Naissance de l’action de groupe en matière de données personnelles

L’action de groupe permet à des victimes d’infractions, qu’elles soient civiles ou pénales, de se regrouper afin d’agir ensemble contre la personne responsable.

Bien installée aux États-Unis, cette pratique n’existe en France que depuis une loi du 17 mars 2014, dite « Loi HAMON ». Elle était alors réservée aux litiges entre professionnels et consommateurs.

Mais une loi du 18 novembre 2016 a étendu le domaines d’application de ces actions de groupe, notamment en matière de protection des données personnelles.

Ces dispositions sont pleinement applicables depuis le 6 mai 2017 et la publication d’un décret qui a précisé les modalités d’application de la loi précitée.

Dans le cadre d’une telle action, les victimes n’agissent pas individuellement, mais par l’intermédiaire d’un groupement, une association par exemple.

C’est cette association qui se présentera devant le Tribunal de grande instance territorialement compétent.

Malgré ce regroupement, chacun des cas particuliers devra être exposé dans l’assignation, à peine de nullité de l’acte (article 826-4 du Code de procédure civile).

Une fois engagée, l’action se déroule en trois phases :

  • Dans un premier temps, le juge désigne un tiers spécialisé dans le domaine concerné afin qu’il mette en place toutes les mesures propres à faire cesser le manquement. L’intervention de ce tiers se fait aux frais de l’auteur du manquement qui devra consigner les fonds nécessaires ;
  • Dans un second temps, le juge rend un jugement sur la responsabilité de l’auteur du manquement. Parmi les mesures ordonnées figure une publicité de la décision, laquelle est obligatoire ;
  • Dans un troisième et dernier temps, les victimes sont indemnisées via un « groupe » qui recueille les fonds correspondant aux dommages-intérêts accordés. Si l’auteur du manquement ne versait pas les sommes fixées par le Tribunal, le groupement ayant agi en justice a également qualité pour saisir le Juge de l’exécution de la difficulté.

Ces actions de groupe existent également devant les juridictions administratives.

Devant ces dernières, la publicité accordée aux procédures engagées est encore renforcée puisque le site du Conseil d’État les recensera afin de faciliter la manifestation de nouvelles victimes susceptibles de venir s’ajouter à l’action.

Ce sont donc ces procédures qui vont permettre aux victimes d’atteintes à leurs données personnelles d’obtenir réparation de leur(s) préjudice(s).

Un cas de figure est à ce jour inscrit dans la loi « Informatique et Libertés ».

Il s’agit de l’hypothèse d’un responsable de traitement de données personnelles ou de l’un de ses sous-traitants qui ne respecterait pas les dispositions de ce texte.

Le même article précise que seules peuvent agir des associations agissant en matière de protection des données personnelles depuis plus de 5 ans, les associations de défense de consommateurs ayant un rayonnement national ou bien encore les syndicats.

Ce texte, tel qu’il est actuellement rédigé, semble donc avoir deux limites :

  • Aucune association de victime ne pourra être créée à l’occasion d’un manquement dans le seul but d’agir puisqu’il faudrait que cette association attende un délai de 5 ans pour agir, lequel délai couvrirait la prescription civile des délits d’atteinte aux données personnelles. Il sera donc obligatoire de passer par des associations déjà existantes ;
  • L’hypothèse d’une action de groupe des suites d’un « piratage » d’un site internet ou d’une base de données n’est pas prévu par le texte de la loi « Informatique et Libertés ». A priori donc, il ne sera pas possible pour les victimes de tels actes d’agir au moyen de l’action de groupe.

Malgré ces points qui restent pour l’heure en suspens, l’ouverture d’une action de groupe dans ce domaine est une avancée incontestable puisque, lorsqu’un manquement de la part d’un responsable de traitement est constaté, ce manquement s’étend généralement à bon nombre de personnes objet du traitement.

Plusieurs cas ont déjà été traités par la CNIL par le passé. On songe notamment aux cas des fichiers clients ou relatifs au personnel d’une société et qui contenaient des commentaires parfois injurieux.

Jusqu’ici, les personnes qui avaient été informées du manquement devaient agir individuellement, sans bénéficier des moyens d’une association ou de la publicité attachée à l’action en cours.

Avec cette nouvelle action de groupe, les moyens procéduraux mis à la disposition des victimes permettrons de rendre les jugements plus efficaces en s’attachant en premier lieu à faire cesser le manquement.

 

Amandine QUENTON