Article 79 Droit à un recours juridictionnel effectif contre un responsable du traitement ou un sous-traitant

Conditions d'exercice du droit de recours

L'article 79 confère à toute personne concernée le droit d'introduire un recours juridictionnel si elle considère que ses droits ont été violés du fait d'un traitement effectué en violation du RGPD. Contrairement au droit à réparation prévu à l'article 82, l'article 79 ne requiert pas la preuve d'un dommage matériel ou moral. Il suffit que la personne concernée estime raisonnablement qu'une violation du RGPD a été commise.

Le recours peut viser différents objectifs : obtenir la cessation d'un traitement illicite, forcer l'exécution d'un droit (accès, rectification, effacement, etc.), obtenir réparation d'un préjudice, ou faire constater judiciairement une violation du RGPD. Cette flexibilité permet aux personnes concernées d'adapter leur stratégie contentieuse à leur situation spécifique.

Le paragraphe 1 de l'article 79 précise expressément que le recours juridictionnel s'exerce « sans préjudice de tout recours administratif ou extrajudiciaire », incluant le droit de réclamation auprès d'une autorité de contrôle. Les personnes concernées peuvent donc choisir librement entre ces différentes voies de recours, les exercer successivement ou même simultanément, selon leur stratégie.

Compétence juridictionnelle

Le paragraphe 2 de l'article 79 offre à la personne concernée un choix entre deux options pour déterminer la juridiction compétente. Elle peut saisir soit les juridictions de l'État membre dans lequel le responsable du traitement ou le sous-traitant dispose d'un établissement, soit les juridictions de l'État membre dans lequel elle a sa résidence habituelle. Cette flexibilité vise à faciliter l'accès à la justice en permettant aux personnes de saisir les tribunaux les plus proches et les plus accessibles.

La notion d'établissement au sens de l'article 79 doit être interprétée de manière large, conformément à la jurisprudence de la Cour de justice de l'Union européenne. Un établissement existe dès lors qu'une entité exerce, même de manière minimale, une activité réelle et effective au moyen d'une installation stable. Dans le cas d'un groupe d'entreprises disposant de plusieurs établissements dans différents États membres, la personne concernée peut choisir de saisir les juridictions de n'importe quel État membre où le groupe dispose d'un établissement.

L'exception prévue pour les autorités publiques agissant dans l'exercice de leurs prérogatives de puissance publique vise à préserver les règles traditionnelles de compétence juridictionnelle en matière de droit public. Dans ce cas, seules les juridictions de l'État membre dont relève l'autorité publique sont compétentes, conformément au principe général selon lequel un État ne peut exercer de juridiction sur les actes de puissance publique d'un autre État.

Articulation entre les différentes voies de recours

L'article 79 s'articule avec les articles 77 et 78, qui prévoient respectivement le droit de réclamation auprès d'une autorité de contrôle et le droit de recours juridictionnel contre les décisions de cette autorité. Ces différentes voies de recours ne sont pas alternatives mais cumulatives, offrant aux personnes concernées une palette complète de possibilités pour faire valoir leurs droits.

Une personne concernée peut ainsi choisir de saisir directement une juridiction civile au titre de l'article 79, sans passer par une réclamation administrative préalable. Elle peut également introduire une réclamation auprès d'une autorité de contrôle et, parallèlement ou consécutivement, saisir les tribunaux civils. Dans certains cas, elle pourra même contester devant les tribunaux administratifs la décision de l'autorité de contrôle (article 78) tout en intentant une action civile contre le responsable de traitement (article 79).

Cette multiplicité des voies de recours reflète la volonté du législateur européen de garantir l'effectivité maximale des droits des personnes concernées. Toutefois, elle peut également créer des situations de litispendance ou de risque de décisions contradictoires. Les juridictions nationales devront coordonner leurs actions et, le cas échéant, surseoir à statuer dans l'attente de la décision d'une autre juridiction ou d'une autorité de contrôle.

Articulation avec les autres dispositions du RGPD

L'article 79 se combine étroitement avec l'article 82, qui prévoit le droit à réparation en cas de dommage matériel ou moral résultant d'une violation du RGPD. L'article 79 a une portée plus large car il ne se limite pas aux actions en réparation mais couvre également les actions en cessation, en exécution forcée des droits, ou simplement en constatation d'une violation.

Il s'articule également avec l'article 80, qui permet aux organismes, organisations et associations à but non lucratif de représenter les personnes concernées dans l'exercice de leurs droits de recours. Cette possibilité de représentation collective facilite l'accès à la justice pour les personnes qui n'ont pas les ressources ou les connaissances nécessaires pour agir seules devant les tribunaux.

Jurisprudence relative à l'article 79

La Cour de justice de l'Union européenne a eu l'occasion de préciser la portée de l'article 79 dans plusieurs affaires importantes. Dans l'arrêt Fashion ID (C-40/17), la CJUE a confirmé que le droit de recours prévu à l'article 79 est un droit fondamental qui doit être interprété de manière large pour garantir l'effectivité de la protection des données personnelles. Elle a également précisé que ce droit peut être exercé contre tout responsable du traitement ou sous-traitant, y compris les responsables conjoints du traitement.

Les juridictions nationales ont développé une jurisprudence abondante sur les modalités d'exercice du droit de recours prévu à l'article 79. Elles ont notamment précisé que les personnes concernées peuvent agir en justice même en l'absence de préjudice matériel, dès lors qu'elles estiment qu'une violation du RGPD a été commise. Cette jurisprudence facilite l'accès à la justice en matière de protection des données et contribue à l'application effective du RGPD.

Recommandations de la CNIL et du CEPD

La CNIL rappelle que le droit de recours juridictionnel prévu à l'article 79 constitue une garantie fondamentale qui permet aux personnes concernées de faire valoir leurs droits devant les tribunaux civils. Elle encourage les personnes à explorer d'abord les voies de recours administratif et amiable avant d'engager une procédure judiciaire, mais souligne que cette démarche n'est pas une condition d'exercice du droit de recours juridictionnel.

Le Comité européen de la protection des données (CEPD) a publié des lignes directrices sur l'articulation entre les procédures administratives devant les autorités de contrôle et les procédures judiciaires. Il insiste sur la nécessité de garantir l'effectivité du droit de recours dans les affaires transfrontalières, en veillant à ce que les règles de compétence juridictionnelle ne créent pas d'obstacles excessifs à l'accès à la justice.

Implications pratiques pour les responsables de traitement

Les responsables de traitement et les sous-traitants doivent être conscients qu'ils peuvent être assignés en justice par les personnes concernées devant les tribunaux civils en cas de violation présumée du RGPD. Ces actions judiciaires peuvent viser la cessation d'un traitement illicite, l'exécution forcée des droits des personnes concernées, ou l'obtention de dommages et intérêts pour réparer un préjudice.

Pour limiter le risque de contentieux, les organisations doivent mettre en place des procédures efficaces de traitement des demandes d'exercice des droits et de gestion des réclamations. Une réponse rapide, transparente et respectueuse des droits des personnes concernées permet souvent de résoudre les litiges à l'amiable et d'éviter des procédures judiciaires coûteuses et chronophages.

Lorsqu'une action judiciaire est intentée, il est essentiel de se faire assister par des avocats spécialisés en protection des données et en droit civil. Les organisations doivent préparer soigneusement leur défense en rassemblant tous les éléments de preuve démontrant leur conformité au RGPD et le caractère légitime de leurs traitements. Une stratégie de défense bien préparée peut conduire au rejet de l'action ou à une transaction favorable.