–

pour le gouvernement letton, par Mmes J. Davidoviča et K. Pommere, en qualité d’agents,

–

pour la Commission européenne, par MM. A. Bouchagiar, H. Kranenborg et I. Naglis, en qualité d’agents,

1

La demande de décision préjudicielle porte sur l’interprétation de l’article 82, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (JO 2016, L 119, p. 1, ci-après le « RGPD »).

2

Cette demande a été présentée dans le cadre d’un litige opposant A au Patērētāju tiesību aizsardzības centrs (Centre de protection des droits des consommateurs, Lettonie) (ci-après le « PTAC ») au sujet de la réparation du préjudice moral que le requérant au principal affirme avoir subi en raison du traitement sans autorisation de sa part de certaines de ses données à caractère personnel par le PTAC.

3

Les considérants 1, 75, 85, 146 et 148 du RGPD sont libellés comme suit :

[…]

[…]

[…]

[…]

4

L’article 1er de ce règlement, intitulé « Objet et objectifs », dispose, à son paragraphe 2 :

« Le présent règlement protège les libertés et droits fondamentaux des personnes physiques, et en particulier leur droit à la protection des données à caractère personnel. »

5

L’article 4 dudit règlement, intitulé « Définitions », prévoit :

« Aux fins du présent règlement, on entend par :

[…]

[…]

[…] »

6

L’article 6 du même règlement, intitulé « Licéité du traitement », dispose, à son paragraphe 1, que le traitement de données à caractère personnel n’est licite que si, et dans la mesure où, au moins l’une des conditions qu’il énumère est remplie.

7

Le chapitre VIII du RGPD, intitulé « Voies de recours, responsabilité et sanctions », comporte les articles 77 à 84 de celui-ci.

8

L’article 82 de ce règlement, intitulé « Droit à réparation et responsabilité », dispose, à ses paragraphes 1 et 2 :

« 1. Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.

2. Tout responsable du traitement ayant participé au traitement est responsable du dommage causé par le traitement qui constitue une violation du présent règlement. […] »

9

L’article 83 du RGPD, intitulé « Conditions générales pour imposer des amendes administratives », prévoit, à son paragraphe 2 :

« […] Pour décider s’il y a lieu d’imposer une amende administrative et pour décider du montant de l’amende administrative, il est dûment tenu compte, dans chaque cas d’espèce, des éléments suivants :

[…]

10

L’article 84 de ce règlement, intitulé « Sanctions », précise, à son paragraphe 1 :

« Les États membres déterminent le régime des autres sanctions applicables en cas de violations du présent règlement, en particulier pour les violations qui ne font pas l’objet des amendes administratives prévues à l’article 83, et prennent toutes les mesures nécessaires pour garantir leur mise en œuvre. Ces sanctions sont effectives, proportionnées et dissuasives. »

11

L’article 14, intitulé « Détermination de la réparation du préjudice moral », du Valsts pārvaldes iestāžu nodarīto zaudējumu atlīdzināšanas likums (loi sur la réparation des dommages causés par des autorités publiques), du 2 juin 2005 (Latvijas Vēstnesis, 2005, no 96), dans sa version applicable au litige au principal (ci-après la « loi de 2005 »), dispose :

« 1. La réparation du préjudice moral est déterminée en fonction de l’importance des droits violés et des intérêts protégés par la loi ainsi que de la gravité de l’atteinte en cause, en tenant compte des motifs de fait et de droit fondant le comportement de l’autorité, du comportement et de la coresponsabilité de la personne lésée ainsi que des autres circonstances pertinentes de l’espèce.

2. Le préjudice moral est réparé par le rétablissement de la situation antérieure au préjudice ou, si cela n’est pas ou pas totalement possible ou pas adéquat, par la présentation d’excuses ou le versement d’une indemnité adéquate.

3. Si l’autorité ou le juge, après avoir apprécié les circonstances de l’espèce, conclut à l’absence de gravité de la violation des droits ou des intérêts protégés par la loi d’un particulier, des excuses écrites ou publiques peuvent constituer une réparation autonome ou complémentaire du préjudice moral.

4. La réparation du préjudice moral est fixée à un maximum de 7000 euros. En cas de préjudice moral grave, ce maximum peut atteindre 10000 euros, mais, en cas d’atteinte à la vie ou d’atteinte particulièrement grave à la santé, ledit maximum de l’indemnisation peut atteindre 30000 euros. »

12

Le requérant au principal est connu en Lettonie comme étant un journaliste expert dans le domaine automobile.

13

Dans le cadre d’une campagne visant à sensibiliser les consommateurs aux risques encourus lors de l’achat d’un véhicule d’occasion, le PTAC a diffusé, sur plusieurs sites Internet, une séquence vidéo qui, notamment, mettait en scène un personnage imitant le requérant au principal, sans que ce dernier y ait consenti.

14

Malgré l’opposition exprimée par celui-ci à l’égard de la réalisation et la diffusion de cette séquence vidéo, celle-ci est restée disponible en ligne. En outre, le PTAC a rejeté ses demandes expresses tendant à l’arrêt de cette diffusion et à une réparation pour atteinte à sa réputation.

15

Le requérant au principal a alors saisi l’administratīvā rajona tiesa (tribunal administratif de district, Lettonie), afin, d’une part, de faire constater l’illégalité des agissements du PTAC, consistant à utiliser et diffuser ses données à caractère personnel sans autorisation ainsi que, d’autre part, d’obtenir la réparation de son préjudice moral, sous la forme de présentation d’excuses et d’une indemnité de 2000 euros. Après avoir déclaré illégal ces agissements, cette juridiction a ordonné au PTAC de mettre fin à ces derniers et de présenter des excuses publiques à ce requérant ainsi que de lui verser une indemnité de 100 euros au titre de la réparation du préjudice moral subi.

16

Par arrêt du 20 mai 2023, l’Administratīvā apgabaltiesa (Cour administrative régionale, Lettonie), statuant en appel, a confirmé le caractère illégal du traitement de données à caractère personnel effectué par le PTAC, sur le fondement de l’article 6 du RGPD, et a ordonné la cessation de ce comportement ainsi que la publication d’excuses sur les sites Internet ayant diffusé la séquence vidéo, en application de l’article 14 de la loi de 2005. En revanche, cette juridiction a rejeté la demande de réparation pécuniaire du préjudice moral subi par le requérant au principal. À cet égard, elle a, notamment, considéré que la violation commise n’était pas grave, aux motifs que la séquence vidéo avait pour but d’exécuter une mission d’intérêt public, et non de nuire à la réputation, à l’honneur et à la dignité de ce requérant. En outre, elle a estimé que cette violation était due au fait que le PTAC avait mal interprété des dispositions légales ayant un caractère complexe.

17

Dans son pourvoi en cassation formé devant l’Augstākā tiesa (Senāts) (Cour suprême, Lettonie), qui est la juridiction de renvoi dans la présente affaire, le requérant au principal conteste cet arrêt en ce que la réparation pécuniaire de son préjudice moral y a été refusée. Il fait valoir, en substance, que la juridiction d’appel a commis des erreurs dans l’appréciation de la gravité de la violation de ses droits et dans l’évaluation du préjudice découlant de cette dernière. Il soutient également qu’une réparation sous forme de présentation d’excuses n’est ni équitable ni adéquate au regard de l’article 82 du RGPD.

18

En premier lieu, la juridiction de renvoi estime, à la lumière de l’arrêt du 4 mai 2023, Österreichische Post (Préjudice moral lié au traitement de données personnelles) (C-300/21, ci-après l’ arrêt Österreichische Post , EU:C:2023:370), que l’article 82 du RGPD ne permet pas d’ordonner une réparation au titre d’une violation de ce règlement, sans avoir préalablement caractérisé un préjudice causé par cette violation. Selon elle, en l’occurrence, la juridiction d’appel a méconnu cet article 82 en ordonnant une telle réparation sans avoir constaté une atteinte à la réputation, à l’honneur et à la dignité du requérant au principal. Dans ce contexte, cette juridiction cherche à déterminer si, au regard de l’article 1er, paragraphe 2, du RGPD ainsi que des considérants 75, 85 et 146 de celui-ci, un traitement illicite de données à caractère personnel peut constituer, à lui seul, une violation du droit fondamental à la protection de ces données, tel que garanti à l’article 8, paragraphe 1, de la Charte, et, par suite, constituer un « dommage » au sens dudit article 82, y compris lorsqu’aucune atteinte à la réputation, à l’honneur ou à la dignité de la personne concernée n’est établie.

19

En deuxième lieu, la juridiction de renvoi s’interroge sur la réparation adéquate d’un dommage moral au titre de l’article 82, paragraphe 1, du RGPD, tel qu’interprété dans l’arrêt du 4 mai 2023, Österreichische Post (C-300/21, EU:C:2023:370). Elle souhaite savoir si l’obligation de présenter des excuses à la personne lésée, qui dans le droit letton est susceptible de constituer une forme de réparation autonome ou complémentaire, peut dans certains cas être tenue pour une réparation suffisante, au regard de cet article 82, paragraphe 1.

20

En troisième et dernier lieu, cette juridiction se demande, eu égard au point 58 de cet arrêt, si l’article 82, paragraphe 1, du RGPD permet de prendre en compte, afin d’apprécier la forme et le niveau de la réparation due à ce titre, des circonstances entourant, voire justifiant, les agissements de l’auteur de la violation de dispositions de ce règlement.

21

Dans ces conditions, l’Augstākā tiesa (Senāts) (Cour suprême) a décidé de surseoir à statuer et de poser à la Cour les questions préjudicielles suivantes :

22

Par sa première question, la juridiction de renvoi demande, en substance, si l’article 82, paragraphe 1, du RGPD, lu à lumière de l’article 8, paragraphe 1, de la Charte, doit être interprété en ce sens qu’une violation de dispositions de ce règlement suffit, à elle seule, pour constituer un « dommage », au sens de cet article 82, paragraphe 1.

23

L’article 82, paragraphe 1, du RGPD dispose que « [t]oute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi ».

24

La Cour a itérativement interprété cet article 82, paragraphe 1, en ce sens que la simple violation de ce règlement ne suffit pas pour conférer un droit à réparation sur ce fondement, dès lors que l’existence d’un « dommage », matériel ou moral, ou d’un « préjudice » ayant été « subi » constitue l’une des conditions du droit à réparation prévu à cette disposition, tout comme l’existence d’une violation de dispositions dudit règlement et d’un lien de causalité entre ce dommage et cette violation, ces trois conditions étant cumulatives. Ainsi, la personne demandant réparation d’un dommage moral sur le fondement de ladite disposition est tenue d’établir non seulement la violation du même règlement, mais également que cette violation lui a effectivement causé un tel dommage [voir, en ce sens, arrêts du 4 mai 2023, Österreichische Post, C-300/21, EU:C:2023:370, points 32, 33, 42 et 50 ; du 20 juin 2024, Scalable Capital, C-182/22 et C-189/22, EU:C:2024:531, points 41 et 42, ainsi que du 20 juin 2024, PS (Adresse erronée), C-590/22, EU:C:2024:536, points 22, 24, 25 et 27].

25

Ces trois conditions cumulatives étant nécessaires et suffisantes pour avoir un droit à réparation, au sens de l’article 82, paragraphe 1, du RGPD (arrêt du 14 décembre 2023, Gemeinde Ummendorf, C-456/22, EU:C:2023:988, point 14), ce droit ne saurait être subordonné à la démonstration supplémentaire que la personne concernée, telle que définie à l’article 4, point 1, de ce règlement, a subi une atteinte injustifiée à l’intérêt juridique que vise à protéger le même règlement, à savoir le droit d’une telle personne à la protection de ses données à caractère personnel.

26

En outre, la Cour a souligné que, quand bien même la disposition du RGPD ayant fait l’objet d’une violation octroierait des droits aux personnes physiques, une telle violation ne saurait être, à elle seule, susceptible de constituer un « dommage moral », au sens de ce règlement, et de fonder un droit à réparation à ce titre, puisque ledit règlement exige que les deux autres conditions rappelées au point 24 du présent arrêt soient aussi remplies (voir, en ce sens, arrêt du 11 avril 2024, juris, C-741/21, EU:C:2024:288, point 40).

27

Cette interprétation de l’article 82, paragraphe 1, du RGPD est corroborée par les considérants 75, 85 et 146 de celui-ci. En effet, il ressort de ces considérants, premièrement, que la réalisation d’un dommage dans le cadre d’un traitement illicite de données à caractère personnel est une conséquence seulement potentielle et non automatique d’un tel traitement, deuxièmement, qu’une violation du RGPD n’entraîne pas nécessairement un dommage et, troisièmement, qu’un lien de causalité doit exister entre la violation en cause et le dommage subi par la personne concernée pour fonder un droit à réparation (voir, en ce sens, arrêt du 4 mai 2023, Österreichische Post, C-300/21, EU:C:2023:370, point 37).

28

Ladite interprétation est ainsi de nature à garantir la protection des données à caractère personnel en tant que droit fondamental consacré à l’article 8, paragraphe 1, de la Charte, auquel renvoie le considérant 1 du RGPD.

29

Eu égard aux motifs qui précèdent, il convient de répondre à la première question que l’article 82, paragraphe 1, du RGPD, lu à lumière de l’article 8, paragraphe 1, de la Charte, doit être interprété en ce sens qu’une violation de dispositions de ce règlement ne suffit pas, à elle seule, pour constituer un « dommage », au sens de cet article 82, paragraphe 1.

30

Par sa deuxième question, la juridiction de renvoi demande, en substance, si l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens que la présentation d’excuses peut constituer une réparation adéquate d’un dommage moral sur le fondement de cette disposition, notamment lorsqu’il est impossible de rétablir la situation antérieure à la survenance de ce dommage.

31

Conformément à une jurisprudence constante, il appartient à l’ordre juridique interne de chaque État membre de régler les aspects procéduraux des recours en justice destinés à assurer la sauvegarde des droits des justiciables, en vertu du principe de l’autonomie procédurale, à condition, toutefois, que ces modalités ne soient pas, dans les situations relevant du droit de l’Union, moins favorables que celles régissant des situations similaires soumises au droit interne (principe d’équivalence) et qu’elles ne rendent pas impossible en pratique ou excessivement difficile l’exercice des droits conférés par le droit de l’Union (principe d’effectivité) (arrêts du 4 mai 2023, Österreichische Post, C-300/21, EU:C:2023:370, point 53, ainsi que du 20 juin 2024, Scalable Capital, C-182/22 et C-189/22, EU:C:2024:531, point 32).

32

En l’occurrence, dès lors que le RGPD ne contient pas de disposition ayant pour objet de définir les règles relatives à l’évaluation des dommages-intérêts dus au titre du droit à réparation consacré à l’article 82 de ce règlement, les juges nationaux doivent, à cette fin, appliquer les règles internes de chaque État membre relatives à l’étendue de la réparation pécuniaire, pour autant que soient respectés les principes d’équivalence et d’effectivité du droit de l’Union [voir, en ce sens, arrêts du 4 mai 2023, Österreichische Post, C-300/21, EU:C:2023:370, points 54 et 59 ; du 20 juin 2024, Scalable Capital, C-182/22 et C-189/22, EU:C:2024:531, points 27 et 33, ainsi que du 20 juin 2024, PS (Adresse erronée), C-590/22, EU:C:2024:536, point 40].

33

À cet égard, s’agissant du respect de ce principe d’équivalence, la Cour ne dispose d’aucun élément de nature à indiquer que ledit principe serait susceptible d’avoir une incidence concrète dans le présent litige au principal.

34

S’agissant du respect de ce principe d’effectivité, la fonction exclusivement compensatoire du droit à réparation prévu à l’article 82 du RGPD implique que les critères d’évaluation de la réparation due au titre de cet article doivent être fixés au sein de l’ordre juridique de chaque État membre, pour autant qu’une telle réparation soit complète et effective, sans qu’il soit nécessaire, aux fins d’une telle compensation intégrale, d’imposer le versement de dommages-intérêts punitifs [voir, en ce sens, arrêts du 4 mai 2023, Österreichische Post, C-300/21, EU:C:2023:370, points 57 et 58 ; du 20 juin 2024, Scalable Capital, C-182/22 et C-189/22, EU:C:2024:531, points 23, 24, 35, 36 et 43, ainsi que du 20 juin 2024, PS (Adresse erronée), C-590/22, EU:C:2024:536, point 42].

35

Par ailleurs, la Cour a admis que, en l’absence de gravité du préjudice subi par la personne concernée, une juridiction nationale puisse compenser celui-ci en accordant à cette personne une indemnité minime, pour autant que le montant peu élevé de dommages-intérêts ainsi alloué soit de nature à compenser intégralement ce préjudice, ce qu’il appartient à cette juridiction de vérifier (voir, en ce sens, arrêt du 20 juin 2024, Scalable Capital, C-182/22 et C-189/22, EU:C:2024:531, point 46).

36

De même, l’article 82, paragraphe 1, du RGPD ne s’oppose pas à ce que la présentation d’excuses puisse constituer une réparation autonome ou complémentaire d’un dommage moral, ainsi que le prévoit en l’occurrence l’article 14 de la loi de 2005, pour autant qu’une telle forme de réparation respecte lesdits principes d’équivalence et d’effectivité, en particulier en ce que celle-ci doit permettre de compenser intégralement le dommage moral qui a été concrètement subi du fait de la violation de ce règlement, ce qu’il appartient à la juridiction nationale saisie de vérifier, au regard des circonstances de chaque cas d’espèce.

37

Eu égard aux motifs qui précèdent, il convient de répondre à la deuxième question que l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens que la présentation d’excuses peut constituer une réparation adéquate d’un dommage moral sur le fondement de cette disposition, notamment lorsqu’il est impossible de rétablir la situation antérieure à la survenance de ce dommage, pour autant que cette forme de réparation soit de nature à compenser intégralement le préjudice subi par la personne concernée.

38

Par sa troisième question, la juridiction de renvoi demande, en substance, si l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens qu’il s’oppose à ce que l’attitude et la motivation du responsable du traitement puissent être prises en compte afin, le cas échéant, d’accorder à la personne concernée une réparation inférieure au préjudice qu’elle a concrètement subi.

39

En premier lieu, il ressort de l’article 83 du RGPD, lu à la lumière du considérant 148 de celui-ci, que, pour décider s’il y a lieu d’imposer une amende administrative et pour en déterminer le montant, il convient de tenir compte, notamment, de critères relatifs à l’attitude et à la motivation du responsable du traitement, à titre de « circonstance aggravante ou atténuante ». En revanche, ces critères ne sont pas mentionnés à l’article 82 de ce règlement, ni d’ailleurs au considérant 146 de celui-ci, qui porte spécifiquement sur le droit à réparation prévu à cet article 82.

40

L’absence de référence à de tels critères se justifie par le fait que l’article 82 du RGPD remplit une fonction exclusivement compensatoire, en ce qu’une réparation, en particulier pécuniaire, fondée sur cet article 82 doit permettre de compenser intégralement le préjudice subi, contrairement à d’autres dispositions de ce règlement figurant aussi au chapitre VIII de celui-ci, à savoir ses articles 83 et 84, qui ont, quant à eux, essentiellement une finalité punitive, puisqu’ils permettent respectivement d’infliger des amendes administratives et d’autres sanctions (voir, en ce sens, arrêts du 4 mai 2023, Österreichische Post, C-300/21, EU:C:2023:370, points 38 et 40, ainsi que du 20 juin 2024, Scalable Capital, C-182/22 et C-189/22, EU:C:2024:531, point 22).

41

Dès lors, eu égard aux différences de libellés et de finalités existant entre l’article 82 du RGPD, lu à la lumière du considérant 146 de celui-ci, et l’article 83 de ce règlement, lu à la lumière du considérant 148 de celui-ci, il ne saurait être considéré que les critères d’évaluation énoncés spécifiquement à cet article 83 sont applicables mutatis mutandis dans le cadre de cet article 82 [arrêt du 20 juin 2024, PS (Adresse erronée), C-590/22, EU:C:2024:536, point 43 et jurisprudence citée]. Cette constatation vaut, en particulier, pour la fixation du montant des dommages-intérêts dus au titre de la réparation d’un dommage fondée sur ledit article 82 [voir, en ce sens, arrêt du 20 juin 2024, PS (Adresse erronée), C-590/22, EU:C:2024:536, points 39 et 44] ainsi que, plus généralement, pour la détermination de la forme, pécuniaire ou autre, et du niveau d’une telle réparation.

42

En second lieu, la fonction exclusivement compensatoire du droit à réparation prévu à l’article 82, paragraphe 1, du RGPD s’oppose à ce que le degré de gravité et l’éventuel caractère intentionnel de la violation de ce règlement commise par le responsable du traitement soient pris en compte aux fins de la réparation d’un dommage sur le fondement de ladite disposition (voir, en ce sens, arrêt du 20 juin 2024, Scalable Capital, C-182/22 et C-189/22, EU:C:2024:531, points 28 à 30).

43

Eu égard à la fonction exclusivement compensatoire, et non punitive, remplie par ce droit à réparation, la gravité d’une telle violation ne saurait influer sur le montant des dommages-intérêts octroyés au titre de cet article 82, paragraphe 1, et ce montant ne saurait être fixé à un niveau dépassant la compensation complète du préjudice [voir, en ce sens, arrêt du 20 juin 2024, PS (Adresse erronée), C-590/22, EU:C:2024:536, point 41 et jurisprudence citée]. Seul le préjudice concrètement subi par la personne concernée doit être pris en considération pour fixer le montant d’une telle réparation pécuniaire (voir, en ce sens, arrêt du 11 avril 2024, juris, C-741/21, EU:C:2024:288, point 64).

44

De même, la fonction exclusivement compensatoire dudit article 82, paragraphe 1, ne serait pas respectée si l’attitude et la motivation du responsable du traitement étaient prises en compte pour déterminer la forme de la réparation accordée sur le fondement de cette disposition ou pour octroyer une réparation d’un « niveau inférieur » à la compensation complète du préjudice subi par la personne concernée, ainsi que la juridiction de renvoi l’envisage dans la présente affaire.

45

Eu égard aux motifs qui précèdent, il convient de répondre à la troisième question que l’article 82, paragraphe 1, du RGPD doit être interprété en ce sens qu’il s’oppose à ce que l’attitude et la motivation du responsable du traitement puissent être prises en compte afin, le cas échéant, d’accorder à la personne concernée une réparation inférieure au préjudice qu’elle a concrètement subi.

46

La procédure revêtant, à l’égard des parties au principal, le caractère d’un incident soulevé devant la juridiction de renvoi, il appartient à celle-ci de statuer sur les dépens. Les frais exposés pour soumettre des observations à la Cour, autres que ceux desdites parties, ne peuvent faire l’objet d’un remboursement.

Par ces motifs, la Cour (huitième chambre) dit pour droit :

Signatures