CJUE, 1ère Chambre, Arrêt du 18 juin 2026, Datenschutzbehörde et Dr. G S contre Bundesministerin für Justiz et D GmbH.

       

I. LES FAITS : UN MÉDECIN FACE À UNE PLATEFORME D’ÉVALUATION DANS LE CADRE DE RECOURS ADMINISTRATIFS ET JUDICIAIRES CONCURRENTS U

Une médecin autrichienne, Dr. G S, demanda l’effacement de données la concernant publiées sur une plateforme de notation de médecins (société D GmbH). Son droit à l’effacement fut refusé. Elle introduisit un recours civil en 2017, puis — après l’entrée en vigueur du RGPD — une réclamation auprès de la Datenschutzbehörde (DSB) en juillet 2018. La DSB rejeta la réclamation au motif que le recours civil pendait encore devant la juridiction saisie et avait le même objet. Cette décision de rejet traversa plusieurs niveaux de juridiction administrative, générant des divergences d’interprétation, avant que le Verwaltungsgerichtshof (Cour administrative autrichienne) ne saisisse la Cour de justice par voie de renvoi préjudiciel.

II. LA CJUE CONFIRME "LE CHOIX DES ARMES"

L’arrêt C-414/24, rendu le 18 juin 2026 (ECLI:EU:C:2026:493), répond à une question de plus en plus fréquente dans la pratique du contentieux de la protection des données : une personne concernée peut-elle, après avoir introduit un recours en justice contre le responsable du traitement, déposer également une réclamation auprès de l’autorité nationale de protection des données — et cette autorité peut-elle rejeter la réclamation au seul motif que le procès civil est en cours ? La Cour répond avec netteté : non, l’autorité de contrôle ne peut pas rejeter la réclamation pour ce seul motif, et ce même si une décision judiciaire au fond a déjà été rendue sans avoir encore acquis force de chose jugée. Ce faisant, l’arrêt consolide la liberté de choix des voies de recours dont dispose toute personne concernée — une liberté explicitement garantie par le RGPD et désormais protégée contre toute règle nationale qui la viderait de substance.

III. DEUX VOIES DE RECOURS OUVERTES, SANS HIÉRARCHIE: UN PRINCIPE CONSOLIDÉ --- S’IL LE FALLAIT (sic) --- SUIVANT UNE MÉTHODE D’INTERPRÉTATION FAISANT APPEL AU TRIPTYQUE LETTRE-CONTEXTE-OBJECTIFS

La CJUE rappelle que les articles 77 et 79 du RGPD ont été conçus par le législateur de l’Union pour coexister sans préjudice l’un de l’autre. L’article 77 garantit le droit d’introduire une réclamation auprès de l’autorité de contrôle « sans préjudice de tout autre recours administratif ou juridictionnel ». L’article 79 garantit le droit à un recours juridictionnel effectif « sans préjudice de tout recours administratif ou extrajudiciaire qui lui est ouvert, y compris le droit d’introduire une réclamation au titre de l’article 77 ». Cette formulation symétrique interdit toute règle de priorité ou d’exclusivité : le RGPD ne désigne ni l’autorité de contrôle ni les juridictions comme instance compétente en exclusivité.

L’article 57, paragraphe 1, sous f), du RGPD impose à chaque autorité de contrôle de traiter les réclamations avec toute la diligence requise. La Cour précise que, certes, l’autorité doit tenir compte de la décision qui clôturera définitivement la procédure juridictionnelle — mais cela ne l’autorise pas à rejeter la réclamation tant que cette décision n’est pas définitive. Le rejet expose la personne concernée à un vide de protection complet si le recours juridictionnel est rejeté pour irrecevabilité et que le délai national de réclamation est entre-temps expiré. Une telle situation serait contraire au principe d’effectivité.

La Cour dessine positivement la solution compatible. Un État membre peut prévoir un mécanisme de suspension de l’instruction de la réclamation administrative dans l’attente de la décision juridictionnelle définitive. Cette suspension préserve les droits de la personne concernée — la réclamation demeure active et sera instruite au fond — tout en évitant l’adoption de décisions contradictoires. En revanche, le rejet — même partiel, même provisoire — est incompatible avec le RGPD dès lors qu’il n’est fondé que sur la pendance d’un recours juridictionnel et non sur une décision définitive.

IV. UNE JURISPRUDENCE DE LA CJUE ENRICHIE

L’arrêt C‑414/24 s’inscrit dans une ligne jurisprudentielle solidement balisée qu’il convient de restituer dans son intégralité pour en mesurer la cohérence.

La problématique de l’articulation des voies de recours du RGPD avait été posée pour la première fois de manière systématique dans l’arrêt Nemzeti Adatvédelmi és Információszabadság Hatóság (CJUE, 12 janvier 2023, C‑132/21, EU:C:2023:2). Dans cette affaire, la Cour avait jugé que les recours des articles 78, paragraphe 1, et 79, paragraphe 1, du RGPD pouvaient être exercés de manière concurrente et indépendante, et qu’il incombait aux États membres de régler les modalités de cette concurrence dans le respect des principes d’effectivité, d’équivalence et de protection juridictionnelle effective. Elle avait toutefois admis que des mécanismes nationaux d’articulation étaient licites à la condition de ne pas compromettre la protection effective des droits. La question de savoir si un rejet pur et simple était admissible était restée en suspens.

L’arrêt SCHUFA Holding (CJUE, 7 décembre 2023, C‑26/22 et C‑64/22, EU:C:2023:958) avait, de son côté, précisé l’obligation de diligence pesant sur les autorités de contrôle dans le traitement des réclamations, en insistant sur le fait que la procédure de réclamation n’est pas une pétition et constitue un mécanisme effectif de protection des droits.

L’arrêt Land Hessen (CJUE, 26 septembre 2024, C‑768/21, EU:C:2024:785) avait quant à lui mis en évidence l’obligation positive d’action de l’autorité de contrôle lorsque des mesures correctrices sont appropriées, ouvrant la voie à la formulation, dans l’arrêt C‑414/24, de l’obligation d’intervenir de l’article 57, paragraphe 1, sous f), combiné à l’article 58, paragraphe 2.

L’arrêt Lindenapotheke (CJUE, 4 octobre 2024, C‑21/23, EU:C:2024:846) avait rappelé, dans le contexte du droit à agir de tiers, que les articles 77 à 79 du RGPD offrent des voies de recours à la personne concernée qu’elle peut exercer directement.

Enfin, l’arrêt Inspektorat kam Visshia sadeben savet (CJUE, 30 avril 2025, C‑313/23, C‑316/23 et C‑332/23, EU:C:2025:303) avait rappelé que l’obligation d’adopter des mesures correctrices est déclenchée dès lors que celles-ci sont appropriées, nécessaires et proportionnées, consacrant ainsi une logique d’intervention obligatoire de l’autorité de contrôle.

L’arrêt C‑414/24 complète ce tableau en tranchant la question précise que Nemzeti avait laissée ouverte : le rejet — par opposition à la suspension — est incompatible avec le droit de l’Union dès lors qu’il expose la personne concernée à un risque de déni total de protection effective.

V. POINTS D’ATTENTION

Toute entreprise faisant l’objet d’une réclamation auprès d’une autorité de contrôle doit désormais anticiper que cette réclamation peut coexister avec un recours civil ou commercial en cours. L’argument selon lequel la réclamation administrative devrait être déclarée irrecevable en raison d’un litige civil pendant est désormais invalidé par la jurisprudence de la Cour. Les deux procédures peuvent aboutir à des injonctions parallèles — et potentiellement contradictoires — ce qui renforce la nécessité d’une stratégie contentieuse unifiée coordonnant les deux fronts.

L’arrêt renforce l’intérêt stratégique, pour les personnes concernées, d’introduire simultanément une réclamation RGPD et un recours juridictionnel. L’autorité de contrôle dispose de pouvoirs correcteurs que le juge civil n’a pas — notamment le pouvoir d’imposer des injonctions systémiques et des amendes administratives. La conjonction des deux voies maximise la pression sur le responsable du traitement et multiplie les chances d’obtention d’une mesure effective d’effacement ou de limitation du traitement.