Considérant 146
Règlement général sur la protection des données · UE 2016/679
| (146) | Le responsable du traitement ou le sous-traitant devrait réparer tout dommage qu'une personne peut subir du fait d'un traitement effectué en violation du présent règlement. Le responsable du traitement ou le sous-traitant devrait être exonéré de sa responsabilité s'il prouve que le dommage ne lui est nullement imputable. La notion de dommage devrait être interprétée au sens large, à la lumière de la jurisprudence de la Cour de justice, d'une manière qui tienne pleinement compte des objectifs du présent règlement. Cela est sans préjudice de toute action en dommages-intérêts fondée sur une infraction à d'autres règles du droit de l'Union ou du droit d'un État membre. Un traitement effectué en violation du présent règlement comprend aussi un traitement effectué en violation des actes délégués et d'exécution adoptés conformément au présent règlement et au droit d'un État membre précisant les règles du présent règlement. Les personnes concernées devraient recevoir une réparation complète et effective pour le dommage subi. Lorsque des responsables du traitement ou des sous-traitants participent à un même traitement, chaque responsable du traitement ou chaque sous-traitant devrait être tenu responsable pour la totalité du dommage. Toutefois, lorsque des responsables du traitement et des sous-traitants sont concernés par la même procédure judiciaire, conformément au droit d'un État membre, la réparation peut être répartie en fonction de la part de responsabilité de chaque responsable du traitement ou de chaque sous-traitant dans le dommage causé par le traitement, à condition que le dommage subi par la personne concernée soit entièrement et effectivement réparé. Tout responsable du traitement ou tout sous-traitant qui a réparé totalement le dommage peut par la suite introduire un recours contre d'autres responsables du traitement ou sous-traitants ayant participé au même traitement. |
Au Luxembourg, l'action en reparation fondee sur l'article 82 RGPD est portee devant le tribunal d'arrondissement civil, et la loi du 1er aout 2018 portant organisation de la CNPD ne deroge pas au principe de responsabilité solidaire du considérant 146. La jurisprudence luxembourgeoise s'aligne sur la CJUE et admet le dommage moral pur, même sans seuil de gravite. Pour les acteurs du secteur financier, la CSSF peut en outre prononcer des sanctions administratives cumulatives en cas de manquement aux exigences de gouvernance des données, sans absorber la responsabilité civile RGPD.
Pratique Luxgap : nous recommandons de documenter votre chaîne de preuves en français ou en luxembourgeois pour faciliter sa production devant le tribunal d'arrondissement, et de souscrire une assurance RC cyber qui couvre explicitement les condamnations article 82 et les frais de recours contre sous-traitants.
