La Cour de justice de l’Union européenne leur a donné carte blanche : au sein de l’UE, les associations de consommateurs ont la possibilité d’introduire des actions représentatives contre des atteintes à la protection des données personnelles, même si personne ne leur donne de mandat.
Les associations de défense des consommateurs peuvent agir pour la protection des données personnelles
Elles n’ont pas besoin d’attendre une violation concrète du droit à la protection des données personnelles ni qu’une personne leur donne un mandat pour agir : les associations de défense des consommateurs peuvent introduire des actions devant les juridictions civiles si elles constatent des atteintes au RGPD (Règlement général sur la protection des données). La décision de la Cour de justice de l’Union européenne, rendue le 28 avril, confirme la recevabilité de l’action de l’Union fédérale des centrales et associations de consommateurs allemande contre le responsable du traitement des données personnelles des utilisateurs de Facebook au sein de l’UE Meta Platforms Ireland – anciennement Facebook Ireland. La Cour fédérale de justice allemande, saisie par l’Union fédérale, s’était tournée vers les juges de Luxembourg pour éclaircir ce point.
L’entrée en vigueur du RGPD n’a pas éteint le pouvoir d’agir des associations de consommateurs. Elles peuvent agir en justice contre l’auteur présumé d’une atteinte à la protection des données à caractère personnel, indépendamment de la violation de droits concrets des personnes concernées, "dès lors que le traitement des données concerné est susceptible d’affecter les droits que des personnes physiques identifiées ou identifiables tirent de ce règlement". Ces associations, d’ailleurs, relèvent de la notion d’"organisme ayant la qualité pour agir" définie par le RGPD : elles poursuivent un objectif d’intérêt public visant à protéger les consommateurs. Les violations de règles de droit de la consommation – pratiques commerciales déloyales, utilisation de conditions générales nulles, etc. – rapportées par les associations de défense des consommateurs peuvent être "connexes à la violation d’une règle relative à la protection des données à caractère personnel". L’idée du RGPD, rappelle la Cour, est d’assurer un niveau élevé de protection des données personnelles. Reste à savoir si d’autres associations de protection des consommateurs en Europe décideront de s’attaquer à de grandes entreprises : leurs moyens ne le permettront peut-être pas.
Olivia Fuentes
