Les associations de défense des consommateurs peuvent exercer des actions représentatives contre des atteintes à la protection des données personnelles, a estimé la Cour de justice de l'Union européenne dans un arrêt rendu jeudi 28 avril (affaire C-68/22).
La Cour fédérale allemande de justice s'interroge sur le bien-fondé d'une action en justice pour violation de la protection des données personnelles introduite par l'Union fédérale allemande des centrales et associations de consommateurs à l'encontre de Meta Platforms Ireland, l'entité responsable dans l'UE du traitement des données personnelles des utilisateurs du réseau Facebook, depuis l'entrée en vigueur du règlement 'RGPD' (2016/679).
La Cour répond par l'affirmative à cette question. Le règlement 'RGPD' ne s'oppose pas à une réglementation nationale qui permet à une association de défense des consommateurs d'agir en justice, en l'absence d'un mandat qui lui a été conféré à cette fin et indépendamment de la violation des droits des personnes concernées individuelles, contre l'auteur présumé d'une atteinte à la protection des données personnelles.
L'union fédérale allemande reproche à Meta Platforms Ireland de violer les règles relatives à la protection des données personnelles, à la lutte contre la concurrence déloyale et à la protection des consommateurs en mettant à disposition des utilisateurs certains jeux via son espace 'Applications', qui, en cas de consultation et après acceptation des conditions générales par les utilisateurs, permettent à la société de jeux d'obtenir leurs données personnelles et de procéder à des publications en leur nom.
La Cour constate notamment que certaines dispositions du règlement 'RGPD' autorisent un État membre à prévoir des règles supplémentaires, notamment la possibilité d'introduire un mécanisme d'action représentative contre l'auteur présumé d'une atteinte à la protection des données personnelles. Et, ajoute-t-elle, l'union fédérale allemande relève de la notion d'organisme ayant la qualité pour agir au sens du règlement, en ce qu'elle poursuit un objectif d'intérêt général.
Enfin, selon la Cour, le règlement 'RGPD' ne s’oppose pas à des dispositions nationales qui prévoient l’exercice d’actions représentatives contre des violations des droits conférés par ce règlement par l’intermédiaire de règles visant à protéger les consommateurs ou à lutter contre les pratiques commerciales déloyales.
Saluant cet arrêt, Ursula Pachl, directrice générale adjointe du Bureau européen des unions de consommateurs (BEUC), a souhaité une meilleure application du règlement 'RGPD' dans l'UE. Dès l'année prochaine, les associations de consommateurs de tous les pays de l'UE pourront, si elles répondent à certains critères, « lancer des injonctions ou des demandes de réparation collective contre les entreprises qui enfreignent la loi, y compris en vertu du règlement 'RGPD' », a-t-elle indiqué, dans un communiqué.
Voir l'arrêt : https://aeur.eu/f/1ea (Mathieu Bion)