Hors collection - Droit du e-commerce et du marketing digital - 1re - 144

144

DROIT

DU E-COMMERCE ET DU MARKETING DIGITAL

En France, le 21 janvier 2019, la formation restreinte de la CNIL a prononcé une sanction de 50 M€ à l'encontre de la société
Google LLC en application du RGPD pour manque de transparence, information insatisfaisante et absence de consentement
valable pour la personnalisation d la publicité74. Concernant l'accès et la transparence de l'information, la CNIL regrette que
des « informations essentielles [...] soient excessivement disséminées dans plusieurs documents ». Il faut que l'internaute
navigue entre plusieurs boutons et liens pour accéder aux indications « pertinentes ». Au sujet de la qualité de l'information,
les traitements réalisés par Google « sont décrits de façon trop générique et vague », tout comme les données concernées. En
clair, l'internaute « n'est pas en mesure de comprendre l'ampleur des traitements », alors que ceux-ci « sont particulièrement
massifs et intrusifs, en raison du nombre de services proposés, de la quantité et de la nature des données traitées et combinées.
Enfin, au sujet du consentement, la CNIL observe que le consentement des internautes « n'est pas suffisamment éclairé » (du
fait des manquements précédents), que des cases d'approbation sont pré-cochées par défaut (comme l'affichage des publicités
personnalisées) et que les conditions d'utilisation sont présentées de telle façon qu'il est obligé de le accepter en bloc, au lieu de
faire du cas par cas.

B. Action de groupe relative à la protection des données personnelles
119. Notion - Ouverte initialement aux seuls domaines de l'environnement et de la santé, la loi
nº 2016-1547 du 18 novembre 2016 de modernisation de la justice du XXIe siècle, complétée par le
décret nº 2017-888 du 6 mai 2017, ouvre l'action de groupe notamment au domaine de la protection
des données à caractère personnel, pour les manquements à la loi nº 78-17 du 6 janvier 1978, dite « loi
Informatique et Libertés ». La loi relative à la protection des données personnelles adoptée le 14 mai
201875 est venue compléter ce dispositif : les actions de groupe pourront désormais être fondées sur
des dispositions du RGPD et de son article 80. En vertu de cet article, plusieurs personnes physiques
placées dans une situation similaire subissant un dommage résultant de la violation des dispositions
relatives à la protection des données peuvent, par l'intermédiaire d'organismes à but non lucratif,
exercer une action de groupe devant la juridiction civile ou la juridiction administrative compétente
et obtenir réparation des préjudices subis. Ainsi, en France, les personnes concernées ayant été
victimes par exemple d'une même fuite de données ou d'une même cession non autorisée de leurs
données personnelles pourront désormais obtenir réparation de leur préjudice au travers d'une
action de groupe. L'entrée en vigueur du RGPD et sa transposition en droit français ne modifient pas
la procédure de l'action de groupe, telle qu'instaurée par la loi sur la justice du XXIe siècle. Ainsi, sous
peine d'irrecevabilité, l'action doit être précédée de la mise en demeure du défendeur de cesser ou de
faire cesser le manquement ou de réparer les préjudices subis. Ce n'est qu'à l'issue d'un délai de 4 mois
après réception de la mise en demeure que l'action de groupe pourra être introduite. Ce délai de
4 mois a sans doute contribué, au côté de l'absence de fonction réparatrice, à réduire l'efficacité de
l'action de groupe en France. Les personnes physiques disposent en effet de la possibilité, plus rapide,
de saisir directement et individuellement la CNIL, ou simplement de déposer une plainte pénale en
cas de violation de leurs droits. En outre, la juridiction civile ou administrative ne peut être saisie
que par les organisations suivantes :
- une association « ayant pour objet statutaire la protection de la vie privée et la protection des
données à caractère personnel », régulièrement déclarée depuis au moins 5 ans ;
- une association de défense des consommateurs représentative agréée au niveau national ;
- un syndicat représentatif de salariés ou de fonctionnaires.
74. Voir la motivation de la décision sur www.cnil.fr
75. Zolynsky C., « Les nouveaux contours de l'action de groupe et de l'action collective au lendemain de la loi pour la
protection des données : un empowerment renforcé », Dalloz IP/IT 12 sept. 2018, p. 470.

http://www.cnil.fr

Hors collection - Droit du e-commerce et du marketing digital - 1re

Table des matières de la publication Hors collection - Droit du e-commerce et du marketing digital - 1re