vertu de l’article 32 du règlement sont appropriées? Si la juridiction ordonne une expertise judiciaire, cela peut-il être considéré comme un moyen de preuve nécessaire et suffisant pour établir si les mesures techniques et organisationnelles mises en œuvre par le responsable du traitement des données à caractère personnel étaient appropriées dans un cas de figure comme celui de l’espèce, où l’accès et la divulgation non autorisés résultent d’une «attaque de hackers»?

4.

La disposition de l’article 82, paragraphe 3, du règlement (UE) 2016/679 peut-elle être interprétée en ce sens qu’une divulgation ou un accès non autorisés à des données à caractère personnel au sens de l’article 4, point 12, du règlement (UE) 2016/679, en l’espèce par une «attaque de hackers» commise par des personnes qui ne sont pas des employés de l’administration du responsable du traitement des données à caractère personnel et ne sont pas sous le contrôle de celui-ci, constitue un fait qui n’est nullement imputable au responsable du traitement des données à caractère personnel et représente un motif d’exonération de responsabilité?

5.

Les dispositions de l’article 82, paragraphes 1 et 2, en combinaison avec les considérants 85 et 146, du règlement (UE) 2016/679, peuvent-elles être interprétées en ce sens que, dans un cas de figure comme celui de l’espèce, de violation de la sécurité de données à caractère personnel, se traduisant par un accès et une diffusion non autorisés de données personnelles, dans le cadre d’une «attaque de hackers», les préoccupations, les craintes et la peur, en tant que telles, de la personne concernée, d’un éventuel usage abusif futur de données personnelles, sans que soit établi un tel usage abusif et/ou que la personne concernée ait subi un autre dommage, relèvent du sens large de la notion de préjudice moral et justifient une indemnisation?