Manquement RGPD constitutif de concurrence déloyale : risques et recours

Sommaire

Quand un manquement RGPD devient de la concurrence déloyale

Le fondement juridique : l'article 1240 du Code civil

Les manquements RGPD les plus souvent invoqués

Prouver la faute, l'avantage indu et le préjudice

Les actions possibles : référé, fond, plainte CNIL

Sécuriser sa propre conformité avant d'agir

FAQ

Pour aller plus loin

Quand un manquement RGPD devient de la concurrence déloyale

Le manquement RGPD constitutif de concurrence déloyale désigne la situation où la violation des règles de protection des données devient un levier commercial. Un concurrent qui exploite des fichiers sans base légale, c'est-à-dire sans fondement autorisant le traitement, ou qui prospecte par courriel sans le consentement requis, réduit ses coûts d'acquisition. L'entreprise conforme supporte au contraire le coût de la collecte licite et de la gestion des oppositions.

La jurisprudence admet ce raisonnement. La cour d'appel de Paris a ainsi retenu, le 9 novembre 2022 (n° 21/00180), que des manquements au RGPD commis dans la commercialisation de produits concurrents constituaient un acte de concurrence déloyale. La CJUE a jugé le 4 octobre 2024 (Lindenapotheke, C-21/23) que le RGPD ne s'oppose pas à ce qu'un droit national permette à un concurrent d'agir contre l'auteur d'une violation au titre des pratiques commerciales déloyales.

Le directeur juridique dispose donc d'une action propre, distincte du contrôle exercé par la CNIL.

Qualifier le manquement d'un concurrent suppose de croiser droit des données et droit de la concurrence.
Consulter un avocat en protection des données

Le fondement juridique : l'article 1240 du Code civil

La concurrence déloyale ne fait pas l'objet d'un texte spécial. Elle repose sur la responsabilité civile générale, prévue à l'article 1240 du Code civil : tout fait de l'homme qui cause à autrui un dommage oblige celui par la faute duquel il est arrivé à le réparer.

Trois conditions doivent être réunies :

La Cour de cassation a précisé la faute dans un arrêt du 17 mars 2021 (n° 19-10.414) : le non-respect d'une réglementation procure à son auteur un avantage concurrentiel indu, constitutif de concurrence déloyale. Ainsi, aucune manœuvre de dénigrement ou de confusion n'est nécessaire : la violation réglementaire suffit dès lors qu'elle fausse le jeu concurrentiel.

Les manquements RGPD les plus souvent invoqués

Les manquements les plus utiles à invoquer sont ceux qui abaissent directement le coût commercial du concurrent.

• Prospection par courriel sans consentement : vers les particuliers, le Code des postes et des communications électroniques (art. L34-5) impose un consentement préalable.
• Prospection B2B irrégulière : entre professionnels, la CNIL exige d'informer la personne, de lui offrir un droit d'opposition et d'adresser un message en rapport avec sa profession.
• Fichiers sans base légale : achat ou réutilisation de contacts collectés sans information des personnes.
• Oppositions ignorées : poursuite des envois après une demande de désinscription.

La règle du consentement vers les particuliers, binaire, est la plus simple à démontrer ; la prospection B2B impose de vérifier chaque condition.

Identifier le manquement exploitable demande de rapprocher les pratiques du concurrent des règles propres à chaque canal.
Échanger avec un avocat spécialisé RGPD

Prouver la faute, l'avantage indu et le préjudice

Le demandeur doit d'abord établir matériellement le manquement : courriels de prospection reçus par des tiers, captures de formulaires de collecte, absence de lien de désinscription. Un constat de commissaire de justice, officier public habilité à constater des faits, renforce la valeur probante de ces éléments.

Il doit ensuite démontrer l'avantage indu. Depuis l'arrêt du 17 mars 2021, celui-ci découle du non-respect de la réglementation : il correspond à l'économie de coûts que l'entreprise conforme n'a pas réalisée.

Enfin, le préjudice bénéficie d'un régime favorable : depuis un arrêt du 12 février 2020 (n° 17-31.614), la Cour de cassation juge qu'il s'infère nécessairement d'un acte de concurrence déloyale. Le juge peut l'évaluer à partir de l'avantage indu tiré par l'auteur.

Les actions possibles : référé, fond, plainte CNIL

Trois voies coexistent, avec des finalités distinctes.

1. Le référé : procédure rapide destinée à faire cesser un trouble manifestement illicite, c'est-à-dire une atteinte évidente au droit, par exemple une campagne de prospection en cours.
2. L'action au fond : procès complet qui permet d'obtenir des dommages et intérêts et une interdiction durable.
3. La plainte CNIL : saisine en ligne de l'autorité de contrôle, qui peut prononcer une sanction administrative.

La sanction administrative peut atteindre 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (art. 83 RGPD), mais la plainte n'ouvre aucun droit à réparation : seul le juge peut indemniser l'entreprise lésée. Les deux démarches peuvent donc être menées en parallèle.

Le choix entre référé, action au fond et plainte CNIL dépend de l'urgence et de l'objectif poursuivi.
Être accompagné par un avocat en protection des données

Sécuriser sa propre conformité avant d'agir

L'entreprise qui reproche un manquement RGPD à un concurrent s'expose à un examen symétrique de ses pratiques. Si elle commet des irrégularités comparables, la démonstration d'un avantage indu s'affaiblit.

Avant d'agir, le directeur juridique vérifie donc :

• les bases légales de chaque traitement de prospection ;
• l'origine des fichiers de contacts ;
• les mentions d'information et les mécanismes d'opposition ;
• le registre des traitements, qui documente la conformité.

Cet audit sécurise la position de l'entreprise si le concurrent réplique. Il permet aussi de chiffrer le coût de la conformité, qui sert de base à l'évaluation de l'avantage indu.

FAQ

Un manquement RGPD suffit-il à caractériser une concurrence déloyale ?

Il peut suffire lorsqu'il procure un avantage concurrentiel indu. La Cour de cassation l'a admis pour le non-respect d'une réglementation le 17 mars 2021.

Faut-il chiffrer précisément son préjudice ?

Pas nécessairement : la Cour de cassation juge depuis le 12 février 2020 qu'un préjudice s'infère d'un acte de concurrence déloyale. Des éléments chiffrés renforcent toutefois la demande d'indemnisation.

Une plainte auprès de la CNIL permet-elle d'être indemnisé ?

Non. La CNIL peut sanctionner l'auteur du manquement, mais l'indemnisation relève exclusivement du juge.

La prospection B2B par courriel exige-t-elle un consentement ?

Selon la CNIL, la prospection entre professionnels ne requiert pas de consentement préalable. Elle impose d'informer la personne, de permettre l'opposition et d'adresser un message lié à sa profession.

Un concurrent peut-il agir au regard du droit européen ?

Oui. Dans l'arrêt Lindenapotheke du 4 octobre 2024, la CJUE a jugé que le RGPD ne s'oppose pas à une action d'un concurrent fondée sur les pratiques commerciales déloyales, lorsque le droit national la prévoit.

Pour aller plus loin

Article 1240 du Code civil - Légifrance

La prospection commerciale par courrier électronique, SMS-MMS et automate d'appel - CNIL

Adresser une plainte en ligne à la Cnil - Entreprendre Service-Public

SWIM LEGAL est une alternative au cabinet d'avocats traditionnel pour les besoins juridiques des entreprises. Incubé par le Barreau de Paris, SWIM a reçu le Prix de l'Innovation pour sa solution permettant à toute entreprise, quelle que soit sa taille ou sa localisation, d'accéder rapidement via la plateforme à des avocats d'affaires expérimentés. Les entreprises peuvent déposer leur besoin — qu'il s'agisse d'un dossier, d'une consultation ou d'un renfort temporaire — de manière confidentielle et recevoir des propositions d'avocats pour répondre rapidement à leur demande.