Par un arrêt du 28 avril dernier, la CJUE a jugé que les associations de consommateurs peuvent exercer des actions représentatives en violation du RGPD.
Pour mémoire, conformément à l’article 80 paragraphe 1 du RGPD, la personne concernée peut mandater un organisme, une organisation ou une association pour qu’il/elle exerce une action en justice en son nom en cas d’atteinte à la protection de ses données à caractère personnel.
Aussi, selon l’article 80 paragraphe 2 du RGPD, les Etats membres peuvent prévoir que ce type d’entité, même indépendamment de tout mandat confié par une personne concernée, a le droit d’exercer une action en justice s’il considère que les droits d’une personne concernée prévus dans le RGPD ont été violés.
Dans cette affaire, les juges européens ont, plus précisément, été interrogés sur le point de savoir si une loi nationale peut autoriser une association de défense des intérêts des consommateurs à agir en justice contre l’auteur présumé d’une atteinte à la protection des données à caractère personnel :
- indépendamment d’une violation concrète du droit à la protection des données d’une personne concernée et, a fortiori, sans mandat de cette personne,
- en alléguant la violation d’autres règles juridiques visant à assurer la protection des consommateurs.
La CJUE répond par l’affirmative, considérant que le RGPD ne s’y oppose pas « dès lors que le traitement de données concerné est susceptible d’affecter les droits que des personnes physiques identifiées ou identifiables tirent de ce règlement ».
Sur le plan des principes, une association de consommateurs pourrait donc avoir un rôle majeur dans le contrôle du respect du RGPD.
En pratique, encore faut-il qu’une loi nationale, comme en Allemagne, prévoit effectivement l’exercice d’actions représentatives contre des violations des droits conférés par le RGPD par l’intermédiaire, le cas échéant, de règles ayant pour objet de protéger les consommateurs ou de lutter contre des pratiques commerciales déloyales.
Une voie ouverte aux réformes nationales ?
On sait déjà que les Etats membres doivent transposer avant la fin de l’année la Directive 020/1828 relative aux actions représentatives visant à protéger les intérêts collectifs des consommateurs qui permettra aux associations de consommateurs, répondant à certains critères, d’engager des actions représentatives contre l’auteur d’une atteinte à la protection des données personnelles.
A suivre…
Source : ici