Exigences de protection des données lors de la vente en ligne de médicaments – Analyse d’un jugement récent
Le tribunal administratif supérieur de Lüneburg a rendu, le 1er mars 2024, un jugement de grande portée dans l’affaire 14 LA 124/23, avec des conséquences significatives pour les opérateurs de pharmacies en ligne et les boutiques en ligne comparables. Au cœur du litige judiciaire se trouvait la question obligatoire de la date de naissance dans le processus de commande de médicaments pouvant être obtenus sans ordonnance. La portée de ce jugement illustre des principes fondamentaux du droit à la protection des données et souligne les exigences de minimisation des données conformément au Règlement Général sur la Protection des Données (RGPD).
Contexte et situation initiale
Comme de nombreux fournisseurs en ligne, un nombre considérable de pharmacies sur Internet exigent la mention de la date de naissance lors de l’inscription ou de la commande. Cela est souvent justifié par des arguments de sécurité, de vérification de l’âge ou pour le traitement de la commande. Dans le cas présent, la commande de médicaments non soumis à prescription était également subordonnée à l’obligation de fournir la date de naissance.
Un consommateur a saisi l’autorité de protection des données, arguant que cette pratique constituait une violation du RGPD. L’autorité de protection des données a adopté la position de l’acheteur et a demandé à la pharmacie en ligne de modifier la procédure, en se référant au principe de minimisation des données. Il était notamment à clarifier si et dans quelle mesure la date de naissance est nécessaire pour la distribution de médicaments disponibles en pharmacie, mais non soumis à prescription.
Motifs de la décision du tribunal administratif supérieur de Lüneburg
Minimisation des données comme élément central du RGPD
Le cœur du jugement réside dans l’évaluation du principe de nécessité, qui découle de l’art. 5 al. 1 let. c du RGPD. Le traitement des données personnelles n’est autorisé que dans la mesure où il est nécessaire pour atteindre l’objectif poursuivi. Le tribunal administratif supérieur a précisé que pour l’envoi de médicaments disponibles en pharmacie, mais non soumis à prescription, l’obligation de mentionner la date de naissance n’est pas fondamentalement requise. La vérification de l’âge peut, si elle est nécessaire pour respecter les dispositions de protection de la jeunesse, être effectuée par des moyens moins invasifs, tels que des indications simples de l’âge sous forme de cases à cocher («J’ai au moins 18 ans »).
Limitation à la finalité et proportionnalité
Le tribunal a également examiné si la collecte de la date de naissance pourrait être indispensable pour le traitement du contrat ou pour les obligations de documentation légales dans des cas particuliers. Il a nié cette question explicitement pour les «médicaments disponibles en pharmacie, mais non soumis à prescription». La collecte de la date de naissance n’est plus couverte par l’objectif de la commande dans ces cas-là et constitue une atteinte disproportionnée à la protection des données personnelles.
Limites du consentement et répercussions sur la pratique
Enfin, le rôle d’un éventuel consentement des clients a été examiné. Le tribunal administratif supérieur de Lüneburg a constaté qu’un consentement explicitement donné ne justifie pas non plus la mention de la date de naissance, si celle-ci est figurée comme condition impérative pour la commande. Le libre choix de l’utilisateur est ainsi pratiquement annulé, un abandon volontaire de la protection des données ne peut en être déduit.
Signification pour le commerce en ligne de médicaments et la pratique des entreprises
Le jugement illustre la nécessité d’une évaluation minutieuse lors du traitement des données personnelles dans le commerce électronique, notamment dans le domaine très sensible de la santé. Les exploitants de pharmacies en ligne sont incités à examiner régulièrement aussi bien l’étendue que la limitation aux finalités des demandes de données, et à les adapter si nécessaire. La décision a également une portée au-delà du cas concret, par exemple pour d’autres prestataires numériques qui collectent également des données sensibles.
Implications juridiques en un coup d’œil
- La collecte de la date de naissance est autorisée pour les commandes de médicaments disponibles en pharmacie, mais non soumis à prescription, uniquement lorsqu’une nécessité claire et légalement établie existe.
- Pour une vérification de l’âge plus douce, la collecte d’une auto-déclaration liée à l’âge est envisageable.
- Les violations du principe de minimisation des données selon le RGPD peuvent être arrêtées par l’autorité de protection des données. En cas de manquements, des ordonnances de surveillance et, dans certains cas, des sanctions sévères peuvent être imposées.
Perspective sur la procédure future
Il convient de noter que d’autres instances et les décisions judiciaires futures peuvent apporter des différenciations et éclairer de nouveaux aspects. La décision actuelle est basée sur les circonstances concrètes du cas particulier et n’est pas revendiquée comme ayant une validité définitive pour tous les modèles commerciaux ou catégories de produits. L’évolution de la jurisprudence et d’éventuels changements législatifs doivent être surveillés.
Référence aux sources
La décision du tribunal administratif supérieur de Lüneburg du 1er mars 2024, réf. 14 LA 124/23, est publiée sur urteile.news et constitue la base de cet article.
Subtile indication
En cas de questions juridiques liées aux exigences de protection des données dans le commerce en ligne, notamment dans le contexte de la collecte et du traitement de données personnelles sensibles, il est possible de s’adresser aux avocats de MTR Legal. Le cabinet accompagne les entreprises, les investisseurs et les particuliers fortunés dans les défis juridiques complexes au niveau national et international.
