Avis de la Commission nationale pour la protection des donnéesrelatif au projet de loi n°7650 portant 1° introduction du recours collectif en droit de la consommation, 2° transposition de la directive (UE) 2020/1818du Parlement européen et du Conseil du 25 novembre 2020 relative aux actions représentatives visant à protéger les intérêts collectifs des consommateurs et abrogeant la directive 2009/22/CE, et 3° modification du Code de la consommation, de la loi modifiéedu 11 avril 1983 portant réglementation de la mise sur le marché et de la publicité des médicaments, de la loi modifiée du 27 juillet 1991 sur les médias électroniques, de la loi modifiée du 27 juillet 1997 sur le contrat d'assurance, de la loi modifiée du 14 août 2000 relative au commerce électronique, de la loi modifiée du 24 mai 2011 relative aux services dans le marché intérieur, de la loi modifiée du 23 décembre 2016 sur les ventes en soldes et sur trottoir et la publicité trompeuse et comparative, de la loi du 26 juin 2019 relative à certaines modalités d'application et à la sanction du règlement (UE) 2018/302 du Parlement européen et du Conseil du 28 février 2018 visant à contrer le blocage géographique injustifié et d'autres formes de discrimination fondée sur la nationalité, le lieu de résidence ou le lieu d'établissement des clients dans le marché intérieur, et modifiant les règlements (CE) n° 2006/2004 et (UE) 2017/2394 et la directive 2009/22/CE. Délibérationn°34/AV20/2023du 5 mai 2023. 1. Conformément à l'article 57. 1 .
- e)du règlement (UE) 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46/CE (règlement général sur la protection des données) (ci-après le « RGPD »), auquel se réfère l'article 7 de la loi du 1eraoût 2018 portant organisation de la Commission nationale pour la protection des données et du régime général sur la protection des données, la Commission nationale pour la protection des données (ci-après désignée la « Commission nationale » ou la « CNPD ») « conseille, conformémentau droit de l'État membre, le parlement national, le gouvernement et d'autres institutions et organismes au sujet des mesures législatives et administratives relatives à la protection des droits et libertés des personnes physiques à l'égard du traitement ». L'article 36. 4 du RGPD dispose que « [l]es Étatsmembres consultent l'autorité de contrôle dans le cadre de l'élaboration d'une proposition de mesure législative devant être adoptée par un parlement national, ou d'une mesure réglementaire fondée sur une telle mesure législative, qui se rapporte au traitement. » 2. La Commission nationale n'ayant jusqu'à présent pas avisé le projet de loi n°7650 portant 1° introduction du recours collectif en droit de la consommation, 2° transposition de la directive (UE) 2020/1818 du Parlement européen et du Conseil du 25 novembre 2020 relative aux actions représentatives visant à protéger les intérêts collectifs des consommateurs et abrogeant la directive 2009/22/CE, et 3° modification du Code de la consommation, de la loi modifiée du 11 avril 1983 portant réglementation de la mise sur le marchéet de la publicitédes médicaments,de la loi modifiéedu 27juillet 1991 sur les médias électroniques, de la loi modifiée du 27 juillet 1997 sur le contrat d'assurance, de CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7650 1/5 la loi modifiée du 14 août 2000 relative au commerce électronique, de la loi modifiée du 24 mai 2011 relative aux services dans le marché intérieur, de la loi modifiée du 23 décembre 2016 sur les ventes en soldes et sur trottoir et la publicité trompeuse et comparative, de la loi du 26 juin 2019 relative à certaines modalités d'application et à la sanction du règlement (UE) 2018/302 du Parlement européen et du Conseil du 28 février 2018 visant à contrer le blocage géographique injustifié et d'autres formes de discrimination fondée sur la nationalité, le lieu de résidence ou le lieu d'établissement des clients dans le marché intérieur, et modifiant les règlements (CE) n° 2006/2004 et (UE) 2017/2394 et la directive 2009/22/CE (ci-après le « projet de loi »), elle fut néanmoins invitée par Madame la Ministre de la Protection des consommateurs en date du 4 janvier 2022 à se prononcer au sujet des amendements gouvernementaux approuvés par le Conseil de Gouvernement dans sa séance du 15 décembre 2021 (ci-après les « amendements gouvernementaux de décembre ») et en date du 8 septembre 2022 des amendements gouvernementaux approuvés par le Conseil de Gouvernement dans sa séance du 2 septembre 2022 (ci-après les « amendements gouvernementaux de septembre »). 3. La CNPD comprend que les amendements gouvernementaux de décembre ont pour objet principal d'introduire dans le projet de loi des dispositions transposant la directive 2020/1828 du Parlement européen et du Conseil du 25 novembre 2020 relative aux actions représentatives visant à protéger les intérêts collectifs des consommateurs et abrogeant la directive 2009/22/CE (ci-aprèsla « directive ») qui n'étaientpas contenues dans le projet de loi initial. La CNPD comprend également que les amendements gouvernementaux de septembre visent à améliorer la lisibilité et l'intelligibilité, et à compléter le projet de loi afin de renforcer la cohérencedu Code de la consommation. 4. La CNPD comprend encore que le projet de loi tel qu'amendé n'aura pas d'impact direct sur le droit applicable en matière de protection des données, mais confère plutôt à une catégorie spécifique de personnes concernées, en particulier les consommateurs, un droit de recours supplémentaire, à savoir le recours collectif en matière de droit de la consommation. Il introduit par ailleurs certains pouvoirs d'action à la CNPD, notamment le droit d'intenter des actions en cessation ou en interdiction, des actions en réparation en matière de protection des intérêts collectifs des consommateurs ainsi que la possibilité pour la CNPD d'intenter une action en suppression d'une ou de plusieurs clauses abusives.
- l)Quant à l'action en cessation ou en interdiction du manquement en matière de protection des données 1. Quant à la possibilité de la CNPD de saisir le tribunal d'arrondissement siégeant en matière commerciale pour demander la cessation ou l'interdiction du manquement en matière de protection des données 5. La CNPD constate que le projet de loi amendé entend lui conférer une action en cessation ou en interdiction du manquement en matière de protection des données et portant atteinte aux intérêts des consommateurs au titre de l'article 2, point VI, du projet de loi amendé. D'après la compréhension de la CNPD, il s'agit à la fois d'une action en cessation ou en interdiction dite « classique » qui pourrait ne concerner qu'un seul consommateur, et d'une action en cessation ou en interdiction en recours collectif tendant à agir dans l'intérêt collectif des consommateurs. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7650 2/5 6. A titre liminaire il convient de soulever une erreur matérielle en ce qui concerne la dénomination de la Commission nationale dans le nouvel article L-321-4. En effet, la disposition devrait se lire comme suit « Commission nationale pour la protection des données » et non « Commission nationale de protection des données ». 7. Ainsi, le projet de loi sous avis entend ouvrir à la Commission nationale la possibilité de saisir le tribunal d'arrondissement siégeant en matière commerciale pour demander la cessation ou l'interdiction du manquement qui, dans le secteur d'activité de la CNPD, représenterait un traitement non conforme à la législation applicable en matière de protection des données, et qui léserait potentiellement les intérêts individuels ou collectifs des consommateurs. 8. Bien que la CNPD dispose elle-même de pouvoirs similaires conformément à l'article 12 de la loi du 1er août 2018 portant organisation de la Commission nationale pour la protection des données et du régime généralsur la protection des données et à l'article 58.2.
- e)(ordonner au responsable du traitement à se conformer, le cas échéantendéans un certain délai),
- f)(interdiction temporaire ou définitive) et
- g)(limitation du traitement) du RGPD, elle salue le pouvoir supplémentaire pour agir contre une violation des règles en matière de protection des données devant le tribunal d'arrondissement siégeant en matière commerciale. Par ailleurs, ce pouvoir s'inscrit dans l'obligation qu'impose le RGPD au titre de l'article 58. 51 en ce que l'autorité de contrôle, en l'occurrence la CNPD, peut porter toute violation du RGPD à l'attention des autoritésjudiciaires. 9. Elle regrette néanmoins que cette possibilité est limitée à faction en cessation ou en interdiction en matière de droit à la consommation, et qu'elle ne dispose pas de moyens plus généraux pour porter toute violation du RGPD à l'attention des autorités judiciaires tel qu'elle a déjà pu le soulever dans ses avis2. 10. La CNPD se demande encore s'il n'est pas nécessaire, d'un point de vue légistique, de modifierla loi organique du 1eraoût2018 portant organisationde la Commission nationale pour la protection des données et du régime généralsur la protection des données, afin de refléter ce nouveau pouvoir. 2. Quant à la possibilité d'autres personnes ou entités de saisir le juge compétent afin d'obtenir la cessation ou l'interdiction du manquement en matière de protection des données 11. Tel que déjàsoulevé dans ses avis3, la CNPDvoit d'un oil favorable la possibilité pour d'autres personnes ou entités de saisir collectivement les autorités judiciaires afin d'obtenir la cessation ou l'interdiction du manquement en matière de protection des données. 12. En ce qui concerne cependant les « entités qualifiées », il y a lieu de rappeler la position du Contrôleur européen de la protection des données (ci-après le « CEPD »), exprimée au sujet du paquet législatif« Une nouvelle donne pour les consommateurs » parmi lequel 1 « Chaque Étatmembre prévoit, par la loi, que son autoritéde contrôle a le pouvoir de porter toute violation du présentrèglementà l'attention des autoritésjudiciaireset, le cas échéant, d'ester en justice d'une manièreou d'une autre, en vue de faire appliquer les dispositions du présent règlement ». 2 Voir en ce sens l'avis de la Commission nationale pour la protection des données relatif au projet de loi n°7184, Délibérationn°1050/2017 du 28 décembre2017, doc. pari. 7184/03, p. 6 et suivants. 3 Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7818, Délibération n°30/AV25/2021 du 1er octobre 2021 , doc. pari. 7818/10, p. 7 et suivants. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7650 3/5 figurait la directive. Le CEPD avait notamment soulevé que « dans la mesure où les questions relatives à la protection des données à caractère personnel relèveraient du champ d'application de l'action collective en vertu de la proposition, le CEPD estime que tes «entitésqualifiées^ qu/ seront en mesure d'intenter les actions représentatives dans ce domaine au titre de la proposition devraient être soumises aux mêmes conditions que ce//es énoncées à l'article 80 du RGPD »4. La CNPD se rallie à cette position car les dispositions en question, à savoir l'article L. 321-3 du projet de loi sous avis tel qu'amendé et l'article 80 du RGPD, ne prévoient pas les mêmes critères pour déterminer une entité comme qualifiéepour exercer un recours collectif. Se posent dèslors des questions quant à l'interaction entre l'article L. 321-3 du projet de loi sous avis tel qu'amendéet l'articte 80 du RGPD. 3. Quant à la possibilité pour la CNPD d'intenter une action en suppression d'une ou de plusieurs clauses abusives 13. La CNPD salue l'introduction par l'article 2, point VI, en particulier le nouvel article L. 3223, paragraphe 2, du projet de loi amendé de la possibilité pour la CNPD d'intenter une action en suppression d'une ou plusieurs clauses abusives devant le tribunal d'arrondissementsiégeanten matièrecommerciale. 4. Quant aux interactions entre les différents acteurs impliqués 14. Le projet de loi soulève encore d'importantes questions de nature procédurale, en particulier en ce qui concerne l'interaction entre le tribunal d'arrondissement siégeant en matière commerciale et la CNPD. 15. Quid en effet de l'hypothèse où un recours collectif serait lancé devant le tribunal, et qu'un ou plusieurs consommateurs individuels introduisent parallèlement une réclamation auprès de la CNPD, ou que la CNPD décide d'ouvrir une enquête de sa propre initiative ? Comment le tribunal et la CNPD obtiennent connaissance mutuellement des recours respectifs ? Est-ce qu'il faudrait prévoir une suspension de la procédure devant la CNPD tant que le tribunal ne s'est pas prononcé ? Quid de la valeur de la décision de la CNPD, surtout au cas où le tribunal déciderait autrement que la CNPD quant à la violation du RGPD? 16. Deuxièmement, la CNPD s'interroge sur la situation où le tribunal d'arrondissement siégeant en matière commerciale serait amené à traiter une affaire d'action en cessation ou en interdiction et que pour un des consommateurs, la CNPD aurait déjàpris position. Quelle serait la valeur probante d'une décisionde la CNPD ? 17. De plus, la CNPD se demande si cela n'entraînerait pas une certaine incohérence au sein du pouvoir judiciaire. Les décisions de ta CNPD sont soumises au contrôle du juge administratif. Or, si le projet de loi introduit un rôle pour le tribunal d'arrondissement siégeant en matière commerciale, deux ordres juridictionnels indépendants l'un de l'autre seront impliqués. La CNPDse demande dès lors comment une application uniforme de la législation en matière de protection des données peut être garantie. Comment les décisionsde la CNPD, du juge administratif et du tribunal d'arrondissement siégeanten matière commerciale s'articulent entre eux ? 4 Voir Avis 8/2018 du CEPD sur le paquet législatif « Une nouvelle donne pour les consommateurs », point 63. CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7650 4/5 Il) Quant à l'action en réparation du manquement en matière de protection des données et portant atteinte aux intérêts collectifs des consommateurs 18. Le projet de loi entend introduire la possibilité pour la CNPD d'intenter une action en réparation pour un groupe de consommateurs devant le tribunal d'arrondissement siégeant en matière commerciale parce qu'ils ont potentiellement subi un préjudice suite à un manquement en matière de protection des données et qui porte atteinte aux intérêts collectifs des consommateurs. 19. Si la CNPDne s'oppose pas fondamentalement contre le moyen d'action que le projet de loi sous avis entend lui attribuer, elle se demande néanmoins si le principe de neutralité de l'Etat5 évoqué par les auteurs ne jouerait pas également à son égard. En effet, les auteurs du projet de loi amendé expliquent que le recours collectif tendant à la réparation du préjudice subi vise la défense d'intérêts individuels6. Dans ce contexte, tes auteurs soulèvent le principe de neutralité de l'Etat qui devrait interdire à certaines entités d'intenter un recours collectif visant la réparation du préjudice subi parce qu'elles ne devraient pas agir pour les intérêts individuels des personnes lésées. En tant qu établissement public, la CNPD se demande dès lors si le principe de neutralité ne s'oppose pas à ce qu'elle puisse intenter un tel recours. Ainsi adopté à Belvaux en date du 5 mai 2023. La Commission nationale pour la protection des données .v y/M (FWt^ Tine A. Larsen Présidente Thierry Laltemang Commissaire Marc Lemmer Commissaire Alain hlerrmann Commissaire 5 Doc. pari. 7650/15, p. 14 et 15. 6 Idem. r CNPD Avis de la Commission nationale pour la protection des données relatif au projet de loi n°7650 5/5