CJUE 4-09-2025 (C-655/23) : injonction RGPD et dommage moral sans seuil

1. Résumé succinct

Parties : IP (demandeur) c/ Quirin Privatbank AG (défenderesse).
Juridiction : Cour de justice de l’Union européenne (première chambre). Date : 4 septembre 2025. N° d’affaire : C-655/23. EUR-Lex
Nature du litige : Traitements bancaires de données à caractère personnel ; demandes d’effacement/restriction (art. 17 et 18 RGPD), d’injonction « de ne pas faire » pour l’avenir, et d’indemnisation du dommage moral (art. 82 RGPD).
Effet direct sur la pratique/jurisprudence :

Clarifie la base juridique et les conditions d’une action en injonction visant à empêcher des traitements futurs illicites ;
Précise l’autonomie de la réparation du dommage moral (sans seuil de gravité) et les critères d’évaluation (exclusion d’un « barème-fautes » calqué sur l’art. 83 RGPD – amendes) ;
Articule cumul injonction / effacement / restriction / indemnisation et contrôle du juge national.

2. Analyse détaillée

Les faits 

Relation bancaire entre IP et Quirin Privatbank ; traitements de données personnelles de IP par la banque.

Grief : traitements illicites allégués ; le demandeur sollicite : (i) effacement (art. 17), (ii) restriction (art. 18), (iii) injonction de s’abstenir de tout traitement futur illicite, (iv) dommages-intérêts pour préjudice moral (art. 82).

La procédure

Renvoi préjudiciel par la Bundesgerichtshof (Allemagne) sur les articles 17, 18, 79, 82 et 84 RGPD (et articulation avec le droit procédural et des injonctions en droit allemand). Requête publiée au JOUE C 2024/1391. 

Questions : (1) base et conditions d’une injonction prohibitoire fondée sur le RGPD ; (2) portée du droit à un recours effectif (art. 79) ; (3) indemnisation du dommage moral (art. 82) et prise en compte éventuelle de la faute du responsable ; (4) effet d’une injonction sur l’évaluation du préjudice.

Contenu de la décision

Arguments des parties 

IP : cumul effacement/restriction + injonction + indemnisation ; reconnaissance d’un dommage moral propre ; efficacité/ dissuasion.

Banque : contestation des conditions de l’injonction générale pour l’avenir ; encadrement strict de l’art. 82 (lien de causalité, évaluation, absence d’automaticité).

Raisonnement de la CJUE

Injonction de s’abstenir (action de « ne pas faire ») :

Le RGPD (art. 17, 18, 79) permet d’obtenir, en plus des droits matériels (effacement/restriction), une injonction judiciaire prohibant tout traitement ultérieur illicite lorsque des éléments objectifs la justifient (risque de réitération, persistance d’un fondement illicite, etc.).

Cette injonction vise la mise en conformité ex ante ; elle n’exige pas de préjuger tous les futurs traitements mais peut être calibrée (finalités/catégories de données) par le juge national.

Recours effectif (art. 79) :

Le justiciable doit pouvoir obtenir toutes mesures utiles (injonction, effacement, restriction, information) pour faire cesser l’atteinte et prévenir sa répétition.

Dommage moral (art. 82) :

Pas de seuil de gravité : confirmé par l’arrêt Österreichische Post (C-300/21). Le demandeur doit établir un dommage et un lien causal avec une violation du RGPD, mais il n’est pas exigé d’atteindre un degré de gravité minimal. 

Appréciation du montant : relève des juridictions nationales, sous effectivité/équivalence, sans transposer les critères de l’art. 83 RGPD (amendes). Confirmation par PS (Adresse erronée), C-590/22, et Patērētāju tiesību aizsardzības centrs, C-507/23 (possibilité d’excuses comme modalité, si elles ont une utilité réparatrice et n’appauvrissent pas le droit à réparation). EUR-Lex+2EUR-Lex+2

Degré de faute : la faute du responsable peut être prise en compte uniquement au stade de l’évaluation (quantum) si et dans la mesure où le droit national le prévoit sans porter atteinte à l’effectivité du droit à réparation garanti par l’art. 82.

Cumul injonction/indemnisation : l’obtention d’une injonction n’éteint pas le droit à indemnisation ; le juge peut tenir compte in concreto de l’efficacité de l’injonction pour apprécier l’étendue du préjudice subsistant.

Solution retenue 

Le RGPD autorise une action tendant à interdire des traitements futurs illicites, en plus des droits à effacement/restriction (art. 17 et 18) et du recours effectif (art. 79).

L’indemnisation du dommage moral (art. 82) ne suppose aucun seuil, n’obéit pas aux critères de l’art. 83, et peut prendre en compte, pour le quantum, des éléments comme la faute ou la portée d’une injonction déjà prononcée, sous réserve d’effectivité.

3.  Références juridiques

3.1 Jurisprudence citée 

CJUE, 4 sept. 2025, C-655/23, IP c/ Quirin Privatbank AG —
CJUE, 4 mai 2023, C-300/21, UI c/ Österreichische Post AG 
CJUE, 20 juin 2024, C-590/22, PS (Adresse erronée) 
CJUE, 4 oct. 2024, C-507/23, A c/ Patērētāju tiesību aizsardzības centrs 
CJUE, 4 oct. 2024, C-21/23, Lindenapotheke (ND c/ DR) 
CJUE, 19 déc. 2024, C-65/23, MK c/ K GmbH 
CJUE, 3 avr. 2025, C-710/23, L. H. c/ Ministerstvo zdravotnictví 
CJUE, 30 avr. 2025, aff. jointes C-313/23, C-316/23, C-332/23, Inspektorat kam Visshia… 

3.2 Textes légaux 

Règlement (UE) 2016/679 (RGPD) — art. 17 (droit à l’effacement), art. 18 (restriction), art. 79 (recours effectif), art. 82 (responsabilité et droit à réparation), art. 83 (amendes), art. 84 (sanctions nationales). Version consolidée disponible sur EUR-Lex (référence officielle).

4. Analyse juridique approfondie

A. Injonction « de ne pas faire » et effectivité (art. 79, 17, 18)

La Cour consacre la possibilité, distincte des droits matériels (effacement/restriction), d’une mesure prohibitive visant l’avenir lorsque le contexte fait craindre la réitération d’un traitement illicite. Cette lecture pro-effectivité s’inscrit dans le prolongement de Lindenapotheke (ouverture des recours en concurrence/droit commun pour assurer l’effectivité du RGPD) et des décisions 2024-2025 sur l’accès/publication de données sensibles ou identifiantes.

B. Dommage moral (art. 82) : confirmation et précisions

Trilogie confirmée : Österreichische Post (pas de seuil), PS (Adresse erronée) (quantum autonome, pas de greffe des critères art. 83), Patērētāju (formes de réparation possibles si elles préservent l’effectivité). IP/Quirin harmonise ces lignes en admettant que la faute peut influencer le montant, sans devenir condition de principe du droit à réparation. 

C. Articulation avec d’autres champs : emploi, autorités publiques, registres

K GmbH (art. 88 RGPD) rappelle que des règles spécifiques (emploi) n’exonèrent jamais du respect des principes (art. 5) et bases (art. 6/9).
Ministerstvo zdravotnictví et Inspektorat montrent la vigilance de la CJUE lorsqu’une autorité publique diffuse/accède à des données personnelles : nécessité, proportionnalité, information de la personne, et définition du responsable/de l’autorité de contrôle. Ces éléments nourrissent l’appréciation d’une injonction prohibitive quand le responsable est une banque soumise à des obligations de conformité. EUR-Lex+3EUR-Lex+3EUR-Lex+3

5. Accompagnement personnalisé
Vous défendez un dossier données personnelles / banque / fintech (effacement, restriction, injonction, dommages-intérêts) ?

La SELARL Philippe GONET (Saint-Nazaire) peut :

Cartographier les traitements et qualifier les fondements (art. 6, 9 RGPD) ;

Monter une stratégie contentieuse combinant injonction ciblée + demandes art. 17/18 + réparation art. 82 ;

Chiffrer le dommage moral in concreto (sans seuil), en intégrant les enseignements Österreichische Post / PS / Patērētāju.