1.

Le litige à l’origine du présent renvoi préjudiciel porte, en substance, sur le point de savoir si une personne a le droit d’exiger que le responsable du traitement de ses données à caractère personnel s’abstienne, à l’avenir, de reproduire un comportement contraire aux dispositions du règlement (UE) 2016/679 ( 2 ). Cette même personne entend, en outre, que le responsable du traitement soit condamné à l’indemniser de son préjudice moral résultant de la violation du RGPD déjà commise.

2.

La Cour s’est prononcée sur l’interprétation du RGPD en ce qui concerne la réparation du préjudice ( 3 ) ainsi que s’agissant des actions en cessation de traitements illicites de données à caractère personnel ( 4 ). Toutefois, elle ne s’est pas encore penchée sur certains des problèmes spécifiques soulevés par le présent renvoi préjudiciel.

3.

L’article 4 du RGPD, intitulé « Définitions », dispose :

« Aux fins du présent règlement, on entend par :

[…]

[…] »

4.

L’article 5 du RGPD, intitulé « Principes relatifs au traitement des données à caractère personnel », est libellé comme suit :

« 1. Les données à caractère personnel doivent être :

[…]

2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité) ».

5.

L’article 6 du RGPD, intitulé « Licéité du traitement », indique à son paragraphe 1 :

« Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

[…] »

6.

Conformément à l’article 17 du RGPD, intitulé « Droit à l’effacement (“droit à l’oubli”) » :

« 1. La personne concernée a le droit d’obtenir du responsable du traitement l’effacement, dans les meilleurs délais, de données à caractère personnel la concernant et le responsable du traitement a l’obligation d’effacer ces données à caractère personnel dans les meilleurs délais, lorsque l’un des motifs suivants s’applique :

[…]

d) les données à caractère personnel ont fait l’objet d’un traitement illicite ;

[…] »

7.

L’article 18 du RGPD, intitulé « Droit à la limitation du traitement », prévoit :

« 1. La personne concernée a le droit d’obtenir du responsable du traitement la limitation du traitement lorsque l’un des éléments suivants s’applique :

[…]

[…] »

8.

En vertu de l’article 79, intitulé « Droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant », paragraphe 1, du RGPD :

« Sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d’introduire une réclamation auprès d’une autorité de contrôle au titre de l’article 77, chaque personne concernée a droit à un recours juridictionnel effectif si elle considère que les droits que lui confère le présent règlement ont été violés du fait d’un traitement de ses données à caractère personnel effectué en violation du présent règlement. »

9.

L’article 82 du RGPD, intitulé « Droit à réparation et responsabilité », prévoit à son paragraphe 1 :

« Toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. »

10.

L’article 84 du RGPD, intitulé « Sanctions », énonce à son paragraphe 1 :

« Les États membres déterminent le régime des autres sanctions applicables en cas de violations du présent règlement, en particulier pour les violations qui ne font pas l’objet des amendes administratives prévues à l’article 83, et prennent toutes les mesures nécessaires pour garantir leur mise en œuvre. Ces sanctions sont effectives, proportionnées et dissuasives. »

11.

L’article 823 du Bürgerliches Gesetzbuch ( 5 ), intitulé « Obligation de réparer le préjudice », énonce :

« (1) Quiconque, agissant intentionnellement ou par négligence, porte atteinte de manière illicite à la vie, au corps, à la santé, à la liberté, à la propriété ou à tout autre droit d’autrui est tenu à l’égard de celui-ci de réparer le préjudice qui en résulte.

(2) La même obligation vise celui qui contrevient à une loi visant à protéger autrui. Lorsque la violation de la loi, eu égard à son contenu, n’implique pas nécessairement de faute, une indemnisation n’est due que si une faute a été commise ».

12.

L’article 1004 du code civil, intitulé « Droit à cessation ou abstention de la part d’autrui », prévoit à son paragraphe 1 :

« Si l’atteinte à la propriété résulte d’une cause autre que la dépossession ou la rétention, le propriétaire peut exiger de l’auteur du trouble qu’il cesse les agissements en question. Si une nouvelle atteinte à la propriété est à craindre, le propriétaire peut engager une action en abstention. » ( 6 ).

13.

Les faits, ainsi qu’ils sont présentés dans la décision de renvoi, sont les suivants :

14.

IP a formé un recours devant le Landgericht (tribunal régional, Allemagne) afin que Quirin soit condamnée à s’abstenir, à l’avenir, de procéder, par elle-même ou par l’intermédiaire de tiers, à un traitement des données à caractère personnel le concernant en rapport avec sa candidature, « dès lors que le traitement en question consisterait à faire se reproduire ce qu’il s’est passé avec l’envoi du message via le portail Xing […] le 23 octobre 2018 ». Il a également demandé des dommages-intérêts d’au moins 2500 euros au titre du préjudice moral ( 7 ).

15.

Le Landgericht (tribunal régional) a fait partiellement droit au recours en ce qu’il a condamné Quirin à l’abstention demandée par IP et à verser à ce dernier des dommages-intérêts d’un montant de 1000 euros, majoré des intérêts.

16.

Quirin a formé un appel contre le jugement de première instance devant l’Oberlandesgericht (tribunal régional supérieur, Allemagne), lequel n’y a fait droit que partiellement en ce qu’il a infirmé l’octroi de dommages-intérêts et rejeté le recours pour le surplus.

17.

Selon la juridiction d’appel :

18.

IP conteste cet arrêt par son pourvoi en Revision et poursuit l’intégralité de ses prétentions. Pour sa part, dans son pourvoi en Revision, Quirin demande le rejet total du recours.

19.

Dans ce contexte, le Bundesgerichtshof (Cour fédérale de justice, Allemagne) a posé six questions préjudicielles à la Cour, dont je reproduis les première, deuxième, troisième et sixième ( 8 ), lesquelles sont formulées en ces termes :

[…]

20.

La demande de décision préjudicielle a été enregistrée au greffe de la Cour le 7 novembre 2023.

21.

IP, Quirin et la Commission européenne ont présenté des observations écrites. La tenue d’une audience n’a pas été jugée nécessaire.

22.

À la demande de la Cour, les présentes conclusions se limiteront aux première, deuxième, troisième et sixième questions préjudicielles.

23.

La juridiction de renvoi souhaite savoir si, lorsqu’un traitement de données à caractère personnel illicite au sens du RGPD a été opéré, la personne concernée peut, sur le fondement de l’article 17, de l’article 18 ou de toute autre disposition du RGPD, exiger du responsable du traitement qu’il s’abstienne (Anspruch auf Unterlassung) « de toute nouvelle transmission illicite, si elle ne lui demande pas [d’effacer ces données] ».

24.

Les doutes de la juridiction de renvoi semblent découler des différents points de vue exprimés dans la doctrine et la jurisprudence allemandes sur le (prétendu) droit d’exiger, par voie judiciaire, que le responsable du traitement s’abstienne, à l’avenir, de certains traitements illicites de données à caractère personnel, semblables à ceux déjà effectués auparavant.

25.

L’absence de reconnaissance explicite dudit droit dans le RGPD serait à l’origine de ce débat. Une telle omission signifierait, pour certains, qu’un tel droit n’existe pas dans le RGPD lui-même, alors que, pour d’autres, il pourrait être déduit de l’article 17 ou de l’article 18 de ce règlement ( 9 ).

26.

Parmi les partisans de la première position, il existe en outre une autre divergence de vues. Selon certains, le RGPD établit un système fermé, qui empêcherait d’invoquer le droit national pour étayer la demande d’abstention. D’autres, à l’instar de la juridiction de première instance en l’espèce, soutiennent la thèse inverse.

27.

Certes, le RGPD ne prévoit pas explicitement un droit de la personne concernée à ce que le responsable d’un traitement illicite s’abstienne de le reproduire. Cependant, aux fins d’interpréter une disposition du droit de l’Union, il y a lieu de tenir compte non seulement de ses termes, mais également du contexte dans lequel elle s’inscrit ainsi que des objectifs et de la finalité que poursuit l’acte dont elle fait partie et, éventuellement, de sa genèse ( 10 ).

28.

Dans les développements qui suivent, je procéderai à l’analyse de la première question préjudicielle à la lumière de ces critères herméneutiques.

29.

À l’instar de la Commission ( 11 ), je considère que le droit de la personne concernée d’exiger (du responsable du traitement de ses données à caractère personnel) l’absence de réitération d’un traitement illicite, lorsqu’un tel traitement a déjà eu lieu auparavant, peut être déduit du RGPD lui-même et, en particulier, de l’article 5, paragraphe 1, sous a), et de l’article 6, paragraphe 1, de ce règlement, lus conjointement avec son article 79, paragraphe 1.

30.

Je comprends les réserves que ce point de vue peut susciter, puisque les articles 5 et 6 du RGPD figurent dans le chapitre II (intitulé « Principes ») de ce règlement et non pas dans son chapitre III spécifiquement consacré aux « [d]roits de la personne concernée ». De prime abord, on pourrait considérer que le catalogue des droits de la personne concernée protégés par le RGPD se limite aux droits énumérés au chapitre III de ce règlement.

31.

Toutefois, ces réserves ne me semblent pas insurmontables.

32.

Sous l’intitulé « Principes », le chapitre II du RGPD ne se limite pas à des déclarations programmatiques ou simplement utiles pour l’interprétation d’autres règles. Au contraire, ce chapitre établit des obligations légales pour tous les destinataires du RGPD. Ces obligations ont, en toute logique, pour contrepartie soit des intérêts subjectifs qui méritent d’être protégés, soit, selon le cas, de véritables droits des personnes concernées ( 12 ).

33.

L’article 5, paragraphe 1, du RGPD énonce des principes obligatoires et directement contraignants ( 13 ). Le paragraphe 2 de cet article confirme le caractère normatif de ces principes, en ce qu’il traduit le « respect du paragraphe 1 » en un devoir matériel imposé spécifiquement au responsable du traitement ( 14 ). En outre, la violation des « principes de base d’un traitement » est passible d’amendes ( 15 ).

34.

Situé plus haut dans la hiérarchie des normes, l’article 8 de la charte des droits fondamentaux de l’Union européenne, après avoir proclamé le droit à la protection des données à caractère personnel, exige, à son paragraphe 2, que le traitement de ces données remplisse certaines conditions (« [c]es données doivent être traitées loyalement, à des fins déterminées et sur la base du consentement de la personne concernée ou en vertu d’un autre fondement légitime prévu par la loi ») qui en garantissent la licéité.

35.

La violation, par le responsable du traitement, de l’un des principes énoncés aux articles 5 et 6 du RGPD a pour conséquence que ce traitement est illicite. De même, un traitement illicite de données à caractère personnel porte atteinte au droit à la protection des données à caractère personnel.

36.

Je ne veux pas dire par là que toute violation des règles du RGPD entraîne, automatiquement, l’illicéité du traitement des données à caractère personnel ( 16 ). Toutefois, lorsque le non-respect du RGPD est d’une ampleur telle qu’il porte atteinte, en lui-même, aux principes directeurs du traitement, l’illicéité de ce dernier implique, je le répète, la violation du droit à la protection des données à caractère personnel.

37.

En ce qui concerne le principe de licéité du traitement, la Cour :

38.

Il existe donc, en tant que contrepartie immédiate des exigences prévues à l’article 5, paragraphe 1, sous a), et à l’article 6, paragraphe 1, du RGPD, un droit de la personne concernée à ce que tout traitement de ses données à caractère personnel soit licite. À mon sens, il s’agit là de la prémisse dont il convient de partir, bien que ce droit n’apparaisse pas explicitement dans le chapitre III du RGPD.

39.

En effet, si le chapitre III du RGPD, consacré aux droits de la personne concernée, ne contient pas, en tant que telle, la reconnaissance du droit à ce que le traitement des données personnelles de cette personne soit licite, cela est dû au fait qu’une telle reconnaissance expresse n’est pas nécessaire ; la lecture des articles 5 et 6 du RGPD suffit pour conclure que ce droit est présumé.

40.

Il n’était pas nécessaire, je le répète, de rendre explicite dans le RGPD, en sus de ce qui est déjà énoncé à son article 5, un droit à ce que tout traitement de données à caractère personnel repose sur un fondement légitime ( 20 ). Dans un souci d’uniformité et pour la sécurité juridique de tous les intéressés, il suffisait de préciser et de décrire ces fondements dans le RGPD lui-même.

41.

De surcroît, je ne suis pas certain que les droits de la personne concernée soient uniquement ceux précisés au chapitre III du RGPD. Dans ce règlement, on peut trouver d’autres droits dont l’exercice doit être facilité, en premier lieu, par le responsable du traitement ( 21 ). Par exemple, le droit de retirer le consentement est prévu à l’article 7, paragraphe 3, du RGPD, qui ne figure pas en tant que tel au chapitre III de ce règlement.

42.

À mon sens, le droit de la personne concernée d’exiger du responsable du traitement qu’il ne réitère pas un traitement illicite, analogue à celui effectué auparavant, peut être considéré comme étant le corollaire du droit de cette personne concernée à ce que tout traitement de ses données à caractère personnel soit licite.

43.

Ce droit (jus) est assorti d’un mécanisme de réaction judiciaire (actio) indispensable aux fins du RGPD et qui est visé à l’article 79 de ce règlement. S’il en était autrement, la protection juridique des données à caractère personnel serait imparfaite.

44.

Reconnaître à la personne concernée le droit d’exiger (le cas échéant devant un juge) l’absence de répétition d’un traitement illicite de ses données relève de l’objectif, énoncé au considérant 10 du RGPD, d’assurer un niveau élevé de protection des personnes physiques à l’égard du traitement de leurs données à caractère personnel dans l’Union. Le considérant 11 de ce règlement indique, en outre, qu’une protection effective des données à caractère personnel exige de renforcer les droits des personnes concernées ( 22 ).

45.

Parmi les pouvoirs de l’autorité de contrôle prévus à l’article 58, paragraphe 2, sous d) et f), du RGPD figurent, respectivement, celui d’ordonner que les opérations de traitement soient mises en conformité avec le RGPD de manière spécifique et celui d’imposer des limitations temporaires ou définitives à des traitements de données, y compris de les interdire. Une réclamation de la personne concernée en vertu de l’article 77, paragraphe 1, du RGPD peut déclencher la mise en œuvre de telles actions.

46.

L’attribution de ces pouvoirs à l’autorité de contrôle est pleinement compatible avec la possibilité pour la personne concernée de saisir une juridiction, si elle l’estime opportun, afin d’obtenir une protection effective de ses droits lésés. À cette fin, la personne concernée peut intenter une action judiciaire contre le responsable du traitement, au titre de l’article 79, paragraphe 1, du RGPD ( 23 ). Rien ne s’oppose à ce que, parmi les prétentions formulées dans le cadre de cette action, figure une demande visant à ce qu’il soit ordonné au responsable du traitement de ne pas réitérer un traitement illicite.

47.

À la lumière de ce qui précède, j’estime que la personne concernée dispose à la fois du droit (jus) à ce que le responsable du traitement s’abstienne de réitérer un traitement illicite au regard du RGPD et de la possibilité de saisir une juridiction (actio) afin que cette dernière impose à ce responsable ledit devoir d’abstention.

48.

Une demande en ce sens de la personne concernée est conforme au contenu caractéristique de l’article 79, paragraphe 1, du RGPD, ce qui signifie qu’elle peut faire partie des mécanismes de protection juridictionnelle effective que ce règlement ouvre à cette personne ( 24 ). Il convient de tenir compte du fait que la réparation, en tant que remède aux dommages déjà causés par la violation du RGPD, est spécifiquement régie par l’article 82 de ce règlement et que sa fonction est « exclusivement compensatoire », et non dissuasive ou punitive ( 25 ).

49.

Contrairement à la thèse que je préconise, Quirin fait valoir ( 26 ) que, au cours du processus d’élaboration du RGPD, une proposition de la Commission selon laquelle « [l]es États membres veillent à ce que les voies de recours disponibles dans le droit national permettent l’adoption rapide de mesures, y compris par voie de référé, visant à mettre un terme à toute violation alléguée et à prévenir toute nouvelle atteinte aux intérêts concernés » n’a en fin de compte pas été adoptée ( 27 ).

50.

La disparition de ce paragraphe lors de son examen par le Conseil de l’Union européenne ne me semble toutefois indiquer ni une intention du législateur de ne « pas intégrer de tels droits à l’adoption de mesures d’urgence ou à la prévention de dommages supplémentaires dans la version finale du RGPD » ( 28 ), ni un oubli ( 29 ). Je crois plutôt que les modifications apportées à la proposition de la Commission sur ce point reflètent la volonté que l’ensemble du chapitre VIII initial (intitulé « Recours, responsabilité et sanctions ») ait une structure plus correcte.

51.

En effet, sous leurs intitulés respectifs (« Droit à un recours juridictionnel contre un responsable du traitement ou un sous-traitant » et « Règles communes pour les procédures juridictionnelles »), les articles 75 et 76 de la proposition régissaient une pluralité de cas de figure dépourvus de toute cohésion ( 30 ). Dans la nouvelle structure du chapitre, le droit à la protection juridictionnelle des droits de la personne concernée a été repris à l’article 79 du RGPD, qui, ainsi que l’on peut logiquement le supposer, couvre, en tant qu’expressions caractéristiques d’un recours effectif ( 31 ), les actions visant à empêcher la réitération d’un traitement illicite de données à caractère personnel.

52.

La juridiction de renvoi formule sa première question préjudicielle en faisant référence aux articles 17 et 18 ou à « toute autre disposition [du] RGPD » en tant que fondements potentiels du droit de la personne concernée d’exiger du responsable du traitement qu’il s’abstienne de réitérer une transmission illicite des données à caractère personnel la concernant.

53.

Pour ma part, ainsi que je l’ai précédemment indiqué dans les présentes conclusions, je considère que ce fondement se trouve dans les articles 5 et 6 du RGPD, lus en combinaison avec l’article 79 de ce règlement ; il n’est donc pas nécessaire d’examiner l’incidence des articles 17 et 18 dudit règlement sur ce point.

54.

Toutefois, dans un souci d’exhaustivité, je me pencherai, dans les développements qui suivent, sur ces deux dispositions. J’indiquerai les raisons qui, à mon sens, s’opposent à la déduction d’un tel droit à partir :

55.

De manière générale ( 34 ), la personne concernée jouit, à l’égard du responsable du traitement, tant du droit à l’effacement des données à caractère personnel ayant fait l’objet d’un traitement illicite [article 17, paragraphe 1, sous d), du RGPD] que du droit à la limitation du traitement [article 18, paragraphe 1, sous b), du RGPD] lorsque celui-ci est illicite et que la personne concernée, s’opposant à l’effacement des données, exige à la place une telle limitation.

56.

À mon sens, aucune de ces deux dispositions n’est, en soi, suffisante pour fonder le droit de la personne concernée à ce que le responsable du traitement s’abstienne de réitérer un traitement illicite (semblable à celui déjà effectué) :

57.

Le libellé de l’article 17 du RGPD prévoit le droit à l’effacement des données à caractère personnel et le droit à l’oubli. À son paragraphe 1, cet article établit le droit de la personne concernée d’obtenir l’effacement de données à caractère personnel la concernant ainsi que les motifs pour lesquels ce droit peut être exercé ( 37 ). Lorsque l’un de ces motifs s’applique, le responsable du traitement doit effacer les données « dans les meilleurs délais ».

58.

Interpréter l’article 17 de manière à y inclure une demande de la personne concernée autre que l’effacement des données à caractère personnel traitées irait à l’encontre des termes de cette disposition et serait sans rapport avec son objet.

59.

Cette interprétation se heurte également à des difficultés tenant à la structure du chapitre III du RGPD : au sein de celui-ci, d’autres articles prévoient le droit de limiter le traitement des données sans effacer celles-ci ( 38 ). Considérer que l’article 17 répond également à cette finalité risquerait de priver ces autres articles de leur effet utile.

60.

Cette interprétation étant dès lors exclue, il ne me semble pas logique de déduire de l’article 17 du RGPD un droit d’obtenir que le responsable du traitement détenteur des données s’abstienne, à l’avenir, de réaliser un traitement spécifique de celles-ci. Par définition, si le responsable du traitement obéit à l’ordre d’effacer les données, il ne dispose plus de ces dernières et ne peut plus, de fait, les traiter ( 39 ).

61.

L’article 18 du RGPD ne protège pas non plus le droit de la personne concernée à ce que le responsable du traitement s’abstienne de réitérer un traitement illicite de ses données à caractère personnel, analogue à celui déjà effectué.

62.

Sous l’intitulé « Droit à la limitation du traitement », l’article 18 du RGPD confère à la personne concernée des pouvoirs alternatifs à celui d’exiger l’effacement de ses données à caractère personnel. Il s’agit de pouvoirs qui lui sont attribués avec un contenu précis, sous certaines conditions et pour une durée limitée. L’article 18 du RGPD permet également à la personne concernée de s’opposer à l’effacement de ces données.

63.

L’objectif de l’article 18 du RGPD est de concilier les intérêts de la personne dont les données font l’objet d’un traitement et ceux du responsable de celui-ci, en cas de désaccord entre eux sur le point de savoir si ces données à caractère personnel doivent être rectifiées [paragraphe 1, sous a)] ou supprimées [paragraphe 1, sous b) et c)], ou sur l’intérêt qui prévaut en cas d’opposition de la personne concernée à un traitement en vertu de l’article 21, paragraphe 1, du RGPD [paragraphe 1, sous d)].

64.

L’exercice du droit à la limitation du traitement a pour conséquence que les « données faisant l’objet d’une limitation » ne sont ni rectifiées ni effacées ( 40 ), mais que le seul traitement possible se limite à leur conservation ( 41 ), c’est-à-dire à leur stockage ( 42 ). Or, cette conservation est, en réalité, non pas une concession faite au responsable du traitement, mais une obligation pour celui-ci ( 43 ), laquelle s’accompagne d’une seconde obligation de prendre les mesures appropriées afin de garantir la première ( 44 ).

65.

La limitation du traitement au titre de l’article 18 du RGPD est temporaire ; sa durée est subordonnée à la réalisation de l’objectif pour lequel la personne concernée exerce son droit de limiter le traitement. Le caractère temporaire ne fait aucun doute dans les situations décrites à l’article 18, paragraphe 1, sous a) ( 45 ), c) ( 46 ) et d) ( 47 ), du RGPD, et il ressort également, à mon sens, de celle prévue au point b).

66.

En effet, l’article 18, paragraphe 1, sous b), du RGPD, dont le sens et la portée manquent certes de clarté ( 48 ), doit être interprété dans son contexte, à savoir en cohérence avec le reste de l’article 18, paragraphe 1, de ce règlement ( 49 ). Dans ce cadre, l’article 18, paragraphe 1, sous b), du RGPD va de pair avec l’article 18, paragraphe 1, sous c), de ce règlement, relatif à un traitement licite arrivé à son terme. Dans ce dernier cas, tout comme dans celui d’un traitement illicite, il n’est pas justifié que le responsable du traitement conserve les données au-delà de la durée nécessaire ( 50 ). Le fait de l’y contraindre, sur la base de l’opposition à l’effacement de ces données formulée par la personne concernée, ne peut être qu’une situation provisoire.

67.

Pour des raisons tenant également à la structure des règles, l’absence, à l’article 18, paragraphe 1, sous b), du RGPD, de toute référence aux motifs invoqués par la personne concernée pour s’opposer à l’effacement de ses données (et pour exiger, à la place, la limitation de leur utilisation) ne doit pas être interprétée comme une admission automatique de n’importe quel motif, et encore moins comme l’admission de ce qu’aucun motif n’est nécessaire. Au contraire, le droit de demander la limitation du traitement au titre de l’article 18, paragraphe 1, sous b), du RGPD doit répondre à un objectif fondé et légitime ( 51 ).

68.

La conservation des données à caractère personnel représente une charge pour le responsable du traitement, laquelle n’est pas exempte de risques, de sorte qu’elle ne devrait lui être imposée que pour un certain temps, dans les cas où l’effacement de ces données porterait préjudice aux intérêts légitimes de la personne concernée.

69.

Je considère donc qu’il ne saurait non plus être déduit de l’article 18, paragraphe 1, sous b), du RGPD un droit de la personne concernée à ce que le responsable du traitement s’abstienne de répéter un traitement illicite de ses données à caractère personnel. Cette disposition vise à empêcher, temporairement et pour répondre à des motifs légitimes propres à la personne concernée, que le responsable du traitement exécute l’obligation légale qui lui incombe du fait de l’illicéité du traitement, en supprimant sans délai les données à caractère personnel concernées.

70.

La troisième question préjudicielle est posée dans l’hypothèse où une réponse négative serait apportée à la première question préjudicielle. Étant donné, selon moi, que les articles 5, 6 et 79 du RGPD, interprétés dans le sens que j’ai indiqué, constituent un fondement suffisant pour justifier le droit de la personne concernée d’exiger du responsable du traitement qu’il s’abstienne de toute nouvelle transmission illicite de ses données à caractère personnel, il n’est pas nécessaire d’examiner s’il serait possible de parvenir à la même solution sur le fondement des dispositions du droit national.

71.

La deuxième question préjudicielle repose sur la prémisse selon laquelle le RGPD confère à la personne concernée le droit à ce que le responsable du traitement s’abstienne d’effectuer un traitement illicite des données à caractère personnel, semblable à celui qui a déjà été effectué auparavant.

72.

Sur la base de cette prémisse, la juridiction de renvoi souhaite savoir si ce droit dépend de l’existence d’un risque de récidive et, dans l’affirmative, si ce risque est « présum[é] […] en raison de la précédente violation du RGPD ».

73.

Dans la mesure où le RGPD ne définit pas le régime des actions en abstention visant à prévenir la réitération du traitement illicite des données à caractère personnel, il appartient à chaque État membre, en vertu du principe de l’autonomie procédurale, d’encadrer ces actions.

74.

Le régime de ces actions ne doit pas être moins favorable que celui applicable aux recours similaires prévus pour la protection des droits tirés de l’ordre juridique interne (principe d’équivalence) ni rendre en pratique impossible ou excessivement difficile l’exercice des droits conférés par l’ordre juridique de l’Union (principe d’effectivité) ( 52 ).

75.

Il ne ressort pas des informations fournies dans la décision de renvoi que les règles nationales relatives à l’exercice d’une action visant à éviter la réitération d’un traitement illicite de données à caractère personnel méconnaissent ces deux principes :

76.

La juridiction de renvoi demande l’interprétation de l’article 82, paragraphe 1, du RGPD, dans l’hypothèse, à nouveau, où il serait considéré que la personne concernée jouit d’un droit d’exiger, par voie judiciaire, l’abstention de tout traitement illicite de ses données à caractère personnel, semblable à celui déjà effectué auparavant.

77.

Elle souhaite notamment savoir si « le fait que la personne concernée, parallèlement à son droit à réparation, puisse exiger de l’auteur de la violation qu’il s’abstienne de commettre toute nouvelle violation, peut être pris en compte pour réduire le montant du dommage moral indemnisable lors de son évaluation ».

78.

À la lecture de l’arrêt du Bundesgerichtshof (Cour fédérale de justice) cité dans la décision de renvoi ( 53 ), je comprends que, en Allemagne, la réparation pécuniaire (Geldentschädigung) pour le préjudice moral en raison d’une violation des droits généraux de la personne (allgemeine Persönlichkeitsrechte) répond à des fonctions de satisfaction de la victime ainsi que de prévention. Dans ce contexte, une injonction d’abstention émise à des fins préventives pourrait avoir des répercussions sur la réparation, soit en ce qu’elle en influencerait le montant, soit encore en ce qu’elle exclurait cette réparation, dans la mesure où cette injonction assure déjà la protection nécessaire ( 54 ).

79.

D’après la juridiction de renvoi, « [d]es interrogations sont permises sur le point de savoir si […] ces principes peuvent […] être transposés au droit à réparation du dommage moral prévu à l’article 82, paragraphe 1, du RGPD […] ».

80.

L’indemnisation des dommages causés par un traitement illicite de données, telle qu’exigée à l’article 82, paragraphe 1, du RGPD, s’inspire d’une conception différente de celle qui ressort de la sixième question préjudicielle. C’est pourquoi, à mon sens, la réponse à cette question doit être négative.

81.

L’indemnisation prévue à l’article 82, paragraphe 1, du RGPD couvre tous les dommages, matériels et moraux, subis du fait d’une violation de ce règlement. La notion de « dommage moral », au sens de cette disposition, doit recevoir une définition autonome et uniforme ( 55 ).

82.

La Cour a interprété la notion de « dommage moral » de manière large. Elle a en particulier jugé que « la crainte d’un potentiel usage abusif de ses données à caractère personnel par des tiers qu’une personne concernée éprouve à la suite d’une violation du même règlement est susceptible, à elle seule, de constituer un “dommage moral”, au sens du même article 82, paragraphe 1 » ( 56 ).

83.

D’après cette interprétation, l’article 82, paragraphe 1, du RGPD n’opère pas de distinction selon que l’usage abusif par des tiers des données à caractère personnel s’est déjà produit à la date de la demande d’indemnisation, ou que le dommage moral allégué par le requérant est rattaché à la peur ressentie par ce dernier qu’un tel usage se produise à l’avenir ( 57 ).

84.

Une fois que la victime démontre qu’elle a effectivement subi un dommage, elle a le droit à une indemnité visant à compenser intégralement ce préjudice ( 58 ) quelle que soit son ampleur ( 59 ).

85.

Selon une jurisprudence constante de la Cour, la réparation intégrale poursuit un objectif exclusivement compensatoire. Bien que la Cour reconnaisse que le droit à demander réparation d’un préjudice est également de nature à décourager la réitération de comportements illicites, elle considère que la finalité de la réparation prévue à l’article 82 du RGPD n’est pas dissuasive ou punitive ( 60 ).

86.

À la lumière de cette jurisprudence, il peut être affirmé que :

87.

Demander une injonction d’abstention afin qu’un traitement de données contraire au RGPD ne soit pas répété présuppose qu’il existe un certain risque que ce traitement illicite soit réitéré à l’avenir. Si la mesure est adoptée, ce risque sera écarté et il sera difficile, afin de demander efficacement des dommages-intérêts, de justifier une crainte fondée sur la possibilité de reproduction du traitement illicite. En revanche, l’injonction d’abstention ne répare pas le préjudice moral subi par le passé, avant l’adoption de cette mesure, et lié à cette crainte.

88.

En résumé, lors de la quantification du montant des dommages immatériels résultant d’un traitement illicite et devant être réparés parce qu’ils ont déjà eu lieu, on ne saurait considérer comme une circonstance de nature à réduire ce montant le fait que la personne concernée, outre le droit à l’indemnisation, ait également le droit d’exiger, pour l’avenir, l’abstention de répéter un traitement illicite semblable à celui déjà effectué.

89.

Eu égard à ce qui précède, je propose de répondre aux première, deuxième, troisième et sixième questions préjudicielles posées par le Bundesgerichtshof (Cour fédérale de justice, Allemagne) de la manière suivante :

L’article 5, paragraphe 1, sous a), l’article 6, paragraphe 1, l’article 79, paragraphe 1, et l’article 82, paragraphe 1, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doivent être interprétés en ce sens que :