Jurisprudence

En l’espèce, la juridiction du fond avait retenu qu’un manquement de l’employeur aux règles issues du RGPD causait nécessairement un préjudice au salarié concerné au titre de l’exécution déloyale du contrat de travail par l’employeur et ouvrait, de ce seul fait, droit à indemnisation.
La question posée à la Cour de cassation était donc de savoir si la seule constatation d’une violation du RGPD permettait d’accorder des dommages-intérêts, sans que soit caractérisé un dommage matériel ou moral distinctement établi.
La haute juridiction répond par la négative. Se fondant sur l’article 82, paragraphe 1, du règlement (UE) 2016/679, elle rappelle que la violation du règlement général sur la protection des données n'ouvre pas, à elle seule, droit à réparation et qu'il appartient à la juridiction d'apprécier si le salarié établissait que la violation de ce règlement qu'elle avait constatée avait causé au salarié un dommage matériel ou moral.
La Cour de cassation casse ainsi la décision d’appel pour avoir retenu l’existence d’un préjudice automatique, sans rechercher si le salarié rapportait effectivement la preuve d’un dommage résultant du manquement invoqué. Il en ressort que le contentieux social relatif aux données personnelles s’inscrit dans la logique classique du droit de la responsabilité : violation d’une règle, préjudice et lien de causalité doivent être établis de manière cumulative.