Dans une décision du 24 juin 2026 (n°24-22.792), la chambre sociale de la Cour de cassation était amenée à se prononcer sur les conséquences d’une violation par une entreprise du RGPD.
Au cas d’espèce, la Cour d’appel de Paris avait condamné une Société au paiement de 5000 euros à titre de dommages et intérêts pour exécution déloyale du contrat de travail. Le salarié fondait sa demande uniquement sur le non-respect des dispositions du RGPD. En effet les preuves produites par l’employeur au soutien du licenciement étaient illicites, car il s’agissait de données personnelles du salarié recueillies en violation des dispositions du RGPD, – ce dernier n’ayant pas consenti au traitement de ses données par la société tierce, mais recevables car leur obtention et leur production étaient indispensables et proportionnés à l’objectif poursuivi.
L’employeur contestait que la violation du RGPD puisse constituer un préjudice nécessaire et soutenait ainsi qu’il appartenait au salarié de démontrer l’existence et l’étendue de son préjudice.
La Cour de cassation casse l’arrêt d’appel au visa de l’article 82 paragraphe 1 du RGPD disposant que :
« Aux termes de ce texte, toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi. »
En se fondant sur les précédentes décisions de la CJUE ayant retenu que l’article 82 paragraphe 1 doit être interprété de la façon suivante :
– la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation ;
– il s’oppose à une règle ou une pratique nationale subordonnant la réparation d’un dommage moral, au sens de cette disposition, à la condition que le préjudice subi par la personne concernée ait atteint un certain degré de gravité ;
– aux fins de la fixation du montant des dommages-intérêts dus au titre du droit à réparation consacré à cet article, les juges nationaux doivent appliquer les règles internes de chaque État membre relatives à l’étendue de la réparation pécuniaire, pour autant que les principes d’équivalence et d’effectivité du droit de l’Union soient respectés (CJUE, 4 mai 2023, n° C/300-21, Österreichische Post).
– le droit à réparation prévu à cette disposition, notamment en cas de dommage moral, remplit une fonction compensatoire, en ce qu’une réparation pécuniaire fondée sur ladite disposition doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation de ce règlement, et non une fonction punitive ;
– la personne demandant réparation au titre de cette disposition est tenue d’établir non seulement la violation de dispositions de ce règlement, mais également que cette violation lui a causé un dommage matériel ou moral (CJUE, 25 janvier 2024, n° C-687/21, MediaMarktSaturn Hagen-Iserlohn GmbH).
Au cas d’espèce, la Cour d’appel n’ayant pas constaté le dommage matériel ou moral lié à la violation du RGPD, son arrêt est censuré.
Néanmoins, rien n’empêche le salarié de démontrer l’existence et l’étendue du préjudice résultant de la violation du RGPD et d’en obtenir réparation.
