Le RGPD permet d’ores et déjà à une personne physique de donner mandat à une association pour introduire des réclamations en son nom. Les États membres peuvent aussi autoriser une association à agir auprès de l’autorité de contrôle compétente même en dehors de tout mandat. Ces dispositions inscrites à l’article 80 sont le cœur des conclusions rendues ce jour à la Cour de justice de l’UE. 

Le litige oppose l’Union fédérale des centrales et associations de consommateurs à Facebook Ireland Limited. L’association, qui a qualité pour agir, a adressé un sandwich de contestations : violation de la loi CNIL allemande, pratique commerciale déloyale, violation du droit de la consommation allemand dont la législation sur les clauses abusives…

Les faits remontent à 2012, quand l’association a constaté que des jeux mis à disposition sur Facebook entraînaient dans les coulisses de multiples traitements : obtention de données à caractère personnel, possibilité de publier au nom de l’utilisateur des informations sur son compte, comme des photos… Une simple pression sur le bouton « Jouer » implique l’acceptation des CGU du jeu. 

Pour l’association, en substance, les informations fournies sous le bouton « Jouer » sont déloyales, et le consentement de l’utilisateur non valablement exprimé. Elle a tout naturellement réclamé l’interdiction pour Facebook de présenter des jeux où en cliquant sur le bouton « Jouer », le consommateur accorde son consentement à ces traitements. 

Le tribunal régional de Berlin a donné droit à ces conclusions. L’appel interjeté par Facebook Ireland devant le tribunal régional supérieur de Berlin a été repoussé, mais le réseau social a introduit un recours en révision. La juridiction a validé le fond, mais a questionné la Cour de justice de l’UE. 

Elle s’est en effet demandé si le recours de l’Union fédérale était bien recevable. Dans ses conclusions rendues hier, l’avocat général répond par l’affirmative. Le RGPD « ne s’oppose pas à une réglementation nationale qui permet aux associations de défense des intérêts des consommateurs d’agir en justice contre l’auteur présumé d’une atteinte à la protection des données à caractère personnel »

Et ce, même si l’association, sans mandat, invoque l’interdiction des pratiques commerciales déloyales, la violation du droit de la consommation, ou l’interdiction de l’utilisation de conditions générales nulles. Il suffit en effet que l’action « vise à faire respecter des droits que les personnes qui font l’objet du traitement contesté tirent directement de ce règlement ».

L’arrêt, qui n’est pas lié par le sens de cette opinion, sera rendu dans quelques mois. 

• Les conclusions de l’avocat général