Protection des données : la violation du RGPD exige la preuve d’un dommage réel

La simple violation du règlement général sur la protection des données ouvre-t-elle droit à réparation du préjudice moral sans que le demandeur établisse que cette violation lui a causé un dommage? La violation du RGPD n’ouvre droit à réparation que si elle a causé un dommage matériel ou moral. La cour d’appel a violé ce principe en présumant un préjudice sans que le salarié l’établisse.

La violation du règlement général sur la protection des données (RGPD) ne suffit pas, à elle seule, à ouvrir droit à réparation. L’article 82, paragraphe 1, du règlement 2016/679 exige que la personne ayant subi un dommage établisse non seulement la violation des dispositions du règlement, mais également que cette violation lui a causé un dommage matériel ou moral. La Cour de justice de l’Union européenne a précisé que la réparation remplit une fonction compensatoire et non punitive, et que le dommage doit être concrètement établi. En l’espèce, une cour d’appel a accordé des dommages et intérêts en retenant que le non-respect du RGPD avait nécessairement causé un préjudice au salarié, sans que celui-ci n’ait démontré l’existence ou l’étendue de ce préjudice. La Cour de cassation a cassé cette décision en rappelant que la simple violation du règlement n’ouvre pas droit à réparation et qu’il appartient au juge d’apprécier si le demandeur établit que la violation a causé un dommage. Le praticien doit exiger du demandeur qu’il établisse précisément le dommage subi, qu’il soit matériel ou moral, et ne peut pas présumer l’existence d’un préjudice du seul fait de la violation du RGPD. Cette exigence de preuve du dommage s’applique même en cas de violation caractérisée du règlement.

⬇️Télécharger la décision (version officielle)

La violation du RGPD ne suffit pas, à elle seule, à ouvrir droit à réparation. L’article 82, paragraphe 1, du règlement 2016/679 exige que la personne ayant subi un dommage établisse non seulement la violation, mais également que cette violation lui a causé un dommage matériel ou moral. La réparation remplit une fonction compensatoire et non punitive. Le dommage doit être concrètement établi.

Un salarié a été engagé par une société de services financiers le 4 janvier 2010 en qualité d’assistant analyste quantitatif. Il exerçait en dernier lieu les fonctions d’analyste en stratégies algorithmiques. Son licenciement a été notifié le 29 mars 2019 et il a saisi la juridiction prud’homale le 20 septembre 2019.

La cour d’appel de Paris a condamné l’employeur à verser au salarié 5 000 euros à titre de dommages et intérêts pour exécution déloyale du contrat de travail. Elle a retenu que le non-respect des dispositions du règlement général sur la protection des données aurait nécessairement causé un préjudice au salarié.

La Cour de cassation a cassé cette condamnation au motif que la simple violation du règlement général sur la protection des données n’ouvre pas, à elle seule, droit à réparation. Il appartient au juge d’apprécier si le salarié établit que la violation a causé un dommage matériel ou moral. La cour d’appel a violé le droit de l’Union européenne en présumant l’existence d’un préjudice sans que le salarié l’ait démontré. L’affaire a été renvoyée devant la cour d’appel de Paris autrement composée.

• Contrat d’engagement du 4 janvier 2010 de M. [P] en qualité d’assistant analyste quantitatif par la société Natixis
• Licenciement notifié le 29 mars 2019
• Saisine de la juridiction prud’homale le 20 septembre 2019
• Preuves fournies par l’employeur permettant l’identification du salarié
• Traitement de données à caractère personnel contraire aux dispositions du RGPD
• Arrêt de la cour d’appel de Paris du 30 octobre 2024 condamnant l’employeur à dommages et intérêts

L’employeur voit annuler partiellement la condamnation en dommages-intérêts pour violation du RGPD : la Cour de cassation estime que la simple violation du règlement n’ouvre pas droit à réparation et que le salarié devait établir un dommage matériel ou moral concret. L’employeur reste néanmoins condamné aux dépens et à une indemnité au titre de l’article 700 pour d’autres chefs de condamnation.

• Cassation de la condamnation au paiement de 5 000 euros de dommages-intérêts pour violation du RGPD
• Renvoi devant la cour d’appel de Paris pour réexamen de l’existence d’un dommage matériel ou moral
• Maintien de la condamnation aux dépens et au paiement d’une somme en application de l’article 700
• Obligation pour le salarié de prouver le dommage concret causé par la violation du RGPD
• Application des principes d’équivalence et d’effectivité du droit de l’Union européenne
• Nécessité d’une réparation compensatoire et non punitive du préjudice moral

À faire

• Établir violation du RGPD et dommage matériel ou moral distinct
• Appliquer jurisprudence CJUE sur droit à réparation du RGPD
• Apprécier si violation a causé dommage concret au demandeur
• Distinguer fonction compensatoire de fonction punitive
• Exiger preuve du préjudice subi, pas simple violation du règlement

À éviter

• Présumer préjudice moral du seul fait de violation du RGPD
• Accorder dommages-intérêts sans établir dommage matériel ou moral
• Confondre violation de règlement et droit à réparation automatique
• Ignorer que simple violation ne suffit pas pour indemnisation
• Appliquer règles nationales sans respecter principes d’équivalence et d’effectivité

Le droit à réparation en cas de violation du règlement général sur la protection des données

Aux termes de l’article 82, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016, toute personne ayant subi un dommage matériel ou moral du fait d’une violation de ce règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi.

Cependant, la simple violation des dispositions du règlement général sur la protection des données ne suffit pas, à elle seule, pour conférer un droit à réparation. La personne demandant réparation est tenue d’établir non seulement la violation des dispositions du règlement, mais également que cette violation lui a causé un dommage matériel ou moral concret. Le droit à réparation remplit une fonction compensatoire et non punitive : la réparation pécuniaire doit permettre de compenser intégralement le préjudice concrètement subi du fait de la violation.

Aux fins de la fixation du montant des dommages-intérêts, les juges nationaux doivent appliquer les règles internes de chaque État membre relatives à l’étendue de la réparation pécuniaire, pour autant que les principes d’équivalence et d’effectivité du droit de l’Union soient respectés. Il n’existe pas de condition de gravité minimale du préjudice moral pour ouvrir droit à réparation.

🛡️ Ce point est une analyse de jurisprudence. Pour une consultation personnalisée, contactez les Avocats Partenaires & Abonnés LegalPlanet

🇫🇷 Point juridique LegalPlanet.pro  – Cour de cassation, Chambre sociale, 24 juin 2026, Pourvoi n° 24-22.792 – Thématiques associées : RGDP / CNIL — Protection des données —  Paternité des données brutes : Ministère de la justice / Cour de cassation — Licence Open Data — Date de dernière mise à jour des données réutilisées 30 juillet 2026.