Les conclusions de l’avocat général ont été publiées le 11 avril 2024 et donnent des pistes de réponse.
La question préjudicielle posée à la Cour
La question porte sur le point de savoir si les autorités de contrôle nationales, maillon essentiel à la mise en œuvre du règlement, sont tenues d’intervenir lorsqu’on leur soumet une réclamation portant sur une violation du RGPD. Il s’agit également de savoir si elles sont obligées de prononcer une mesure en particulier, notamment une amende, dès lors que cette sanction est demandée par le requérant.
Une autorité allemande de contrôle, le commissaire à la protection des données et à la liberté de l’information pour un land, s’était vu soumettre une demande de condamnation en raison de la violation du RGPD par la Caisse d’épargne. Une des employées avait consulté les données personnelles du requérant à plusieurs reprises, sans y être habilitée.
Le commissaire avait refusé d’intervenir, malgré le constat d’une violation de la protection des données car la Caisse d’épargne avait déjà pris des mesures disciplinaires à l’encontre de l’employée concernée.
Le client de la Caisse d’épargne, victime de cette violation, a saisi une juridiction allemande, arguant de l’obligation qui s’imposait à l’autorité d’infliger une amende, sur le fondement du règlement européen. Une question préjudicielle a été posée à la Cour de justice sur ce point.
L’avocat général Pikamäe a remis ses conclusions et répond successivement à ces deux questions.
Inscrivez-vous à la newsletter Livv
et recevez chaque semaine des informations exclusives en droit des affaires. En savoir plus
Les autorités sont obligées de se prononcer sur les violations du RGPD
Selon l’avocat général, les autorités de contrôle sont obligées de se prononcer lorsqu’elles sont saisies. En effet, il en va de l’effectivité du droit de l’Union européenne qui commande une application systématique du règlement. Poser le principe inverse risquerait au contraire d’affaiblir le droit européen et plus particulièrement la protection des données à caractère personnel.
Les considérants du règlement le rappellent avec force, affirmant que les évolutions récentes :
« requièrent un cadre de protection des données solide et plus cohérent dans l'Union, assorti d'une application rigoureuse des règles, car il importe de susciter la confiance qui permettra à l'économie numérique de se développer dans l'ensemble du marché intérieur. »
Les autorités restent cependant libres du choix du remède le plus approprié, face au constat d’une violation.
Les autorités de contrôle ne sont en revanche pas obligées de prononcer une amende
C’est ce que soutient l’avocat général dans ses conclusions. Les mesures adoptées doivent toutefois respecter certains principes traditionnels : elles doivent être nécessaires, adaptées et proportionnées.
L’avis de l’avocat général n’a cependant aucune portée juridique. Il faudra donc attendre la décision de la Cour de justice de l’Union européenne pour connaître la réponse à cette question préjudicielle. Ce contentieux soulève plus largement la question de l’équilibre à trouver ente la recherche d’effectivité du droit de l’Union européenne qui pousse à son application uniforme et la marge laissée aux Etats membres dans sa mise en œuvre.
