RGPD ET SANTÉ : POSSIBILITÉ ACCORDÉE AUX CONCURRENTS DE L’AUTEUR PRÉSUMÉ D’UNE ATTEINTE À LA PROTECTION DES DONNÉES À CARACTÈRE PERSONNEL DE LA CONTESTER EN JUSTICE EN TANT QUE PRATIQUE COMMERCIALE DÉLOYALE INTERDITE
Arrêt du 4 octobre 2024 de la Cour de justice de l’UE dans l’affaire C-21/23 | Lindenapotheke
La Cour de Justice de l’Union européenne a jugé que le règlement européen 2016/679 (dit règlement RGPD) ne s’oppose pas à une réglementation nationale permettant aux concurrents de l’auteur présumé d’une infraction à la protection des données à caractère personnel d’agir contre celui-ci au moyen d’un recours devant les juridictions civiles, en raison de violations dudit règlement et en vertu de l’interdiction des pratiques commerciales déloyales.
En l’espèce, le litige opposait deux pharmaciens. Le pharmacien titulaire de la pharmacie Lindenapotheke commercialisait sur une plateforme d’e-commerce en ligne des médicaments dont la vente est réservée aux pharmacies. Les clients devaient saisir diverses informations (nom, adresse, etc.) lors de la commande en ligne de ces médicaments.
Un pharmacien concurrent a décidé d’introduire une action devant les juridictions allemandes contre le titulaire de Lindenapotheke en cessation de cette activité au motif qu’il n’existait aucune garantie que les clients aient la possibilité d’accorder leur consentement préalable au traitement des données personnelles concernant leur santé.
Les juridictions allemandes en première instance et en appel ont considéré que la commercialisation en ligne du titulaire de Lindenapotheke constituait effectivement une pratique déloyale et illicite, car en violation des articles 6 (sur la licéité du traitement) et l’article 9 (sur le traitement des données personnelles en matière de santé) au règlement européen 2016/679 relatif à la protection des données à caractère personnel (RGPD).
Le titulaire de Lindenapotheke a introduit un recours en révision devant la Cour fédérale de justice allemande.
Eu égard aux divergences d’interprétation en droit allemand sur la possibilité de recours directe par les concurrents sur base de violation du RGPD et dans une volonté d’harmonisation, la Cour fédérale de justice allemande a décidé de surseoir à statuer et de poser la question préjudicielle suivante à la Cour de justice de l’UE : est-ce qu’une législation nationale d’un État-membre de l’UE prévoyant la possibilité pour un concurrent d’agir en justice contre l’auteur présumé des violations du RGPD sur la base de l’interdiction des pratiques commerciales déloyales est conforme aux dispositions du règlement européen RGPD ?
La Cour de justice de l’UE a répondu par la positive en indiquant que le RGPD ne s’oppose pas à une réglementation nationale qui permet aux concurrents d’introduire une action contre l’auteur présumé d’une atteinte à la protection des données à caractère personnel pour violation du RGPD en se basant sur l’interdiction des pratiques commerciales déloyales, et ce, malgré les prérogatives existantes d’intervention des autorités de contrôle chargées de surveiller et de faire appliquer le RGPD (voir article 58 (pouvoirs) du RGPD) et les droits des personnes concernées par l’atteinte pour défendre leurs droits (réclamation, droit de rectification et droit à l’oubli).
En outre, la Cour de justice de l’UE précise que les informations précisées aux clients dans la présente affaire constituent effectivement des données matière de santé au sens du RGPD dès lors qu’elles supposent de mentionner leur nom, l’adresse de livraison et les éléments nécessaires à l’individualisation des médicaments lors de la commande en ligne des médicaments réservés aux pharmacies, même lorsque la vente de ces derniers n’est pas soumise à prescription médicale
