Article 80 RGPD : mandat et action de groupe
Mandat associatif, réforme de 2025, agrément et réparation : choisir le recours collectif adapté à un litige sur les données.
Une association annonce une action contre votre entreprise, ou vous souhaitez rejoindre une procédure après une utilisation illicite de vos données. La première question est de savoir qui agit, pour demander quoi et selon quelle procédure. L’article 80 du RGPD organise la représentation ; l’action de groupe française obéit aussi à un régime national, profondément réformé en 2025.
L’article 80 permet de se faire représenter
L’Art. 80(1) autorise une personne à mandater un organisme sans but lucratif répondant aux conditions du texte : constitution régulière, objectifs statutaires d’intérêt public et activité dans la protection des droits et libertés relatifs aux données. Le mandat peut couvrir la réclamation et les recours des Art. 77 à 79 ; la représentation pour obtenir réparation suppose une disposition nationale. L’Art. 80(2) permet aux États d’organiser certaines actions sans mandat individuel. Il ne crée pas une indemnisation collective automatique. Source : RGPD, Art. 80(1)–(2).
En France, l’article 38 de la loi Informatique et Libertés précise les organismes pouvant recevoir mandat. Il vise notamment les associations de protection des données déclarées depuis cinq ans, certaines associations de consommateurs et organisations syndicales. Depuis 2025, il comprend également des catégories liées à la défense des droits et libertés et, sous conditions, une association dont la personne est membre. Il faut examiner les statuts et la relation avec le traitement litigieux ; une simple activité commerciale d’assistance ne suffit pas.
Dans le mandat, décrivez le traitement, l’organisme représenté, les démarches autorisées et l’éventuelle demande d’indemnisation. Distinguez la réclamation à la CNIL du recours contre le responsable du traitement : les objectifs et les interlocuteurs diffèrent.
L’action de groupe relève désormais de la loi de 2025
Le régime commun résulte de l’article 16 de la loi n° 2025-391 du 30 avril 2025. Il permet de demander la cessation d’un manquement, la réparation de préjudices ou les deux, pour plusieurs personnes placées dans une situation similaire. L’ancien article 37 de la loi Informatique et Libertés a été abrogé. Les actions antérieures et les droits transitoires de certaines organisations doivent néanmoins être vérifiés avant d’appliquer les nouvelles règles à un dossier ancien. Source : loi de 2025, Art. 16(I)(A) et (XVII)(D)–(F).
Pour apprécier la qualité du demandeur, distinguez notamment :
| Situation | Vérification à effectuer |
|---|---|
| Association agréée pour les actions de groupe | Agrément, intérêts défendus et adéquation du litige avec ses statuts |
| Association non agréée demandant seulement la cessation | Déclaration depuis deux ans, activité effective et publique pendant vingt-quatre mois, objet statutaire pertinent |
| Organisation syndicale représentative | Représentativité et domaine dans lequel la loi lui ouvre l’action |
| Entité qualifiée européenne | Inscription sur la liste européenne et conditions de l’action envisagée |
Ces catégories et leurs conditions figurent à l’Art. 16(I)(C). La condition de deux ans ne constitue donc pas une autorisation générale donnée à toute association pour réclamer des dommages-intérêts. Une règle transitoire conserve par ailleurs pendant deux ans la faculté d’agir des personnes qui la détenaient à l’entrée en vigueur de la réforme.
Le dispositif administratif d’agrément n’est plus seulement annoncé : le décret n° 2025-1191 du 10 décembre 2025 est entré en vigueur le 1er janvier 2026. La DGCCRF expose le dossier de demande. Avant de rejoindre une initiative, demandez sur quel titre précis l’organisme agit : agrément, disposition spéciale ou droit transitoire.
Comment rejoindre une demande de réparation ?
La réparation comporte une phase de jugement sur la responsabilité et la définition du groupe, puis une phase d’adhésion. La personne doit se manifester selon les critères et délais fixés : le système français repose sur une adhésion volontaire, dite « opt-in ». L’inscription à une liste de diffusion d’une association ne remplace pas les formalités de la procédure. Source : ministère de la Justice, circulaire du 1er août 2025, partie 1.1.
Préparez un dossier individuel : chronologie, compte ou contrat concerné, captures datées, demandes déjà adressées, réponses et pièces relatives au dommage. Pour la réparation prévue à l’article 82, identifiez le préjudice et son lien avec le traitement. Une amende administrative ne distribue pas automatiquement une somme aux personnes concernées.
Pour les actions devant le juge judiciaire, huit tribunaux sont spécialisés : Bordeaux, Lille, Lyon, Marseille, Nancy, Paris, Rennes et Fort-de-France. Le choix dépend des règles de compétence applicables ; Paris n’a pas une compétence exclusive nationale. La distinction avec la juridiction administrative doit aussi être examinée. Source : circulaire du ministère, partie 2.1.
Comment organiser la réponse d’une PME ?
À réception d’une démarche collective, ouvrez un dossier commun sans mélanger les données de tous les réclamants dans une boîte accessible à toute l’entreprise. Identifiez le traitement, les périodes et les versions de notice concernés. Conservez les éléments utiles au litige et faites examiner la qualité du demandeur ainsi que les demandes exactes.
En parallèle, traitez les demandes individuelles encore pendantes. L’existence d’un contentieux ne justifie pas de laisser sans réponse un accès ou un effacement. Le circuit de traitement des réclamations clients aide à attribuer chaque réponse à un responsable et à garder une chronologie exploitable.
Ce qu’il faut retenir
- Représentation sur mandat et action de groupe sont deux questions distinctes.
- La réforme française pertinente date du 30 avril 2025.
- La qualité pour agir dépend de l’organisme et de la demande, notamment cessation ou réparation.
- Rejoindre le groupe exige de respecter les formalités fixées ; l’indemnisation n’est pas automatique.
FAQ
Toute association peut-elle lancer une action de groupe ?
Non. Il faut vérifier la catégorie prévue par la loi, les statuts et les conditions applicables. La possibilité pour certaines associations non agréées d’agir après deux ans concerne la seule cessation du manquement.
Faut-il donner mandat avant le lancement de l’action ?
Un mandat individuel est nécessaire pour une représentation exercée en votre nom. L’action de groupe obéit à une autre logique : l’adhésion aux fins d’indemnisation intervient selon les conditions de la procédure.
Une sanction de la CNIL suffit-elle pour être indemnisé ?
Non. Elle ne remplace ni la demande de réparation ni l’examen du dommage. Rassemblez les pièces propres à votre situation et vérifiez les critères de rattachement au groupe.
Recevez nos analyses pratiques de conformité dans la newsletter.
À propos de l’auteur. Thiébaut Devergranne est docteur en droit privé, titulaire du CAPA et fondateur de Legiscope. Il travaille depuis plus de vingt ans sur le droit des technologies et la protection des données.