Application privée du RGPD et données de santé : la Grande chambre de la CJUE juge qu’un concurrent peut agir en concurrence déloyale pour faire cesser une violation du RGPD et que toute commande en ligne de médicaments constitue une « donnée concernant la santé » soumise à l’article 9 (arrêt Lindenapotheke, C-21/23).

ND, pharmacien exploitant la pharmacie Lindenapotheke en Allemagne, commercialisait depuis 2017 sur la plateforme de vente en ligne Amazon des médicaments dont la vente est réservée aux pharmacies mais qui ne sont pas soumis à prescription médicale obligatoire (médicaments dits en vente libre ou d’automédication). Lors de la commande en ligne, les clients devaient saisir leur nom, l’adresse de livraison et les éléments nécessaires à l’individualisation des médicaments commandés, sans qu’un consentement explicite au traitement de données de santé leur fût demandé.

DR, pharmacien concurrent, avait saisi les juridictions civiles allemandes d’une action en cessation sur le fondement de la loi allemande contre la concurrence déloyale (Gesetz gegen den unlauteren Wettbewerb — UWG), en soutenant que la commercialisation de ces médicaments sans recueil préalable du consentement explicite exigé par l’article 9, paragraphe 2, sous a), du RGPD constituait un manquement à une règle de comportement sur le marché. Saisie d’un pourvoi en Revision, la Cour fédérale de justice d’Allemagne (Bundesgerichtshof — BGH) a interrogé la Cour de justice de l’Union européenne (CJUE) tant sur la recevabilité d’une telle action d’un concurrent au regard du chapitre VIII du RGPD que sur la qualification de « données concernant la santé » au sens de l’article 9, paragraphe 1, du RGPD.

En droit français, l’arrêt de Grande chambre Lindenapotheke conforte directement une jurisprudence majeure des juridictions commerciales et de la Cour de cassation :

• L’action en concurrence déloyale fondée sur le défaut de conformité au RGPD d’un concurrent (article 1240 du Code civil) : selon la jurisprudence constante de la chambre commerciale de la Cour de cassation (notamment Cass. com., 12 février 2020, n° 17-31.614 ; 17 mars 2021, n° 19-10.414) et du Tribunal de commerce de Paris (notamment jugement du 14 avril 2022), le non-respect d’une réglementation obligatoire — telle que le RGPD et la loi Informatique et Libertés — dans l’exercice d’une activité commerciale confère à son auteur un avantage concurrentiel illicite (économie des coûts de mise en conformité, captation déloyale de clientèle ou de fichiers) constitutif d’une faute de concurrence déloyale engageant sa responsabilité délictuelle et ouvrant droit à injonction sous astreinte et à dommages-intérêts.
• Les obligations renforcées des sites de commerce en ligne, de santé et de bien-être : au-delà des seules pharmacies en ligne (encadrées en France par les articles L. 5125-33 et suivants du Code de la santé publique), l’interprétation par déduction de l’article 9 du RGPD retenue par la CJUE impose à tout site marchand commercialisant des produits médicaux, dispositifs d’optique, tests de dépistage ou produits de santé permettant de déduire une pathologie d’appliquer le régime strict des données de santé (consentement explicite de l’article 9, paragraphe 2, sous a), hébergement certifié le cas échéant et durée de conservation réduite), sous le contrôle tant de la CNIL que du juge commercial saisi par un concurrent.

Une entreprise peut-elle assigner un concurrent en concurrence déloyale devant le tribunal de commerce parce que ce concurrent ne respecte pas le RGPD ?

Oui. Par son arrêt de Grande chambre Lindenapotheke du 4 octobre 2024 (C-21/23), la CJUE juge que le chapitre VIII du RGPD n’empêche pas une entreprise d’agir devant les juridictions civiles ou commerciales sur le fondement de la concurrence déloyale pour faire cesser une violation du RGPD qui procure un avantage concurrentiel indu à son auteur.

Pourquoi l’achat en ligne d’un médicament sans ordonnance est-il protégé comme une « donnée concernant la santé » au sens de l’article 9 du RGPD ?

Parce que l’association du nom et de l’adresse du client avec la commande d’un médicament destiné à soigner une affection permet de tirer, par déduction intellectuelle, des conclusions sur son état de santé probable, peu important qu’il ne soit pas certain à 100 % que le médicament soit destiné au client lui-même plutôt qu’à un proche.

Que doit mettre en place un site de vente en ligne commercialisant des produits de santé ou de parapharmacie révélant un état pathologique ?

En dehors des cas relevant directement de l’exception de prise en charge sanitaire par un professionnel soumis au secret médical (article 9 § 2 sous h)), l’opérateur doit informer clairement l’internaute et recueillir son consentement explicite et spécifique au traitement de ses données de santé avant la validation de la commande (article 9 § 2 sous a) du RGPD).