La seule affaire ayant donné lieu à une condamnation pénale en matière de protection des données est celle relative à un vendeur de mobilier ayant collecté et traité des données extraites de certains fichiers de police relatives à certains de ses salariés notamment des représentants syndicaux. Dans cette affaire jugée par le tribunal correctionnel de Versailles en juin 2021 (les premiers articles de presse dénonçant cette pratique datant de février 2012) huit (anciens) cadres ont été condamnés à des peines d'emprisonnement, allant de trois mois à deux ans, toutes avec sursis et la filiale française à une amende d'1 million d'euros. Les différents recours Le régime de responsabilité posé par le RGPD est un régime de responsabilité visant la réparation intégrale du préjudice subi par la ou les personnes concernées. Les recours contre un responsable du traitement ou un sous-traitant Une personne concernée a le droit d'introduire un recours juridictionnel à l'encontre d'un responsable du traitement ou d'un soustraitant, si elle considère qu'un traitement de données méconnaît les droits que lui confère le RGPD. Cette action peut être engagée sans préjudice d'un recours administratif ou extrajudiciaire. Elle peut être introduite « devant les juridictions de l'État membre dans lequel le responsable du traitement ou le sous-traitant dispose d'un établissement », mais également devant les juridictions de l'État membre dans lequel la personne concernée a sa résidence habituelle, sauf dans l'hypothèse où le mis en cause serait une autorité publique agissant dans l'exercice de ses prérogatives de puissance publique. Un responsable du traitement ou un sous-traitant peut s'exonérer de sa responsabilité s'il démontre « que le fait qui a provoqué le dommage ne lui est nullement imputable ». Dans l'hypothèse où le responsable du traitement et le sous-traitant verraient leur responsabilité engagée, c'est pour la « totalité » du dommage « afin de garantir à la personne concernée une réparation effective » (art. 82, 4). Dans l'hypothèse où l'une des parties indemniserait l'intégralité du dommage, elle dispose d'une action récursoire à l'encontre des autres pour récupérer la part d'indemnisation versée par la partie ayant indemnisée la totalité du dommage et incombant aux autres parties. L'action de groupe en matière de protection des données à caractère personnel L'action de groupe en matière de protection des données n'est pas nouvelle en droit français. La loi n° 2016-1547 du 18 novembre 2016 de modernisation de la justice du xxie siècle ayant introduit une action de groupe visant à faire cesser le dommage. 82