Par un arrêt du 4 octobre 2024 (affaire C-21/23), la Cour de justice de l’Union européenne a précisé l’articulation entre droit des données personnelles et droit de la concurrence, en validant la possibilité pour un concurrent de saisir les juridictions civiles sur le fondement de la concurrence déloyale lorsqu’il estime qu’une entreprise enfreint le RGPD.
L’affaire opposait deux pharmaciens allemands : l’un commercialisait des médicaments via Amazon sans recueillir valablement le consentement de ses clients pour le traitement de leurs données ; l’autre a engagé une action en cessation pour pratiques commerciales déloyales. La CJUE a jugé qu’une telle action privée est compatible avec le RGPD et en renforce même l’efficacité.
L’apport est notable : le RGPD ne relève pas exclusivement des autorités de contrôle ou des personnes concernées ; les États membres peuvent prévoir des recours complémentaires. Violer le RGPD n’expose donc plus seulement à une sanction administrative, mais aussi à une action de ses concurrents. La Cour confirme par ailleurs que les données saisies lors d’une commande de médicaments en ligne, même non soumis à prescription, constituent des données de santé : le lien entre le médicament commandé et l’état de santé déduit suffit, ce qui impose un cadre de traitement particulièrement strict (consentement explicite).
À retenir : un concurrent peut invoquer une violation du RGPD dans une action en concurrence déloyale ; les informations issues d’une commande de médicaments en ligne relèvent des données de santé ; les entreprises opérant en ligne doivent intégrer dans leur stratégie juridique non seulement le regard des autorités, mais aussi celui de leurs concurrents. Le RGPD devient aussi une arme de concurrence.
Source : CJUE, affaire C-21/23, arrêt du 4 octobre 2024 (Dalloz IP/IT).