Le tribunal de première instance de Hong Kong a décidé d'accorder une indemnité au requérant pour les dommages-intérêts liés au RGPD.

Un tribunal allemand a statué qu'un candidat à un emploi qui a reçu un message de candidature confidentiel via le réseau social Xing en raison d'une erreur a droit à une indemnisation en vertu du règlement général sur la protection des données de l'Union européenne (RGPD). La Cour fédérale de justice (BGH) l'a confirmé dans sa décision datée de septembre 2025, rejetant la demande d'injonction contre une nouvelle utilisation abusive des données. L'affaire remonte à octobre 2018, lorsqu'un employé de Quirin-Bank a envoyé par erreur un message privé contenant des informations sensibles à un tiers via la plate-forme Xing. L'incident s'est produit lors d'un processus de recrutement mené sur Xing.

L'employé avait l'intention d'envoyer un message exclusivement au candidat, mais l'a accidentellement transmis à une autre personne non impliquée dans le processus d'embauche. Le contenu du message était loin d'être trivial. Il comprenait le nom de famille, le sexe du candidat et indiquait qu'un processus d'embauche était en cours. En outre, il exposait comment la banque évaluait le profil du candidat et mentionnait un salaire potentiel de 80 000 euros plus une rémunération variable. Le destinataire involontaire n'était pas un étranger, il avait déjà travaillé avec le candidat au sein de la même société holding. Il a transmis le message au candidat et lui a demandé directement s'il était actuellement à la recherche d'un nouveau poste.

En justice, la banque privée a initialement soutenu qu'aucune donnée personnelle au sens du RGPD n'avait été transférée parce que le nom de famille seul ne permettait pas une identification claire. Cependant, la BGH a rejeté cet argument. La sixième chambre civile a affirmé que le message contenait des caractéristiques d'identification typiques, suffisantes pour la définition des données personnelles en vertu du RGPD. Elle a souligné que le règlement n'exige pas une identification unique, simplement que la personne puisse être identifiée. Cela est vrai même si le destinataire possédait déjà des connaissances supplémentaires sur l'individu. La décision de la BGH s'appuie sur les directives fournies par la Cour de justice européenne (CJCE) en septembre 2025.

À la demande de la BGH, la CJUE a précisé que le RGPD n'exige pas de dommages matériels spécifiques ou un seuil d'importance pour les demandes d'indemnisation. Les préoccupations, la détresse ou les craintes justifiées d'abus à la suite d'une violation de données suffisent pour justifier des dommages. Cela a ouvert la voie à la reconnaissance des inconvénients immatériels, que la BGH applique désormais pratiquement dans sa décision. L'arrêt de la BGH a une incidence significative sur l'interprétation des dommages immatériels en vertu de l'article 82 du RGPD. Les tribunaux précédents avaient rejeté la demande du demandeur, arguant que le plaignant avait décrit une violation de la protection des données mais pas un préjudice concret.

Le BGH a corrigé cette position, en déclarant que la notion de dommage en vertu du droit de l'UE doit être interprétée de manière large. Selon l'arrêt, une simple violation ne conduit pas automatiquement à un droit à une indemnisation. Une preuve indépendante de la violation du droit, du dommage et du lien de causalité doit être établie. Cependant, le dommage en l'espèce est devenu évident lorsque le tiers a lu le message et a contacté le plaignant. Cela constituait une utilisation abusive des données, ce qui rendait la perte de contrôle sur les informations conséquentielle plutôt qu'innocue. En outre, la cour a confirmé que des inquiétudes justifiées concernant une utilisation abusive future pouvaient constituer un dommage immatériel.

Étant donné que le bénéficiaire opérait dans le même secteur, la crainte du plaignant de partager des données ou d'être désavantagé sur le plan concurrentiel semblait raisonnable.L'enquête du tiers a transformé un risque abstrait en un effet concrètement vérifiable.Cela renforce l'approche de BGH: une réclamation exige que le dommage soit clairement lié à la violation des données et qu'il existe un lien de causalité direct entre la violation et le dommage subi.