Guidelines

Ici viendront les guidelines

Retour au sommaire

Union Européenne

Jurisprudence de la CJUE

C‑319/20 (28 avril 2022) - Meta Platforms Ireland

L’article 80, paragraphe 2, du règlement (UE) 2016/679 du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données), doit être interprété en ce sens qu’il ne s’oppose pas à une réglementation nationale qui permet à une association de défense des intérêts des consommateurs d’agir en justice, en l’absence d’un mandat qui lui a été conféré à cette fin et indépendamment de la violation de droits concrets des personnes concernées, contre l’auteur présumé d’une atteinte à la protection des données à caractère personnel, en invoquant la violation de l’interdiction des pratiques commerciales déloyales, d’une loi en matière de protection des consommateurs ou de l’interdiction de l’utilisation de conditions générales nulles, dès lors que le traitement de données concerné est susceptible d’affecter les droits que des personnes physiques identifiées ou identifiables tirent de ce règlement.

Arrêt de la Cour

Conclusions de l'avocat général

---

C-757/22 (11 juillet 2024) - Meta Platforms Ireland (Action représentative)

L’article 80, paragraphe 2, du règlement (UE) 2016/679du Parlement européen et du Conseil, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données),

doit être interprété en ce sens que :

la condition selon laquelle une entité habilitée, pour pouvoir introduire une action représentative au titre de cette disposition, doit faire valoir qu’elle considère que les droits d’une personne concernée prévus dans ce règlement ont été violés « du fait du traitement », au sens de ladite disposition, est remplie lorsque cette entité fait valoir que la violation des droits de cette personne intervient à l’occasion d’un traitement de données à caractère personnel et qu’elle résulte de la méconnaissance de l’obligation qui incombe au responsable du traitement, en vertu de l’article 12, paragraphe 1, première phrase, et de l’article 13, paragraphe 1, sous c) et e), dudit règlement, de communiquer à la personne concernée par ce traitement de données, d’une façon concise, transparente, compréhensible et aisément accessible, en des termes clairs et simples, les informations relatives à la finalité dudit traitement de données ainsi qu’aux destinataires de telles données, au plus tard lors de la collecte de celles-ci.

Arrêt rendu 
Conclusions de l'Avocat général 

---

Retour au sommaire

France

Jurisprudence française

CE Fr., n°319545 (5 décembre 2011)

1) En procédant aux investigations prévues à l'article 41 de la loi n°78-17 du 6 janvier 1978 et en indiquant à l'intéressé qu'aucune information le concernant ne figurait dans les fichiers en question, la CNIL a mis un terme à la procédure d'accès indirect engagée. Elle doit être regardée comme satisfaisant entièrement la demande du demandeur.

2) a) Une décision par laquelle la CNIL refuse de donner suite à une demande tendant à ce qu'elle mette en œuvre les pouvoirs d'enquête dont elle peut faire usage sur le fondement de l'article 11 de la loi n° 78-17 du 6 janvier 1978, lorsqu'elle est saisie d'une réclamation, pétition ou plainte relative à la mise en œuvre des traitements de données à caractère personnel, est susceptible de faire l'objet d'un recours pour excès de pouvoir.

b) Toutefois, si l'intéressé se borne à demander à la CNIL de manière générale, de faire respecter la loi du 6 juillet 1978 relative à l'informatique, aux fichiers et aux libertés et de faire « effacer l'ensemble des fichiers contenant des données personnelles collectées par les services consulaires français sans information préalable des personnes concernées », la CNIL ne commet pas d'erreur manifeste d'appréciation en ne donnant pas suite à ces réclamations.

Arrêt rendu

CE Fr., n°398442 (19 juin 2017)

L'auteur d'une plainte n'est pas recevable à demander l'annulation de la sanction prononcée par la CNIL à l'encontre d'un tiers à l'issue de l'instruction de la plainte qu'il a formée, en tant que celle-ci ne serait pas assez sévère. En revanche, l'auteur d'une plainte est recevable à déférer au juge de l'excès de pouvoir le refus de la CNIL de lui fournir les informations relatives aux suites données à sa plainte auxquelles il a droit en application des dispositions de l'article 11 2° c) de la loi n° 78-17 du 6 janvier 1978. Il résulte de ces dispositions que, lorsque la plainte conduit à sanctionner la personne mise en cause, la complète information de son auteur comprend nécessairement, y compris lorsque la sanction a été rendue publique, la communication de la nature des manquements retenus et de la teneur de la sanction prononcée, sous la réserve des secrets protégés par la loi.

Arrêt rendu

Retour au sommaire

Le GDPR

L’article 80 précise et complète la faculté de représentation par une association, déjà prévue par la Directive. Ainsi, le Règlement prévoit qu’une association (sans but lucratif et active dans la protection des droits des personnes concernées) peut être mandatée par une personne concernée pour non seulement introduire une réclamation auprès d’une autorité de contrôle au sens de l’article 77, mais également un recours juridictionnel contre une décision d’une autorité de contrôle (article 78) ou contre un responsable de traitement ou un sous-traitant (cfr. article 79).

La version finale du Règlement ajoute que l’association est également investie du droit de réclamer une compensation prévue par l’article 82 pour le compte de la personne concernée, s’il apparait que le traitement lui a causé un préjudice et que le droit de l’État membre le permet.

Les États membres peuvent  investir les associations chargées de la protection des droits et des libertés dans le cadre de traitement de données à caractère personnel d’importants pouvoirs d’action. Si l’État fait usage de cette disposition, ces associations pourraient d’initiative (c’est-à-dire indépendamment de tout mandat d’une personne concernée) introduire une réclamation auprès de l’autorité de contrôle sur le territoire de l’État membre où elles ont été constituées (art. 77) ou diligenter un recours juridictionnel contre une décision de l’autorité de contrôle (art. 78) ou contre un responsable de traitement ou un sous-traitant (art. 79), si elles considèrent que les droits d'une personne concernée n'ont pas été respectés parce que le traitement des données à caractère personnel n'a pas eu lieu en conformité avec le Règlement (§ 2).

La Directive

La Directive prévoyait déjà la possibilité qu’une association se charge d’introduire une réclamation auprès d’une autorité de contrôle pour le compte d’une personne se plaignant d’une atteinte à ses droits et libertés dans le cadre d’un traitement de données à caractère personnel (cfr. art. 28(6) de la Directive).

Belgique

En droit belge, l’article 31 prévoit uniquement que la Commission examine les plaintes signées et datées qui lui sont adressées. Cette disposition ne mentionne pas la possibilité pour le plaignant d’être représenté par une association. Le Règlement d’ordre intérieur de la CPVP prévoit à cet égard que les plaintes visées à l’article 31 de la loi du 8 décembre 1992 doivent être signées par le plaignant et datées.

France

En droit français, selon les articles 11 de loi Informatique et Libertés et Libertés, ainsi que selon l’article 47 du Règlement intérieur de la CNIL, est considérée comme une plainte toute demande formée par une personne physique ou morale susceptible d’être contraire aux textes dont l’application est confiée à la CNIL.

Difficultés probables

Dans son principe, cette évolution des pouvoirs reconnus aux associations de défense des droits des personnes concernées est fondamentale. On peut légitimement croire que cette mesure participera efficacement à garantir l’effectivité des droits reconnus aux personnes concernées par un traitement de données à caractère personnel.

En effet, le constat est sans appel : des procédures juridictionnelles existent déjà pour les personnes concernées ; toutefois il est très rare qu’une personne y recoure, compte tenu notamment des frais à engager dans une procédure judiciaire. En d’autres termes, à l’heure actuelle, le jeu n’en vaut pas la chandelle.

Cependant, cette évolution risque d’engendrer de nombreux problèmes d’implémentation. S’agissant de la possibilité pour lesdites associations d’introduire une procédure indépendamment d’un mandat de la personne concernée, il s’agit uniquement d’une faculté à prévoir ou non par les États membres et des disparités dans la protection des personnes concernées apparaîtront donc d’État à État sur ce point.

Ensuite, il faudra que de telles associations existent et soient actives dans la protection des données, ce qui supposera souvent une importante évolution des mentalités.