Une décision de la Haute Cour britannique du 8 mars 2022 dans l’affaire SMO contre TikTok, Inc. et autres a attiré l’attention, dans le sillage de la décision de la Cour Suprême britannique de l’année dernière dans l’affaire Lloyd contre Google. Cette décision (de la Cour Suprême) avait permis de douter de l’avenir des actions représentatives pour les violations de la loi sur la protection des données en Angleterre.
L’action représentative dans l’affaire SMO v TikTok, Inc a été portée par un enfant anonyme (connu sous SMO) au nom d’une classe d’enfants, avec le support de Mme Anne Longfield, ancienne commissaire aux enfants du Royaume-Uni, contre six défendeurs TikTok (TikTok) en vertu du GDPR et de la loi sur la protection des données de 2018 (DPA 2018), du Royaume-Uni.
SMO allègue que TikTok est responsable du traitement des données à caractère personnel des enfants d’une manière qui enfreint le RGPD et la règlementation du Royaume-Uni, portant atteinte à leur vie privée et faisant un usage abusif de leurs informations privées. Selon l’action, TikTok traiterait et monétiserait de manière illégale les données personnelles des enfants à travers une grande variété de points de données. SMO réclame alors des dommages et intérêts, une déclaration, une injonction et une ordonnance de suppression. La demande visait ainsi à obtenir l’autorisation de notifier le formulaire de réclamation hors de la juridiction, aux défendeurs TikTok non britanniques ainsi qu’une extension des délai pour ce faire.
Dans sa décision sur ces deux demandes, la juridiction a été acceptée, le juge trouvant que l’Angleterre était « clairement » le forum le plus approprié pour la demande et a conférée l’autorisation de notifier la demande en dehors de la juridiction britannique, en application des règles de procédure pertinentes et constatant qu’il y avait une « question sérieuse à juger » dans l’affaire. S’il n’y avait pas eu de « question sérieuse », l’autorisation aurait été refusée.
L’action en justice a survécu à un premier obstacle, mais il reste à voir si elle sera autorisée à se poursuivre jusqu’à un procès complet.
Dans l’affaire Lloyd à l’encontre de Google, la Cour Suprême a jugé que le demandeur ne pouvait pas présenter son action comme étant formulée au nom de une classe d’utilisateurs de téléphones mobiles, parce qu’il prétendait – en vertu d’une violation alléguée du Data Protection Act 1998 (DPA 1998) – une somme uniforme au nom de chaque membre du groupe. La Cour Suprême a ainsi suggéré que la demande de M. Lloyd ne pourrait être traitée que dans le cadre d’une approche bifurquée, avec un procès au nom d’une classe pour établir le montant des dommages, autrement dit un procès au nom d’un groupe pour établir la responsabilité suivi des actions individuelles pour déterminer le quantum pour chaque demandeur. La Cour suprême a aussi rejeté la demande de compensation, en vertu de la DPA de 1998, pour « violation de la vie privée », pour « perte de contrôle » de données personnelles, lorsque cette perte de contrôle résulte d’une contravention banale à la loi sur la protection des données. C’est alors que certains (notamment les tiers finances du procès) ont cru à la mort de l’action représentative en matière de confidentialité des données.
Or, dans l’affaire TikTok, le requérant cherche à obtenir une indemnisation en vertu de l’article 82(1) du GDPR, qui fait référence aux « dommages matériels ou immatériels » subis « en raison d’une violation du [GDPR] ».Cette formulation diffère de son équivalent de l’article 13 de la DPA de 1998, qui était en cause dans l’affaire Lloyd et qui qui fait uniquement référence aux « dommages » sans autre précision. Dans l’affaire TikTok, le demandeur fait valoir que laréférence dans l’article 82 à un dommage « non matériel » est essentielle, et que la « perte de contrôle » serait dans ce cas suffisante pour déclencher un droit à indemnisation.
En outre, le demandeur dans TikTok fait valoir que les demandeurs étaient tous les enfants qui utilisaient TikTok et, par conséquent, chaque demandeur de la catégorie représentative dépasserait aisément tout seuil de minimis qui pourrait être appliqué en raison de l’ampleur du traitement des données entrepris par TikTok à l’égard de chacun de ses utilisateurs.
Le juge a souligné que sa décision d’autoriser la notification du formulaire de demande en dehors de la juridiction a été prise avec précaution. En raison de la nature de la demande, il n’a entendu les arguments du demandeur que sur les questions soulevées dans l’arrêt Lloyd contre Google. Ainsi, le juge a noté que la demande de jugement sommaire de TikTok serait entendue plus tard dans l’affaire (juin 2022).
S’il est aisé de dire que TikTok a survécu à un premier obstacle, il faudra suivre l’évolution de l’affaire pour mieux prédire l’avenir des actions représentatives en matière de données personnelles.