La sanction d’une violation du RGPD sous le prisme de la concurrence déloyale

La CJUE reconnait la possibilité d’agir sur le fondement de la concurrence déloyale en raison d’une violation du RGPD et apporte des précisions sur la qualification de données de santé, dans un arrêt du 4 octobre 2024.

Dans le cadre de cette affaire, un pharmacien allemand a mis en vente sur le site de e-commerce Amazon des médicaments réservés à la vente par des pharmacies. Lors d’un achat en ligne, les clients du pharmacien saisissent des informations personnelles telles que le nom, ou l’adresse de livraison mais aussi des données permettant l’individualisation des médicaments.

Au regard de cette pratique, un pharmacien exploitant d’une officine concurrente saisi le juge fédéral allemand en considérant que cette pratique est déloyale étant donné qu’elle ne garantit pas au client la possibilité de donner son consentement préalable au traitement de ses données personnelles concernant sa santé, ce qui est contraire aux prescriptions du RGPD (le Règlement général sur la protection des données, entré en application le 25 mai 2018).

Alors que la juridiction de première instance valide cet argument, la Cour fédérale de justice allemande pose deux questions préjudicielles à la CJUE en raison d’un doute portant sur l’interprétation du RGPD.

Tout d’abord, la CJUE est interrogée sur la question de savoir si les dispositions du RGPD ne s’opposent pas à ce qu’un Etat membre prévoit dans sa législation nationale que la violation du RGPD est susceptible de justifier une action sur le fondement des pratiques commerciales déloyales.

A cette question, la CJUE répond que le législateur de l’Union n’a pas entendu procéder à une harmonisation exhaustive des voies de recours ouvertes en cas de violation des dispositions du RGPD et n’a donc pas souhaité exclure une telle possibilité d’action sur le fondement de la concurrence déloyale (point 60).

Cette interprétation est confirmée par les objectifs poursuivis par le RGPD qui visent notamment à assurer un niveau élevé de protection des personnes.

Ainsi, les voies de recours visées à l’article 77 et suivants du RGPD, habilitant les personnes concernées et certaines associations et certains organismes habilités à intenter une action en justice, n’ont pas pour effet d’exclure l’application d’autres voies de recours exercées par d’autres acteurs, notamment sur le fondement de la concurrence déloyale.

Appréhendée au regard du droit national, cette solution s’inscrit dans la lignée de la jurisprudence française qui considère depuis fort longtemps que la violation d’une disposition légale et/ou réglementaire par une entreprise est constitutive d’un acte de concurrence déloyale par manquement à la loi à l’égard des autres acteurs économiques compte tenu du positionnement anormalement favorable que cette violation lui procure et de la distorsion de concurrence en résultant nécessairement.

Par ailleurs, l’apport de cet arrêt réside également dans la seconde question préjudicielle posée à la CJUE.

En effet, la CJUE est interrogée sur la question de savoir si les données communiquées lors d’un achat en ligne, de nature à révéler des informations sur l’état de santé du client, constituent bien des données à caractère personnel concernant la santé au sens du RGPD, y compris lorsque l’achat du médicament n’est pas soumis à une prescription médicale.

A cette question, la CJUE répond par l’affirmative en considérant que lorsque les données portant sur l’achat des médicaments permettent de tirer des conclusions sur l’état de santé du client, « par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé de la personne concernée », elles doivent nécessairement être considérées comme des données de santé au sens de l’article 4, point 15 du RGPD.

Par cet arrêt, la CJUE renforce indirectement la protection des consommateurs sur l’espace économique européen en ouvrant la possibilité aux opérateurs économiques d’agir sur le fondement de la concurrence déloyale en présence d’une violation du RGPD par un autre opérateur économique.

Références de l’arrêt : CJUE, 4 oct. 2024, nº C-21/23, Lindenapotheke