Données personnelles: l'action de groupe, un risque pour les entreprises

L'action de groupe, qui permet à plusieurs victimes d'un même préjudice de la part d'un professionnel de se regrouper afin d'agir en justice collectivement, prend de plus en plus d'importance en France.

Axée à l'origine sur les droits des consommateurs, elle a été étendue à plusieurs domaines tels que la santé, la discrimination dans les relations du travail ou encore la protection de l'environnement.

Avec la loi de modernisation de la justice du XXIème siècle du 18 novembre 2016 qui créé un nouvel article dans la loi « Informatique et Libertés », l'action de groupe s'applique désormais à la protection des données à caractère personnel. Elle constitue donc un sujet à prendre très au sérieux dans la mesure où elle concerne toutes les entreprises.

Des possibilités d'actions et sanctions aujourd'hui limitées

Aujourd'hui, pour introduire une action de groupe devant un juge, plusieurs personnes physiques placées dans une situation similaire doivent avoir subi un dommage ayant une cause commune - un manquement à la loi « Informatique et Libertés » - et provoqué par le même responsable de traitement de données ou le même sous-traitant.

En complément de cette première condition, ces personnes physiques ne peuvent introduire une action de groupe : en effet, seules peuvent agir certaines associations ou organisations syndicales.

En outre, la procédure à suivre pour mener cette action de groupe nécessite, au préalable, une mise en demeure obligatoire qui doit rester vaine pendant 4 mois, temps qui est ouvert à la « discussion » entre les différentes parties.

Enfin, les sanctions restent limitées dans la mesure où l'action de groupe ne peut tendre qu'à l'arrêt du manquement constaté : aucune réparation pécuniaire pour le dommage subi ne peut donc être prononcée au seul titre de l'action de groupe.

Vers une action de groupe de plus en plus contraignante pour les entreprises ?

En dépit du caractère limité de l'action de groupe à l'heure actuelle, les entreprises doivent s'y préparer de manière proactive.

Une première mesure à prendre est la conduite d'une analyse, en interne, du manque de conformité de l'ensemble des traitements de l'entreprise pour s'assurer du respect de la loi « Informatique et Libertés » actuelle ainsi que des obligations à venir découlant du règlement européen sur la protection des données personnelles (RGDP) qui entrera en vigueur en mai 2018 : elle doit aboutir, pour l'entreprise, à effectuer les changements nécessaires, notamment en matière de gouvernance.

Une seconde mesure consiste à se tourner vers les Etats-Unis pour apprendre du contentieux des actions de groupe car les class actions y existent depuis de nombreuses années : l'expérience des entreprises basées outre-Atlantique peut ainsi s'avérer bénéfique pour préparer au mieux sa défense.

Dans le contexte du RGDP, l'action de groupe pourrait prendre une nouvelle dimension, synonyme de risques accrus pour les entreprises. A ce stade, plusieurs hypothèses peuvent être faites. Une entreprise française pourrait faire l'objet, à l'avenir, d'une action de groupe introduite dans un Etat membre qui reconnaît le droit à réparation. Elle pourrait devoir faire face également, en France, à des actions individuelles en réparation facilitées par une condamnation préalable au titre d'une action de groupe ; ou encore à une procédure devant la CNIL qui prononcerait une amende. Enfin, une action en responsabilité pour concurrence déloyale, par des concurrents s'estimant lésés, est une hypothèse plausible.

Les entreprises ont donc intérêt à se mettre en conformité dès à présent tout en préparant leur plan d'action en cas de non-conformité et leur défense.