CJUE28 avril 2022CJUE, 28 avril 2022, Meta Platforms Ireland Limited, C‑319/20, points 48‑83(source)
Qualité pour agir – Association de défense des intérêts des consommateurs – Action représentative intentée par cette association en l’absence d’un mandat et indépendamment de la violation de droits concrets d’une personne concernée – Action fondée sur la violation des règles relatives à la protection des consommateurs ou à la lutte contre les pratiques commerciales déloyales – Admissibilité – Condition
En ouvrant la possibilité aux États membres de prévoir un mécanisme d’action représentative contre l’auteur présumé d’une atteinte à la protection des données à caractère personnel, l’article 80, paragraphe 2, du RGPD prévoit un certain nombre d’exigences à respecter.
Ainsi, premièrement, la qualité pour agir est reconnue à un organisme, à une organisation ou à une association qui remplit les critères énumérés par le RGPD. Peut relever de cette notion, une association de défense des intérêts des consommateurs qui poursuit un objectif d’intérêt public consistant à assurer les droits et les libertés des personnes concernées en leur qualité de consommateurs, dès lors que la réalisation d’un tel objectif est susceptible d’être connexe à la protection des données à caractère personnel de ces dernières. Deuxièmement, l’exercice de ladite action représentative présuppose que l’entité en cause, indépendamment de tout mandat qui lui a été confié, considère que les droits qu’une personne concernée tire du RGPD ont été violés du fait du traitement de ses données à caractère personnel.
Ainsi, d’une part, l’exercice d’une action représentative n’exige pas l’identification individuelle préalable par l’entité en cause de la personne spécifiquement concernée par un traitement de données prétendument contraire aux dispositions du RGPD. À cette fin, la désignation d’une catégorie ou d’un groupe de personnes affectées par un tel traitement peut être également suffisante.
D’autre part, l’exercice d’une telle action n’exige pas l’existence d’une violation concrète des droits qu’une personne tire du RGPD. En effet, afin de reconnaître la qualité pour agir d’une entité, il suffit de faire valoir que le traitement de données concerné est susceptible d’affecter les droits que des personnes physiques identifiées ou identifiables tirent dudit règlement, sans qu’il soit nécessaire de prouver un préjudice réel subi par la personne concernée, dans une situation déterminée, par l’atteinte à ses droits. Ainsi, au vu de l’objectif poursuivi par le RGPD, le fait d’habiliter des associations de défense des intérêts des consommateurs, telle que l’Union fédérale, à introduire, par un mécanisme de recours représentatif, des actions visant à faire cesser des traitements contraires aux dispositions du RGPD, indépendamment de la violation des droits d’une personne individuellement et concrètement affectée par cette violation, contribue incontestablement à renforcer les droits des personnes concernées et à leur assurer un niveau élevé de protection.
La violation d’une règle relative à la protection des données à caractère personnel peut simultanément entraîner la violation de règles relatives à la protection des consommateurs ou aux pratiques commerciales déloyales. En effet, le RGPD permet aux États membres d’exercer leur faculté de prévoir que les associations de défense des intérêts des consommateurs sont habilitées à agir contre des violations des droits prévus par le RGPD par l’intermédiaire de règles ayant pour objet de protéger les consommateurs ou de lutter contre les pratiques commerciales déloyales.