Hors collection - Le droit face à la disruption numérique - 1re - 247

CHAPITRE 1 - LE

DROIT DE LA PROTECTION DES DONNÉES PERSONNELLES

247

1005. Le G29 encourage également la désignation d'un DPO en dehors des cas obligatoires prévus à
l'article 37 du Règlement, en ce qu'elle permet de confier à un expert l'identification et la coordination des actions à mener en matière de protection des données personnelles au sein d'une entité.
1006. Le DPO sera l'interlocuteur direct entre l'organisme et les personnes fichées et jouera un rôle de
médiateur lorsqu'une personne, dont les données personnelles font l'objet d'un traitement, souhaite
porter une réclamation. Le DPO sera donc la première personne informée et ceci avant même la transmission d'une plainte à la Cnil ou d'une assignation devant un tribunal.
1007. Le DPO peut faire partie de l'entreprise, mais cette fonction peut aussi être externalisée. Des
entreprises privées proposent ce service et les cabinets d'avocats peuvent également s'en charger.
Pour les PME, il serait pertinent de mutualiser les DPO entre plusieurs entreprises de même pour les
administrations publiques en particulier les petites communes.
Références
Bothorel E. et Le Grip C., « Rapport d'information sur le marché unique du numérique », 6 déc. 2017, nº 479.
Lataste S., « L'avocat et le nouveau règlement européen sur la protection des données », Gaz. Pal. 3 oct. 2017, nº 33.

§4. L'action de groupe
1008. Introduites en droit de la consommation par la loi nº 2014-344 du 17 mars 2014, dite « Loi
Hamon », les actions de groupe bénéficient, depuis la loi nº 2016-1547 du 18 novembre 2016 de
modernisation de la justice du XXIe siècle, d'un champ d'application plus étendu. Tout en instaurant
un cadre juridique général pour les actions de groupe devant le juge judiciaire et le juge administratif,
le nouveau dispositif issu de la loi de novembre 2016, pose des règles spécifiques applicables aux
actions de groupe dans des domaines aussi variés et notamment la protection des données à caractère
personnel (L. nº 2016-1547, art. 91).
1009. Cette action de groupe n'est ouverte qu'aux « seules associations agréées et les associations
régulièrement déclarées depuis cinq ans au moins dont l'objet statutaire comporte la défense d'intérêts auxquels il a été porté atteinte » (L. nº 2016-1547, art. 63).
1010. En matière de protection des données à caractère personnel, la loi n'autorise l'action de
groupe qu'en vue de la cessation du manquement. L'action en justice tendant à obtenir la réparation
du préjudice subi ne pourra dès lors qu'être engagée à titre individuel.
1011. L'action de groupe ne peut être exercée que si le demandeur a mis en demeure, au préalable,
la personne à l'encontre de laquelle, il envisage d'agir, et si un délai de quatre mois s'est écoulé
depuis la réception de cette mise en demeure.
1012. En cas de demande visant à faire cesser le manquement, le juge, s'il constate l'existence de ce
manquement, enjoint au défendeur de cesser ou de faire cesser ledit manquement.
1013. S'il s'agit d'une action de groupe visant à obtenir la réparation d'un manquement, la procédure
comporte deux phases :
- la phase de jugement : le juge statue en premier lieu sur la responsabilité du défendeur. Il définit
le groupe de personnes à l'égard desquelles la responsabilité du défendeur est engagée et détermine les préjudices susceptibles d'être réparés. Il fixe ensuite un délai pour que les personnes

Table des matières de la publication Hors collection - Le droit face à la disruption numérique - 1re