Le Président de l'Autorité polonaise de protection des données personnelles (UODO) a émis un avis sur les conséquences de l'arrêt de la Cour de justice de l'Union européenne dans l'affaire C-655/23, précisant l'interprétation de l'article 82du RGPD concernant le préjudice moral et la responsabilité du responsable du traitement.

Dans cet avis adressé à la Chancellerie du Président du Conseil des ministres, il est expliqué que l'arrêt de la CJUE du 4 septembre 2025 (affaire C-655/23 Quirin Privatbank AG) n'impose pas de modification de la loi polonaise. L'affaire initiale concernait une demande d'injonction visant à interdire la divulgation future de données et une demande d'indemnisation pour préjudice moral. La Cour a conclu que le RGPD ne prévoit pas de recours judiciaire permettant d'obtenir une injonction préventive contre un responsable de traitement pour l'empêcher de réitérer un traitement illicite, mais que les droits nationaux des États membres peuvent prévoir une telle mesure.

L'avis souligne que la notion de "préjudice moral" au sens de l'article 82 paragraphe 1 du RGPD couvre les sentiments négatifs ressentis par une personne concernée suite à une divulgation non autorisée, à condition que celle-ci prouve l'existence de ces sentiments et de leurs conséquences. Le degré de faute du responsable du traitement n'influence pas le montant de l'indemnisation. Enfin, une injonction, ayant une fonction préventive, ne peut ni limiter ni se substituer à l'indemnisation prévue par cet article, qui a une fonction réparatrice distincte.