Par Gérard Haas, Anne-Charlotte Andrieux et Sara Bakli
Éclaircissements sur les contours de cette action représentative par l’arrêt de la CJUE du 28 avril 2022, dans l’affaire C-319/20, Meta platforms Ireland Limited c/ Union fédérale allemande des centrales et associations de consommateurs.
Dans un arrêt du 28 avril 2022, la Cour de justice de l’Union européenne (CJUE) a validé, par une interprétation des dispositions du Règlement (UE) 2016/679 européen sur la protection des données du 27 avril 2017 (ci-après « RGPD »), la légalité et la pleine efficacité d’une action représentative d’une association en matière de respect du droit à la protection des données personnelles, même en l’absence de mandat et de violation des droits établie.
Une question préjudicielle avait en l’espèce été présentée à la CJUE par la Cour fédérale allemande.
Le litige au principal opposait Meta Platforms Ireland Limited, anciennement Facebook Ireland Limited, au Bundesverband der Verbraucherzentralen und Verbraucherverbände – Verbraucherzentrale Bundesverband e.V. (Union fédérale des centrales et associations de consommateurs, ci-après « Union fédérale »).
La plateforme de Meta mettait à disposition des utilisateurs un Espace d’applications « App-Zentrum », proposant des jeux gratuits fournis par des sociétés tierces.
Lui était notamment reproché le non-respect de la loi allemande de protection des consommateurs[1] et d’interdiction des pratiques commerciales déloyales, en raison :
- De la publication d’informations personnelles des joueurs (statut, photos, scores…) ;
- D’un processus insuffisant de recueil d’un consentement des utilisateurs ;
- De la fourniture d’informations déloyales par les opérateurs de jeux, sur la plateforme.
Condamné en première instance par le tribunal régional de Berlin, Meta Platforms Ireland a interjeté appel. L’appel fut également rejeté.
C’est dans le cadre d’un recours en révision que la juridiction de renvoi[2] a posé une question préjudicielle relative à la recevabilité de l’action d’une association (et donc de la qualité à agir[3] de celle-ci), en l’absence d’un mandat confié par une personne concernée[4], de porter une action en justice en matière de protection des droits à la protection des données à caractère personnel.
La question préjudicielle portait en substance sur l’interprétation des articles 80, paragraphes 1 et 2 du RGPD[5].
Le premier ouvre droit à la personne concernée de mandater un organisme, une organisation ou une association à but non lucratif valablement constitué, aux fins d’introduire une réclamation en son nom ou d’agir en justice pour protéger les droits tirés du règlement.
Le second offre aux États membres la possibilité de prévoir le droit pour une telle entité d’introduire un recours, sans disposer d’un quelconque mandat de la part de la personne concernée, si elle considère que les droits d’une personne concernée ont été violés du fait d’un traitement.
Selon la Cour, une association de défense des consommateurs est bien habilitée à agir au sens du RGPD, pour exercer une action représentative en matière de données personnelles. Cette possibilité est également ouverte en l’absence d’un mandat, si le droit d’un État membre le prévoit, dès lors qu’elle considère qu’un des droits prévus par le RGPD a été violé.
Cette décision est l’occasion de revenir sur les actions représentatives dont sont titulaires les associations (1), et d’en déterminer les contours (2).
Les actions en justice menées par des associations en représentation des intérêts d’autrui
En matière civile
En droit français, et devant les juridictions civiles, une association peut exercer une action en défense de plusieurs types d’intérêts [6] :
-
Action en défense de l’intérêt propre de l’association: une association déclarée peut exercer une action en justice si son intérêt propre, d’ordre pécuniaire ou moral est lésé (Crim. 4 oct. 1995, no 94-86.206, crim. no 293).
-
Action en défense de l’intérêt collectif de ses membres : la demande de l’association doit s’inscrire dans son objet social (Civ. 2e, 5 oct. 2006, civ.II, no 255, p. 238), un préjudice collectif direct et personnel de l’association, distinct de celui des adhérents, doit également exister.
-
Action en défense de l’intérêt collectif de tiers : plusieurs types d’actions existent, dont l’action en représentation conjointe ou l’action de groupe.
L’action en représentation conjointe existe dès lors que la loi habilite une association à agir en justice devant les juridictions, quand bien même le jugement serait rendu au profit de tiers[8].
L’action de groupe, introduite par la loi n°2016-1249 du 26 janvier 2016, se distingue de la Class action britannique[9]. Elle peut être mise en œuvre « plusieurs personnes placées dans une situation similaire subissent un dommage causé par une même personne, ayant pour cause commune un manquement de même nature à des obligations légales ou contractuelles »[10].
L’article 37, II, de la loi informatique et libertés de 1978 prévoit, en droit français, la possibilité de mener une action de groupe dans le cadre de manquements à la législation de protection des données personnelles.
Devant les juridictions françaises, la défense des intérêts collectifs autres que ceux de l’association à l’origine de l’action a longtemps été rejetée en l’absence de justification d’un préjudice direct et personnel de l’association.
Ainsi, lors de quatre arrêts rendus le 16 mars 2016, la première chambre civile de la Cour de cassation a déclaré une association irrecevable à agir en justice, faute d’intérêt légitime, en ce qu’elle n’invoquait aucun autre intérêt que celui de la défense d’intérêts collectifs[11].
Cette position était elle-même plus stricte que la jurisprudence antérieure. Dans un arrêt du 18 septembre 2008, la Cour de cassation jugeait que « même hors habilitation législative et en l’absence de prévisions statutaires expresses quant à l’emprunt de voies judiciaires, une association peut agir en justice au nom d’intérêts collectifs dès lors que ceux-ci entrent dans son objet social »[12].
Le législateur a depuis, fort heureusement, habilité certaines associations à agir pour la défense d’intérêts collectifs en matière civile[13].
Les recours d’associations fondés sur le droit à la protection des données personnelles
Cette démarche est déjà régulièrement suivie, en France, par des associations[14].
Dans une affaire jugée devant le Conseil d’État le 30 décembre 2021[15], la Quadrature du Net demandait l’annulation pour excès de pouvoir du décret n°2020-356 du 27 mars 2020 portant création d’un traitement automatisé de données à caractère personnel dénommé « DataJust »[16] portant sur le développement d’un algorithme prédictif sur l’évaluation des indemnisations corporelles habituellement pratiquées devant les juridictions. Des associations de défense des victimes d’attentats et d’accidents collectifs étaient parties à cette action devant le Conseil d’État. Les requêtes, après évaluation des moyens de droits soulevés par les requérantes fondés sur le non-respect des dispositions du RGPD, ont été rejetées.
Dans une affaire plus récente encore, jugée devant le Conseil d’État le 26 avril 2022[17], la Quadrature du Net a effectué une requête en annulation d’une décision du Premier ministre refusant d’abroger certaines dispositions de l’article R.40-26 du Code de procédure pénale, autorisant la conservation des photographies issues d’un dispositif de reconnaissance faciale dans un fichier de traitement des antécédents judiciaires. Là encore, les moyens soulevés étaient tirés du non-respect de certaines dispositions protectrices de droit des données personnelles[18]. Cette demande en annulation a été rejetée.
La récurrence de ces demandes portées devant le Conseil d’État, dernier échelon de la juridiction administrative, démontre toutefois que l’intérêt à agir n’est pas remise en question par le juge français.
Les contours de l’action représentative d’une association contre des atteintes à la protection des données personnelles des personnes concernées
Une action représentative avec mandat (art. 80.1 du RGPD)
L’action représentative sans mandat est visée par l’article 80.1 du RGPD.
La question de savoir si, pour une association de défense des consommateurs, il est possible de porter une action sur le fondement du RGPD, en dehors de tout préjudice individuel constaté d’une personne concernée, trouve dans cette décision une issue favorable.
La Cour estime en effet que la protection de ces droits peut être réclamée soit directement par la personne concernée, soit par une entité habilitée. Les personnes concernées tiennent leurs droits des articles 77 à 79 du RGPD. Les entités, elles, sont visées par l’article 80 sur la « Représentation des personnes concernées ».
La personne concernée dispose donc d’un droit de mandater une association, si elle estime que ses droits à la protection des données sont atteints, afin que soit introduite une réclamation en son nom auprès d’une autorité de contrôle, ou un recours devant les juridictions de droit commun.
Les conditions d’un tel droit sont précisées au sein du considérant 142 du RGPD :
- L’association, à but non lucratif, est constituée conformément au droit d’un État membre ;
- Ses objectifs statutaires sont d’intérêt public ;
- Elle est active dans le domaine de la protection des données à caractère personnel.
En ce qui concerne une action en justice au nom d’une personne concernée, par une association, tendant à faire valoir un droit à réparation, le texte prévoit toutefois qu’elle ne peut exister sans mandat (considérant 142 du RGPD).
Une action représentative sans mandat (art. 80.2 du RGPD)
L’action représentative sans mandat est visée par l’article 80.2 du RGPD. Cette décision en précise également les contours.
Il est à noter qu’à la différence de l’action représentative sans mandat, l’action représentative avec mandat nécessite d’être préalablement autorisée par le droit d’un État membre.
En l’espèce, aucun mandat n’avait été donné à l’Union fédérale, laquelle avait agi de sa seule initiative.
Ainsi, si le droit d’un État membre le permet, une telle action pourra être menée indépendamment d’un mandat de la personne concernée, mais également de toute violation concrète du droit à la protection des données d’une personne concernée.
Cette décision ouvre le champ des possibilités pour les associations, même si le droit invoqué ne concerne qu’en partie la protection des données personnelles[19] : selon la Cour « l’article 80 du Règlement ne fait pas obstacle à l’exercice d’actions représentatives complémentaires dans le domaine de la protection des consommateurs ».
Cette interprétation était particulièrement importante car elle permet de trancher la question de la recevabilité d’une action[20], condition nécessaire à la poursuite de tout procès.
La marge de manœuvre offerte aux États membres
Le RGPD ouvre la possibilité aux États membres de prévoir des règles nationales supplémentaires pour compléter leur législation en matière de protection des données personnelles (« clause d’ouverture »).
Pour donner un effet utile à cette action représentative, les États membres peuvent créer, au sein de leur législation, les modalités de représentation des personnes concernées.
La Cour précise a minima l’étendue de cette action, qui est dotée d’un champ d’application personnel et matériel.
-
Champ d’application personnel: l’action représentative peut être exercée par « tout organisme, organisation ou association à but non lucratif », valablement constitué conformément au droit d’un État membre, dont les objectifs statutaires sont d’intérêt public et qui est actif dans le domaine de la protection des droits et libertés des personnes concernées (considérant 64).
-
Champ d’application matériel: l’exercice de l’action représentative par une telle entité présuppose que cette entité, indépendamment de tout mandat qui lui a été confié, « considère que les droits d’une personne concernée [droit issu du RGPD] ont été violés du fait du traitement des données à caractère personnel » (considérant 67).
A cet égard, la Cour n’exige la démonstration ni de l’existence d’une violation concrète, ni même celle d’un préjudice réel subi par la personne concernée, pour établir la qualité à agir. Le seul fait que l’entité « considère » que les droits d’une personne concernée ont été violés suffit à fonder légitimement une telle action.
L’absence d’exigence d’une violation ou d’un préjudice s’explique par un objectif de prévention des atteintes aux droits réservés par le RGPD, mais également d’une recherche d’efficacité de la protection conférée. Une telle action représentative peut en effet s’avérer plus efficace que le recours d’une personne concrètement affectée par une violation de ses droits[21].
***
Le Cabinet HAAS Avocats, fort de son expertise depuis plus de vingt-cinq ans en matière de nouvelles technologies, accompagne ses clients dans différents domaines du droit et notamment en matière de protection des données personnelles. Si vous souhaitez avoir plus d’informations au regard de la réglementation en vigueur, n’hésitez pas à faire appel à nos experts pour vous conseiller. Pour en savoir plus, contactez-nous ici.
[1] Comprenant selon la loi allemande subsidiairement la protection des données personnelles des consommateurs.
[2] Juridiction à l’origine de la question préjudicielle posée à la CJUE.
[3] Art. 31 du Code de procédure civile.
[4] Toute personne physique identifiée ou identifiable, de manière directe ou indirecte, à l’aide des données collectées (art. 4.1 du RGPD).
[5] Ainsi que sur l’article 84 paragraphe 1, du RGPD. La Cour a toutefois restreint son interprétation à celle du premier de ces articles, le second n’étant pas déterminant sur l’issue du litige.
[6] Sous réserve d’être déclarée, voire encore, d’être reconnue d’utilité publique, pour pouvoir agir en justice, et a minima, d’avoir la personnalité juridique (Civ. 1ère, 2 nov. 1994, RJDA 1995. 40 ; RTD com. 1995. 808, obs. E. Alfandari).
[7] Karine Rodriguez et Philippe-Henri Dutheil, Juris Corpus, Droit des associations et fondations, Etude 23 – Action en justice, 2016.
[8] L’article L.422-1 du Code de la consommation habilite les associations de consommateurs d’agir en représentation de leurs intérêts.
[9] La class Action permet d’obtenir du juge anglo-saxon un jugement à l’égard de personnes tierces, sans mandat, ni même un accord pour que l’instance soit intentée.
[10] Article L77-10-3 et s. du Code de justice administrative.
[11] Cass., Civ., 1ère, 16 mars 2016, n° 15-10578, 15-10576 et 15-10733, 15-10579, 15-10577.
[12] Cass., Civ. 1ère, 18 septembre 2008, n°06-22038, Bull. Civ. I, n°201.
[13] V. sur ce point la Réponse du ministère de la Justice publiée au JO du Sénat le 30 mars 2017, p.1304.
[14] Par exemple, la Quadrature du Net, active dans le domaine de la protection des données personnelles et déposant régulièrement des plaintes devant la CNIL contre les GAFAM pour dénoncer l’utilisation massive des données personnelles des utilisateurs de ces services.
[15] CE, 10ème et 9ème chambres réunies, 30 décembre 2021, 440376, Inédit.
[16] Le dispositif, en vigueur pendant deux ans à compter de son adoption, permettait ainsi de recenser les montants demandés et offerts par les parties aux instances, les évaluations dans le cadre de procédures de règlement amiable des litiges et les montants alloués aux victimes par les juridictions.
[17] CE, 10ème chambre, 26 avril 2022, 442364, Inédit.
[18] Notamment, la loi du 6 janvier 1978 (art. 6 et 88), le RGPD, mais aussi les articles 7, 8 et 11 de la Charte des droits fondamentaux de l’Union européenne (droit au respect de la vie privée et familiale, à la protection des données personnelles, et à la liberté d’expression et d’information).
[19] Comme cela était le cas en l’espèce, concernant la loi allemande de protection des consommateurs invoquée.
[20] La qualité pour agir est une condition de recevabilité de toute action, liée à la qualité juridique de la personne qui met en œuvre cette action en justice. Celle-ci doit avoir juridiquement le pouvoir de défendre le droit en cause. V. sur ce point l’article 122 du Code de procédure civile.
[21] V. également sur ce point, Legalis, RGPD : une association de consommateurs peut intenter une action représentative, 2 mai 2022.
