Le 26 septembre 2024, la Cour de justice de l’Union européenne a rendu un arrêt dans l’affaire C-768/21, clarifiant le rôle et la marge d’appréciation des autorités de protection des données. Le litige portait sur la nécessité, ou non, d’adopter systématiquement des mesures correctrices (telles qu’une amende administrative) en cas de violation du RGPD.
Dans cette affaire, un client d’une caisse d’épargne allemande avait découvert qu’une employée avait accédé à ses données sans autorisation. La banque avait notifié l’incident à l’autorité compétente, mais pas directement le client. Saisie d’une réclamation, l’autorité de contrôle du Land avait conclu à l’absence de risque élevé (aucune copie ni transmission des données, mesures disciplinaires prises contre l’employée) et n’avait pas imposé de mesure corrective supplémentaire. Le client avait alors contesté cette décision devant le tribunal administratif de Wiesbaden, qui a interrogé la CJUE.
La Cour a rappelé que les autorités disposent d’une marge d’appréciation dans le choix des mesures correctrices : celles-ci ne doivent pas être systématiques, mais appropriées à la gravité de la violation, nécessaires pour rétablir la conformité et proportionnées. L’objectif du RGPD n’est pas punitif : il vise une application efficace et équitable du droit à la protection des données.
En l’espèce, la CJUE a validé l’approche de l’autorité allemande, estimant que les mesures internes prises par la banque étaient suffisantes. Cette jurisprudence renforce l’idée que les autorités de contrôle doivent agir avec discernement, en privilégiant une approche individualisée et proportionnée plutôt que des sanctions automatiques.
Source : CJUE, affaire C-768/21, arrêt du 26 septembre 2024.