Le 26 mai dernier, la Cour d’appel de Paris a eu l’occasion de préciser la notion d’usage permettant à une marque d’échapper à la déchéance. En l’espèce, si le titulaire tentait de s'appuyer sur l'essor des plateformes de revente pour sauver ses droits, la Cour trace une ligne rouge très claire : le marché de la seconde main ne peut pas pallier l'absence d'exploitation commerciale réelle par le titulaire ou avec son consentement.
Une violation avérée du RGPD par l’employeur
En 2019, un salarié de Natixis est licencié pour faute grave après avoir cliqué délibérément sur plusieurs sites de phishing lors d’une campagne de sensibilisation interne. Par la suite, il utilise pour s’identifier des insultes visant le prestataire et le service organisateurs de cette campagne. Face à son licenciement, le salarié conteste la rupture et demande des dommages et intérêts, arguant que son employeur a violé le RGPD en collectant ses données (les identifiants saisis) sans son consentement.
La cour d’appel de Paris (30 octobre 2024) confirme la validité du licenciement, mais condamne Natixis à verser 5.000 Euros au salarié, estimant que la violation du RGPD causait nécessairement un préjudice au salarié.
Sur la nécessité de prouver un préjudice concret
La Cour de cassation s’aligne sur la jurisprudence de la CJUE (arrêts Österreichische Post, 2023, et MediaMarktSaturn, 2024) pour rappeler que l’article 82 du RGPD n’instaure pas un droit automatique à réparation. Ainsi, même en cas de violation avérée des règles de protection des données, il revient aux juges du fond de vérifier si le salarié a effectivement subi un préjudice matériel ou moral lié à cette atteinte.
L'impératif de documenter le dommage
Cette décision s’inscrit dans une tendance plus large : le recul du principe du préjudice nécessaire. Une preuve concrète du dommage est indispensable pour obtenir réparation, conformément au principe de réparation intégrale du préjudice. Si cette approche renforce la sécurité juridique pour les entreprises, elle rappelle aussi aux salariés l’importance de documenter précisément l’impact de la violation subie. Enfin, elle souligne que le RGPD reste avant tout un texte de protection, et non un mécanisme de sanction systématique.
Sources : Arrêt n° 24-22.792, Cour de cassation, 24/06/2026.
