Une question préjudicielle a récemment été posée à la CJUE afin de savoir si les dispositions du RGPD (Règlement général sur la protection des données) permettaient à une association de consommateurs d’introduire un recours indépendamment de la violation de droits concrets de personnes concernées individuelles et en l’absence d’un mandat d’une personne concernée.

Dans cette affaire, une association de consommateurs avait intenté un recours contre Meta Platforms Ireland (anciennement Facebook). Il était question de jeux gratuits par lesquels l’ex-Facebook récoltait de nombreuses données personnelles de l’utilisateur.

La CJUE répond par l’affirmative en indiquant que les Etats membres peuvent prévoir un mécanisme d’action représentative contre l’auteur présumé d’une atteinte à la protection des données, et ce indépendamment de tout mandat ou de la violation de droits concrets d’une personne concernée.

L’intérêt à agir des associations de consommateur est justifié car elles poursuivent un objectif d’intérêt public consistant à assurer les droits et libertés des personnes concernées en tant que consommateurs. Or la violation des règles tendant à protéger les consommateurs est connexe à la violation des règles en matière de protection des données à caractère personnel de ces consommateurs.

La CJUE rajoute qu’il suffit de faire valoir que le traitement des données est susceptible d’affecter les droits des personnes physiques concernées, qu’elles soient identifiées ou identifiables.

L’action des associations de consommateurs permettra de renforcer les droits des personnes concernées et augmentera leur niveau de protection. D’autant plus qu’un recours exercé par une telle association pourrait s’avérer plus efficace qu’un recours d’une personne physique individuelle.