Les associations de défense des consommateurs peuvent exercer des actions contre des atteintes à la protection des données à caractère personnel

Dans sa décision du 28 avril 2022, la Cour de Justice de l’Union Européenne s’est prononcée sur la possibilité pour les associations de défense des consommateurs d’exercer des actions représentatives contre des atteintes à la protection des données à caractère personnel.

L’Union fédérale allemande des centrales et associations de défense des consommateurs avait ici introduit une action en cessation de la violation des droits issus du RGPD et des dispositions relatives à la concurrence déloyale à l’encontre de Meta Plateforms Ireland (responsable du traitement des données à caractère personnel des utilisateurs du réseau social en ligne Facebook dans l’UE).

Les juges allemands se sont alors interrogés sur la recevabilité de l’action des associations de consommateurs. Puisque l’association n’était pas directement mandatée par des consommateurs et n’invoquait pas la violation de droits concrets des personnes concernées.

La CJUE a donc interprété le deuxième alinéa de l’article 80 du RGPD pour en déduire que les associations de défense des intérêts des consommateurs a qualité à agir au sens de cet article et a constaté que l’Union fédérale poursuit un objectif d’intérêt public consistant à assurer la protection des droits des consommateurs.

Cela implique que, même en dehors de tout mandat, si une association estime qu’il y a eu violation des droits de personnes concernées par le RGPD, elle peut agir, sans qu’il soit nécessaire d’identifier individuellement et préalablement les personnes concernées par ce traitement. Cette interprétation va dans le sens de l’objectif poursuivi par le RGPD qui est d’assurer un niveau élevé de protection des données.

Dès lors, la Cour constate que le RGPD ne s’oppose pas à une réglementation nationale qui permet à une association de défense des intérêts des consommateurs d’agir en justice, en l’absence d’un mandat et indépendamment de la violation de droits concrets des personnes concernées, contre l’auteur présumé d’une dès lors que le traitement des données concerné est susceptible d’affecter les droits que des personnes physiques identifiées ou identifiables tirent du RGPD. Cette possibilité est ainsi conditionnée à la règlementation nationale.

L’affaire est donc renvoyée devant la juridiction allemande à qui il appartient de résoudre le litige conformément à la décision de la CJUE.

Pour en savoir plus  Arrêt dans l’affaire C-319/20 du 28 avril 2022 Meta Platforms Ireland