Par sa décision du 27 mars 2025, la première chambre civile de la Cour fédérale de justice (BGH) a répondu à une question de principe pertinente pour la pratique, à l'intersection du droit de la protection des données et du droit de la concurrence déloyale : Le traitement non autorisé de données de santé à caractère personnel dans le cadre de la vente en ligne de médicaments ne constitue pas seulement une violation du règlement général sur la protection des données (RGPD), mais peut également représenter un acte commercial déloyal au sens de l'article 3a de la loi sur la concurrence déloyale. Dans ces cas, les concurrents ont le droit de demander une injonction en vertu du droit de la concurrence.
Litige entre pharmaciens à propos de la vente de médicaments en ligne
Les procédures étaient centrées sur les pratiques de pharmaciens qui vendent des médicaments en vente libre sur le Marketplace d'Amazon. Les plaignants - également pharmaciens - se plaignaient du fait que les défendeurs traitaient les données à caractère personnel de leurs clients dans le cadre du traitement des commandes sans leur consentement explicite. Concrètement, il s'agissait de données telles que le nom, l'adresse de livraison et d'autres informations sensibles permettant d'individualiser les médicaments. Les plaignants ont fait valoir qu'il s'agissait de données relatives à la santé au sens de l'article 9, paragraphe 1, du RGPD, dont le traitement sans consentement exprès était illicite. Dans la procédure I ZR 222/19, il a en outre été reproché à Amazon d'enfreindre les dispositions légales relatives aux pharmacies et aux produits thérapeutiques ainsi que les règles professionnelles. Les plaignants ont demandé une injonction et, dans la procédure I ZR 222/19, des dommages et intérêts.
Les instances inférieures ont fait droit aux recours en ce qui concerne la demande d'injonction au titre de la protection des données. En ce qui concerne les violations alléguées d'autres dispositions légales ainsi que la demande de dommages et intérêts, les recours ont été partiellement rejetés.
La Cour fédérale de justice (BGH) a tout d'abord suspendu la procédure I ZR 223/19 et a posé des questions préjudicielles à la Cour de justice de l'Union européenne (CJUE) concernant l'interprétation de l'article 9 du RGPD dans le cadre du commerce en ligne de médicaments. Dans son arrêt du 4 octobre 2024 (C-21/23 - Lindenapotheke), la CJUE a confirmé que la commande de médicaments non soumis à prescription médicale concernait également des données de santé au sens du RGPD et que leur traitement nécessitait en principe un consentement explicite. Après la décision de la CJUE, la procédure s'est poursuivie.
Conseil de lecture : Violation de la protection des données dans le commerce en ligne - la CJCE autorise les actions en justice par les concurrents
Droit d'injonction en matière de concurrence après une infraction au RGPD
Dans sa décision, la Cour fédérale de justice a précisé que le traitement des données de commande dans le cadre de l'achat de médicaments constitue des données relatives à la santé au sens de l'article 9, paragraphe 1, du RGPD - indépendamment du fait que le médicament soit soumis à prescription médicale ou non. La nécessité d'une protection particulière résulte de la déduction de l'état de santé concret ou potentiel de la personne concernée. Comme le traitement de ces données a eu lieu dans le cas présent sans le consentement explicite des clients concernés, il y a eu une violation manifeste du RGPD.
En même temps, la Cour fédérale de justice constate sans équivoque que l'article 9, paragraphe 1 du RGPD constitue une règle de comportement sur le marché au sens de l'article 3a de la loi sur la concurrence déloyale. L'objectif de cette disposition est, entre autres, de protéger le consommateur lors de sa participation au marché, notamment en ce qui concerne son droit à l'autodétermination en matière d'information. La décision de divulguer des données relatives à la santé dans le cadre d'une relation contractuelle est un élément central de la sphère privée protégée. Une violation de cette obligation est donc susceptible de porter atteinte aux intérêts des concurrents et peut faire l'objet d'une action en cessation au titre du droit de la concurrence.
En conclusion, les recours des défendeurs n'ont pas abouti dans la mesure où ils étaient dirigés contre leur condamnation à une injonction. La révision du demandeur dans la procédure I ZR 222/19 n'a eu de succès que dans la mesure où la demande de dommages-intérêts a été rejetée. Pour le reste, cette révision a également été rejetée.
Impact sur la pratique
La décision de la Cour fédérale de justice est d'une importance considérable pour la pratique du commerce électronique et en particulier pour la distribution numérique de produits de santé. La Cour fédérale de justice reconnaît explicitement la pertinence, au regard du droit de la concurrence, des infractions aux dispositions légales relatives à la protection des données - une ligne qui s'était déjà dégagée de décisions antérieures relatives à la qualité de règle de comportement sur le marché de l'article 6 du RGPD (par ex. Pages fan Facebook, Planète49), mais qui s'étend désormais aux données de santé particulièrement sensibles.
La clarification concernant la classification des commandes de médicaments comme traitement de catégories particulières de données à caractère personnel est également remarquable. Les entreprises qui partaient jusqu'à présent du principe que seules les prescriptions médicales tombaient sous le coup de l'article 9 du RGPD devront revoir leurs processus de traitement des données.
Cette décision renforce en même temps la position des concurrents dans le cadre de l'application privée de la loi. Contrairement à la pratique administrative souvent inerte des autorités de surveillance de la protection des données, une voie efficace s'ouvre ici pour sanctionner les violations de la protection des données par le biais du droit de la concurrence déloyale. Les entreprises ne peuvent plus compter sur l'absence de plaintes des personnes concernées pour rester inactives. Une action en cessation fondée sur le droit de la concurrence élargit donc indirectement les possibilités de sanction d'une infraction au droit de la protection des données.
Source : Arrêts de la BGH du 27 mars 2025 - I ZR 222/19 et ZR 223/19
French 
German 
English 
Italian