Une violation du RGPD peut constituer un acte de concurrence déloyale

Publié le 04/10/2024 par Etienne Wery 432 vues

Les États membres peuvent prévoir la possibilité pour les concurrents de l’auteur présumé d’une atteinte à la protection des données à caractère personnel de la contester en justice en tant que pratique commerciale déloyale interdite. La Cour de justice confirme une pratique déjà bien implantée dans plusieurs pays, notamment en France et Belgique.

Les faits soumis au tribunal en Allemagne

La Cour fédérale de justice allemande doit trancher dans un litige entre deux pharmaciens allemands.

Le pharmacien titulaire de la pharmacie Lindenapotheke commercialise sur Amazon, depuis l’année 2017, des médicaments dont la vente est réservée aux pharmacies. Les clients doivent saisir plusieurs informations lors de la commande en ligne de ces médicaments.

En se fondant sur la réglementation allemande en matière de pratiques commerciales déloyales, un pharmacien concurrent a demandé à la justice allemande d’ordonner au titulaire de Lindenapotheke d’arrêter cette activité tant qu’il n’est pas garanti que les clients puissent donner leur consentement préalable au traitement de données personnelles concernant la santé.

Les tribunaux de première et deuxième instance ont considéré que cette commercialisation constituait effectivement une pratique déloyale et illicite, étant donné qu’elle était contraire au règlement relatif à la protection des données à caractère personnel (RGPD). En effet, en l’absence d’un consentement explicite de la part des clients faisant l’acquisition de médicaments, la vente donnerait lieu à un traitement de données personnelles concernant la santé interdit en vertu de ce règlement.

Le RGPD ne s‘oppose pas à ce que le juge judiciaire constate une violation du RGPD et en déduise l’existence d’une concurrence déloyale

La Cour fédérale de justice allemande se demande si la législation nationale, qui permet à un concurrent d’agir en justice contre l’auteur présumé des violations du RGPD sur la base de l’interdiction des pratiques commerciales déloyales, est conforme à ce règlement.

En effet, selon le RGPD, c’est en principe aux autorités de contrôle nationales de surveiller et de faire appliquer ce règlement et aux personnes concernées (dans ce cas-ci, les clients) de défendre leurs droits. La Cour fédérale de justice allemande voudrait savoir également si les informations saisies lors des achats en ligne de médicaments dont la vente est réservée aux pharmacies constituent des données concernant la santé au sens du RGPD, même dans le cas où ces médicaments ne seraient pas soumis à prescription médicale. Elle s’est donc adressée à la Cour de justice.

En premier lieu, la Cour de justice répond que le RGPD ne s’oppose pas à une réglementation nationale qui, au-delà des droits et des pouvoirs conférés par le RGPD aux autorités de contrôle nationales, aux personnes concernées et aux associations représentant ces personnes, permet aux concurrents de l’auteur présumé d’une atteinte à la protection des données à caractère personnel d’agir en justice contre lui, en raison de violations de ce règlement, sur la base de l’interdiction des pratiques commerciales déloyales. Au contraire, cela contribue incontestablement à renforcer les droits des personnes concernées et à leur assurer un niveau de protection élevé. Par ailleurs, cela peut s’avérer particulièrement efficace, dans la mesure où l’on pourrait, par ce biais, prévenir un grand nombre de violations du RGPD.

En second lieu, la Cour considère que constituent des données concernant la santé au sens du RGPD les informations saisies par les clients (telles que leur nom, l’adresse de livraison et les éléments nécessaires à l’individualisation des médicaments) lors de la commande en ligne des médicaments réservés aux pharmacies, même lorsque la vente de ces derniers n’est pas soumise à prescription médicale.

En effet, ces données sont de nature à révéler, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé d’une personne physique identifiée ou identifiable, car un lien est établi entre celle-ci et un médicament, ses indications thérapeutiques ou ses utilisations, que ces informations concernent le client ou toute autre personne pour laquelle celui-ci effectue la commande. Partant, il est indifférent que, en l’absence de prescription médicale, c’est seulement avec une certaine probabilité, et non avec une certitude absolue, que ces médicaments soient destinés aux clients les ayant commandés. Opérer une distinction en fonction du type des médicaments et du fait que leur vente soit ou non soumise à prescription médicale serait contraire à l’objectif de protection élevée du RGPD. Par conséquent, le vendeur doit informer ces clients d’une manière exacte, complète et facilement compréhensible des caractéristiques et des finalités spécifiques du traitement desdites données et leur demander leur consentement explicite pour ce traitement.

La Cour confirme une pratique bien ancrée en droit français et belge

Nous avons déjà commenté dans des actus précédentes des décisions de juges du fond qui considèrent qu’une violation avérée du RGPD peut constituer un acte de concurrence déloyale.

En particulier, à Paris, le tribunal a récemment jugé que :

« La concurrence déloyale, fondée sur le principe général de responsabilité édicté par l’article 1240 du code civil, consiste dans des agissements s’écartant des règles générales de loyauté et de probité professionnelle applicables dans les activités économiques et régissant la vie des affaires tels que ceux créant un risque de confusion avec les produits ou services offerts par un autre opérateur.

Constitue un acte de concurrence déloyale le non-respect d’une règlementation dans l’exercice d’une activité commerciale, qui induit nécessairement un avantage concurrentiel indu pour son auteur (Cass. Com., 17 mars 2021, no01-10.414). »

Constatant des manquements en matière de RGPD (pas de charte, consentement mal recueilli, etc.), le tribunal condamne sur la base de la concurrence déloyale.

En Belgique, on atteint le même résulta via l’article VI.104 CDE : est interdit « tout acte contraire aux pratiques honnêtes du marché par lequel une entreprise porte atteinte ou peut porter atteinte aux intérêts professionnels d’une ou de plusieurs autres entreprises ». Les tribunaux font de longue date une interprétation très large de cette disposition, qui permet de sanctionner efficacement la plupart des manquements à la loi sous l’angle de la concurrence déloyale.

Plus d’infos

Lire notre actu précédente sur la décision parisienne.

Lire l’arrêt de la Cour de justice et les conclusions de l’AG, disponibles en annexe.