Un pharmacien allemand commercialise sur la plateforme de vente en ligne « Amazon marketplace » des médicaments dont la vente est réservée aux pharmacies. Lors de la commande en ligne de ces médicaments, les clients doivent saisir des données, telles que leur nom, l’adresse de livraison et les informations nécessaires à l’individualisation des produits.
Un pharmacien concurrent forme un recours devant les juridictions civiles allemandes, faisant valoir qu'une telle commercialisation est déloyale dès lors qu’elle donne lieu à un traitement de données concernant la santé en violation des exigences relatives à l’obtention du consentement du client prévues par le RGPD (Règl. 2016-679 du 17-4-2016). Un juge allemand interroge alors la CJUE sur le point de savoir, en substance, si le RGPD s’oppose à ce qu’un concurrent, qui n’est pas une personne concernée au sens de ce règlement (art. 4), dispose de la qualité pour introduire un tel recours devant les juridictions civiles nationales. En effet, le recours n'est introduit ni par les clients de la pharmacie mise en cause (cf. art. 79) ni par un organisme, une organisation ou une association mandatés par eux (cf. art. 80).
La CJUE répond par la négative.
Elle relève tout d'abord que le RGPD ne prévoit pas expressément la possibilité pour le concurrent d’une entreprise qui violerait les dispositions du RGPD d’introduire un recours afin de faire cesser cette violation.
Pour autant, si une telle violation est de nature à affecter au premier chef les personnes concernées par les données en cause, elle est également susceptible de porter atteinte à des tiers. Le RGPD prévoit d'ailleurs à ce titre un droit à réparation pour « toute personne ayant subi un dommage matériel ou moral du fait d’une violation de ce règlement » (art. 82, 1). Ainsi, en adoptant le RGPD, le législateur européen n'a pas souhaité exclure la possibilité d'un recours, en cas de violation de ses dispositions, pour les concurrents de l’auteur présumé d’une atteinte à la protection des données personnelles.
Cette interprétation est d'ailleurs conforme à l'objectif poursuivi par le RGPD consistant notamment à assurer un niveau élevé de protection du droit de toute personne à la protection des données à caractère personnel la concernant. En effet, si l'objectif d'une action en cessation contre un concurrent est d'assurer une concurrence loyale, il n'en reste pas moins que cette action contribue incontestablement au respect des dispositions du RGPD et donc à renforcer les droits des personnes concernées.
La CJUE juge donc que les dispositions du RGPD ne s’opposent pas à une réglementation nationale qui, parallèlement aux pouvoirs d’intervention des autorités de contrôle chargées de surveiller et de faire appliquer ce règlement ainsi qu’aux possibilités de recours des personnes concernées, confère au concurrent de l’auteur présumé d’une atteinte à la protection des données à caractère personnel la qualité pour agir contre celui-ci au moyen d’un recours devant les juridictions civiles, en raison de violations dudit règlement et sur le fondement de l’interdiction des pratiques commerciales déloyales.
Il appartiendra en l'espèce à la juridiction de renvoi de vérifier si la violation des dispositions du RGPD invoquée est également constitutive d’une violation de l’interdiction des pratiques commerciales déloyales telle que prévue par la réglementation allemande.
A noter :
1° En droit français, une action en concurrence déloyale, fondée sur l’article 1240 du Code civil (ex-art. 1382), se justifie en cas de non-respect d'une réglementation dans l'exercice d'une activité commerciale, qui induit nécessairement un avantage concurrentiel indu pour son auteur (Cass. com. 17-3-2021 n° 19-10.414 F-D : RJDA 7/21 n° 532). Dans un cas où un distributeur hors réseau de produits d'une société avait été condamné par la Cnil pour avoir manqué à plusieurs obligations au titre du RGPD et de la loi Informatique et libertés, et pour avoir envoyé des courriels de prospection sans le consentement des personnes en violation du Code des postes et des communications électroniques, il a été jugé que, en ne respectant pas ces règles impératives, tout en commercialisant des produits de la société, le distributeur avait porté atteinte au prestige du réseau de la société et avait bénéficié d'un avantage concurrentiel indu (CA Paris 9-11-2022 n° 21/00180).
2° Une deuxième question préjudicielle, concernant la catégorie à laquelle appartiennent les données personnelles saisies par le client au moment de sa commande de médicaments, avait été posée à la CJUE dans la présente affaire. La Cour juge que, dans la situation où un pharmacien commercialise par le biais d’une plateforme en ligne des médicaments dont la vente est réservée aux pharmacies, les informations que les clients de ce pharmacien saisissent lors de la commande des médicaments, telles que leur nom, l’adresse de livraison et les éléments nécessaires à l’individualisation des médicaments, constituent des données concernant la santé au sens du RGPD, même lorsque la vente de ces médicaments n’est pas soumise à prescription médicale.
Retrouvez toute l'actualité en matière de droit des sociétés, droit commercial et de la concurrence dans Navis Droit des Affaires !
Vous êtes abonné ? Accédez à votre Navis Droit des affaires à distance
Pas encore abonné ? Nous vous offrons un accès au fonds documentaire Navis Droit des Affaires pendant 10 jours.
