Le 4 octobre 2024, la Cour de justice de l’Union européenne (CJUE), dans l’affaire ND contre DR (C-21), a rendu une décision intéressante sur la qualification de données de santé et l’imbrication entre la règlementation en matière de protection des données et le droit de la concurrence.
Dans cette affaire, une pharmacie commercialise depuis 2017 des médicaments dont la vente est réservée aux pharmacies, sur la plateforme en ligne Amazon-Marketplace.
Une pharmacie concurrente saisit le tribunal régional d’Allemagne d’un recours tendant à ce qu’il soit enjoint à la précédente de cesser, sous peine d’astreinte, de commercialiser, sur Amazon-Marketplace, des médicaments dont la vente est réservée aux pharmacies, tant qu’il n’est pas garanti que le client puisse donner son consentement préalable au traitement de données concernant la santé. La pharmacie considère que la commercialisation sur Amazon de médicaments dont la vente est réservée aux pharmacies était déloyale en raison de la méconnaissance des règles de la protection des données.
L’intérêt de la décision de la Cour de justice de l’Union européenne est double.
La Cour de justice de l’Union européenne rappelle tout d’abord que si la violation des dispositions du RGPD est en premier lieu susceptible de porter atteinte à des personnes concernées, elle peut également porter atteinte à des tiers, ce qu’elle a d’ores et déjà pu préciser.
La Cour de justice en conclut ainsi qu’un concurrent à l’auteur présumé d’une violation des dispositions relatives à la protection des données à caractère personnel a qualité pour agir contre cet auteur présumé sur le fondement de l’interdiction des pratiques commerciales déloyales en raison des violations du RGPD.
Notons que la Cour de cassation a déjà considéré en 2021 que le non-respect d’une réglementation dans l’exercice d’une activité commerciale qui induit nécessairement un avantage concurrentiel indu par son auteur constitue un acte de concurrence déloyale[1].
Le tribunal judiciaire de Paris avait par la suite statué en ce sens sur la réglementation en matière de protection des données considérant qu’un manquement aux exigences du RGPD constituait un acte de concurrence déloyale[2].
La Cour de justice de l’Union européenne s’est par ailleurs prononcée sur la question de savoir si les informations saisies par des clients d’une plateforme en ligne lors de la commande de médicaments dont la vente est réservée en pharmacie, à savoir leur nom, adresse de livraison et les éléments nécessaires à l’individualisation des médicaments sont des données de santé.
La Cour a ainsi rappelé que pour des données à caractère personnel puissent être qualifiées de données concernant la santé, il suffit qu’elles soient de nature à révéler, par une opération intellectuelle de rapprochement ou de déduction, des informations sur l’état de santé de la personne concernée.
La Cour de justice en conclut que les informations relatives aux clients d’une plateforme en ligne de médicaments dont la vente est réservée aux pharmacies constituent des données concernant la santé, même lorsque la vente de ces médicaments n’est pas soumise à prescription médicale.
En effet, la Cour juge qu’il n’y a pas lieu de distinguer selon que les médicaments sont soumis ou non à prescription médicale, même si c’est seulement avec une certaine probabilité, pour ces derniers, et non avec une certitude absolue, que ces médicaments sont destinés à des clients et non à des tiers.
Cette décision met en lumière d’une part, le fait que la conformité au RGPD affecte l’ensemble des matières du droit et que les concurrents peuvent s’emparer de l’absence de conformité d’un organisme. D’autre part, cette décision rappelle que les données de santé doivent être entendue largement dans l’objectif de garantir un niveau élevé de protection des données.
Le cabinet se tient à votre disposition pour vous accompagner dans la mise en œuvre de votre conformité au RGPD et l’appréhension de vos traitements impliquant des données de santé.
[1] Cour de cassation, Chambre commerciale, 17 mars 2021, 19-10.414, Inédit.
[2] Tribunal de grande instance de Paris, Ct0196, 15 avril 2022, 19/12628.