Collecte illicite de données de navigation et action représentative de groupe : la Cour suprême du Royaume-Uni exige la preuve d’un préjudice matériel ou moral individualisé dans l’arrêt Lloyd v Google LLC ([2021] UKSC 50).

Entre août 2011 et février 2012, Google LLC avait utilisé un procédé technique (dit Safari Workaround) permettant de contourner le blocage par défaut des témoins de connexion tiers (third-party cookies) sur le navigateur Safari des téléphones iPhone d’Apple, afin de suivre l’activité de navigation internet des utilisateurs et de commercialiser des espaces publicitaires ciblés. Richard Lloyd, ancien dirigeant d’une association de défense des consommateurs, avait sollicité l’autorisation de signifier à Google aux États-Unis un acte introductif d’instance exercé sous la forme d’une action représentative (representative action) régie par la règle 19.6 des Civil Procedure Rules (CPR), au nom des quelque 4,4 millions d’utilisateurs d’iPhone résidant en Angleterre et au pays de Galles.

La règle 19.6 des CPR permet à une personne d’agir sans mandat préalable au nom d’un ensemble de personnes dès lors que toutes ont le « même intérêt » (same interest) au litige (mécanisme d’opt-out). Pour satisfaire à cette condition d’identité d’intérêt sans avoir à prouver la situation propre de chacun des 4,4 millions d’utilisateurs, le demandeur renonçait à invoquer toute perte financière ou détresse psychologique particulière et réclamait pour chaque personne représentée une somme forfaitaire uniforme (évaluée à 750 livres sterling par personne, soit plus de 3 milliards de livres au total) au titre de la seule « perte de contrôle » (loss of control) de leurs données personnelles sur le fondement de l’article 13 du Data Protection Act 1998.

Bien que rendu sous l’empire du Data Protection Act 1998, l’arrêt Lloyd v Google LLC s’inscrit en parfaite harmonie avec les solutions dégagées par la Cour de justice de l’Union européenne et le droit français sous l’empire du Règlement général sur la protection des données (RGPD) :

• La jurisprudence de la CJUE sur l’article 82 du RGPD (CJUE, 4 mai 2023, UI c. Österreichische Post AG, aff. C-300/21, et 14 décembre 2023, Natsionalna agentsia za prihodite, aff. C-340/21) : saisie de l’interprétation de l’article 82, paragraphe 1, du RGPD, la CJUE a jugé que le droit à réparation est subordonné à trois conditions cumulatives : l’existence d’une violation du RGPD, l’existence d’un dommage matériel ou moral effectivement subi, et un lien de causalité entre cette violation et ce dommage, de sorte que la simple violation des dispositions du RGPD ne suffit pas à conférer à elle seule un droit à réparation forfaitaire. Si la CJUE (à la différence du droit anglais) écarte toute exigence d’un « seuil de gravité » minimal du préjudice moral et admet que la crainte fondée d’un usage abusif futur des données puisse constituer un dommage moral, elle impose néanmoins à la personne concernée de démontrer la réalité concrète de ce préjudice moral et exclut toute fonction punitive des dommages-intérêts de l’article 82 du RGPD (qui relève des amendes administratives prononcées par les autorités de contrôle telles que la CNIL en vertu de l’article 83).
• L’action de groupe « Informatique et Libertés » en droit français (article 37 de la loi n° 78-17 du 6 janvier 1978 et directive (UE) 2020/1828) : contrairement au mécanisme anglais d’opt-out de la règle 19.6 des CPR, l’action de groupe française en matière de données personnelles repose sur un système d’adhésion volontaire (opt-in) après le jugement sur la responsabilité : le tribunal judiciaire statue d’abord sur le manquement du responsable de traitement et définit le groupe des personnes à l’égard desquelles la responsabilité est engagée ainsi que les critères de rattachement, puis chaque personne concernée adhère au groupe pour obtenir la réparation individualisée ou par catégories de son préjudice matériel et moral.

Pourquoi la Cour suprême du Royaume-Uni a-t-elle rejeté l’action représentative dans l’affaire Lloyd v Google ([2021] UKSC 50) ?

Parce que le demandeur tentait d’obtenir une indemnisation forfaitaire uniforme pour 4,4 millions d’utilisateurs d’iPhone au titre de la seule « perte de contrôle » de leurs données de navigation, sans établir pour chaque individu ni l’ampleur des données effectivement collectées ni l’existence d’un préjudice financier ou d’une détresse morale.

La Cour de justice de l’Union européenne adopte-t-elle une position comparable sur l’article 82 du RGPD ?

Oui sur le principe fondamental : dans son arrêt UI c. Österreichische Post AG du 4 mai 2023 (C-300/21), la CJUE juge que la simple violation du RGPD ne suffit pas à ouvrir droit à des dommages-intérêts et que le demandeur doit prouver l’existence d’un dommage matériel ou moral effectif causé par cette violation.

Comment les violations massives de données personnelles sont-elles sanctionnées en France lorsque le préjudice individuel est faible ?

Outre l’action de groupe ouverte devant le tribunal judiciaire aux associations agréées et aux syndicats (article 37 de la loi Informatique et Libertés) pour obtenir la cessation du manquement et la réparation des préjudices individuels, la fonction dissuasive et punitive est assurée par la formation restreinte de la CNIL, qui peut prononcer des amendes administratives allant jusqu’à 20 millions d’euros ou 4 % du chiffre d’affaires mondial annuel en application de l’article 83 du RGPD.