Pas de réparation RGPD pour les mises en demeure de masse Google Fonts

L'avocat général Maciej Szpunar a proposéEuropa le 5 novembre 2026 de faire échec aux actions de masse construites sur le RGPD : dans ses conclusions dans l'affaire C-654/25 [Undelam]Europa, sur renvoi du Bundesgerichtshof, il conclut qu'une adresse IP dynamique envoyée à Google aux États-Unis par un site utilisant Google Fonts par défaut est personnelle pour Google directement, là où Google peut identifier le visiteur, et pour l'exploitant indirectement, là où ce dernier sait, ou aurait dû savoir, que tel est le casEuropa ; et qu'aucun préjudice moral ne peut être reconnu lorsque la personne concernée a sciemment provoqué une violation du règlement, de manière automatisée et répétée, afin d'en obtenir réparation.

Le litige est un modèle économique : le visiteur a construit un logiciel robot qui balaie un grand nombre de sites à la recherche de la configuration dynamique de Google Fonts, puis les visite automatiquement pour que sa propre adresse IP dynamique soit transmise à Google aux États-Unis. Son avocat a ensuite adressé une mise en demeure réclamant un engagement, la cessation de la violation et le paiement de 170 eurosEuropa, une routine répétée contre des milliers d'exploitants, plus de 100 000 fois selon la juridiction de renvoi. L'exploitant a payé, puis a agi en remboursement. Le premier juge a ordonné le remboursement de 70 euros ; la cour d'appel a condamné solidairement le visiteur et son avocat au remboursement des 170 euros intégraux pour atteinte intentionnelle et contraire aux bonnes mœurs, sans statuer sur la question de la violation du RGPD, au motif qu'il n'existe pas de préjudice moral là où la transmission a été sciemment provoquée pour de l'argent. Le Bundesgerichtshof a fait dépendre le remboursement de l'existence même d'un droit à réparation de l'article 82 au profit du visiteur.

Sur la première question, l'avocat général retient l'approche relative de la jurisprudence de la Cour depuis Breyer : le caractère personnel d'une adresse IP dynamique au sens de l'article 4, paragraphe 1, dépend de l'entité qui la détient, appréciée concrètementEuropa. Seule compte la perspective du destinataire, puisque seule l'adresse IP, et non une identité, est transmise ; une analogie avec la transmission de données pseudonymisées à un tiers est permise. Le seuil est relativement bas : non pas une identification prouvée et certaine, mais un risque qui n'est pas insignifiant. L'immensité des données collectées par Google, des identifiants et de l'activité de navigation jusqu'à l'adresse IP et à la localisation, combinée à l'adresse IP transmise aux fins de personnalisation, peut fonder un tel risque, à vérifier par la juridiction de renvoi. Mais les obligations du responsable ne pèsent sur l'exploitant que là où il savait ou aurait dû savoir que le destinataire pouvait identifier le visiteurEuropa ; sinon il répondrait d'une violation pour des faits purement extérieurs dont il n'a peut-être même pas conscience.

Sur la deuxième question, l'article 82, paragraphe 1, subordonne la réparation à trois conditions cumulatives, une violation du règlement, un dommage subi et un lien de causalité, le dommage n'étant jamais présumé. La Cour tient la simple « perte de contrôle » sur leurs données, et la crainte fondée d'un usage abusif futur dans les circonstances de l'espèce, pour un préjudice moral réparable. Ni l'un ni l'autre ne convient ici : le visiteur n'a perdu aucun contrôle, ses données ayant été utilisées exactement comme il l'avait prévu, et la provocation massive et répétée au moyen d'un logiciel ad hoc ne révèle aucune crainte fondée d'abus, tout au plus une acceptation du risqueEuropa.

À titre subsidiaire, si la Cour devait constater un préjudice moral, l'avocat général écarterait la demande comme abusiveEuropa : l'objectif du RGPD n'a pas été atteint malgré un respect formel, et le visiteur visait avant tout l'argentEuropa, créant artificiellement les conditions par des visites massives automatisées et des milliers de demandes de 170 euros. Le mobile financier doit seulement être principal, et non unique, comme dans la pratique des « copyright trolls » de l'arrêt M.I.C.M. ; un éventuel effet de sensibilisation des exploitants ne purge pas l'abus.

Base juridique : l'article 4, paragraphe 1, et l'article 82, paragraphe 1, du règlement (UE) 2016/679.