Une association de défense des consommateurs, habilitée à agir au sens du RGPD, peut exercer une action représentative en matière de données personnelles, dès lors qu’elle considère qu’un des droits prévus par le règlement a été violé, sans qu’un mandat lui ait été conféré.La Cour fédérale de justice d’Allemagne pose une question à la Cour de justice de l’Union européenne (CJUE) concernant le droit des associations de consommateurs à introduire une action en violation du règlement (UE) 2016/679 du 27 avril 2016 (règlement général sur la protection des données - RGPD), indépendamment de la violation concrète des droits des personnes et sans mandat de celles-ci.
L’Union fédérale des centrales et associations de défense des consommateurs a introduit une action en cessation contre le responsable du traitement des données de Facebook dans l’Union européenne.Elle lui reproche d’avoir violé, dans le cadre de la mise à disposition des jeux gratuits fournis par des tiers, les règles relatives à la protection des données personnelles, à la lutte contre la concurrence déloyale et à la protection des consommateurs.
La CJUE, dans une décision du 28 avril 2022 (affaire n° C-319/20), juge que le RGPD ne s’oppose pas à ce qu’une règlementation nationale permette à une association de défense des consommateurs d’agir en justice, en l’absence d’un mandat conféré à cette fin. L’action est possible, dès lors que le traitement des données est susceptible d’affecter les droits que des personnes physiques identifiées ou identifiables tirent de ce règlement.Elle relève que le RGPD procède à une harmonisation nationale en matière de protection des données personnelles. Cependant, il permet aux Etats de prendre des mesures internes, leur laissant une marge d’appréciation plus importante. Il faut simplement que celles-ci ne portent pas atteinte au contenu et aux objectifs du règlement.
En l’espèce, la CJUE considère que l’Union fédérale est un organisme ayant qualité pour agir au sens du RGPD en ce qu'elle poursuit un objectif d’intérêt public. Elle note également que l'introduction d’une action représentative suppose que l’association considère que des droits prévus dans le RGPD ont été violés du fait du traitement de données personnelles.
SUR LE MEME SUJET :
CJUE : qualité à agir d’une association contre les atteintes au RGPD - Legalnews, 6 décembre 2021
