Google a remporté un appel contre un recours collectif en matière de protection de la vie privée devant la Cour suprême du Royaume-Uni – évitant ce qui aurait pu représenter jusqu’à 3 milliards de livres sterling de dommages-intérêts s’il avait perdu l’affaire.

Le long terme litige a été intentée par Richard Lloyd, un militant vétéran des droits des consommateurs, qui, depuis 2017, poursuit une action collective, alléguant que Google a appliqué une solution de contournement Safari pour remplacer les paramètres de confidentialité des utilisateurs d’iPhone dans le navigateur Safari d’Apple entre 2011 et 2012 – et a demandé une indemnisation pour le violation pour les plus de 4 millions d’utilisateurs d’iPhone au Royaume-Uni concernés.

Le litige de Lloyd’s avait demandé des dommages-intérêts pour atteinte à la vie privée. Plus généralement, la poursuite cherchait à établir qu’une action représentative pouvait être intentée au Royaume-Uni pour obtenir une indemnisation pour les violations de la protection des données, malgré l’absence de régime générique d’action collective dans la loi britannique.

De retour 2018 la Haute Cour a bloqué l’action en justice – mais le l’année suivante la Cour d’appel a infirmé le jugement, permettant l’audition de la poursuite.

Cependant, la Cour suprême unanime d’aujourd’hui jugement revient essentiellement à l’avis de la Haute Cour : blocage de l’action représentative.

Les juges de la Cour suprême ont estimé que les dommages/pertes doivent être subis pour demander une indemnisation et que la nécessité de prouver les dommages/pertes sur une base individuelle ne peut être ignorée, c’est-à-dire l’indemnisation ne peut pas simplement être appliquée uniformément pour la « perte de contrôle » des données personnelles de chaque membre de la classe représentative revendiquée, comme l’avaient demandé les avocats du Lloyd.

« Sans preuve de ces questions, une demande de dommages et intérêts ne peut aboutir », écrit la Cour suprême, résumant son jugement.

La décision est un coup dur pour les espoirs des militants britanniques de pouvoir intenter des recours collectifs contre l’industrie du pistage.

Si Google avait perdu le jugement, cela aurait ouvert la porte à des actions plus représentatives pour violation de la vie privée. Mais avec le géant de l’adtech qui a remporté l’appel, il est probable que les poursuites de type recours collectif britanniques ciblant les géants de la technologie de l’exploration de données – qui avaient, dans les années récentes, attire des bailleurs de fonds pour les litiges commerciaux.

En réponse au jugement d’aujourd’hui, un cabinet d’avocats, BLM, a écrit que l’issue de l’affaire « sera un motif de célébration pour Google et toute organisation qui traite des quantités importantes de données ou fonde son modèle commercial sur l’utilisation de données personnelles (ainsi que leurs actionnaires et/ou assureurs) ».

Un autre cabinet d’avocats, Linklaters LLP, a décrit le jugement comme « un coup dur pour les cabinets d’avocats demandeurs et les bailleurs de fonds qui avaient espéré créer un nouveau régime de retrait des dommages-intérêts dans le domaine des violations de données ».

« Nous nous attendons à ce que de nombreuses réclamations similaires émises dans son sillage disparaissent maintenant », a ajouté Harriet Ellis de Linklaters, partenaire de règlement des différends dans un communiqué. « Les entreprises revendicatrices étudieront attentivement la décision pour voir s’il existe encore des recours collectifs viables avec option de retrait. Mais ça a l’air vraiment dur. »

Nous avons contacté Mishcon de Reya, le cabinet d’avocats représentant Lloyd, pour commentaires. Mettre à jour: Le cabinet d’avocats a déclaré que bien qu’il ait déjà représenté Lloyd dans cette affaire, il n’agissait pas dans le cadre de l’action devant la Cour suprême. Dans un communiqué, Adam Rose, responsable de la pratique des données du cabinet, a ajouté : « Bien que le défendeur l’ait emporté, il serait tout à fait précipité de lire la décision comme sonnant le glas des demandes d’indemnisation pour violation de la protection des données. »

« Bien que la Cour suprême se soit prononcée en faveur de Google, il s’agissait principalement des mécanismes juridiques permettant d’introduire de telles réclamations en vertu de la loi de 1998 sur la protection des données, désormais abrogée, et non des droits et principes fondamentaux de la loi sur la protection des données. Cela signifie qu’il y aura sans aucun doute encore de bons arguments, en particulier dans le nouveau cadre britannique GDPR, qui permettront à certaines actions de groupe de se poursuivre, et des cas où une violation de la loi sur la protection des données est telle qu’une indemnisation sera appropriée », a également déclaré Rose, ajoutant : « Le jugement passe également le relais à la fois au Parlement et au Commissaire à l’information.

« Pour le Parlement, il se peut qu’une législation soit nécessaire pour permettre aux demandes de retrait en vertu de la loi sur la protection des données d’être formulées plus facilement. Pour le Commissaire à l’information, il est désormais urgent de prendre des mesures d’exécution plus robustes pour les infractions volontaires et massives à la loi et de garantir que les personnes concernées bénéficient d’un recours judiciaire effectif, ce qui est la promesse du RGPD britannique et des données actuelles. cadre de protection.

Dans sa propre réponse au jugement de la Cour suprême, Google a évité toute discussion sur les détails de l’affaire – en écrivant uniquement :

«Cette réclamation était liée à des événements qui ont eu lieu il y a une décennie et que nous avons abordés à l’époque. Les gens veulent savoir qu’ils sont sûrs et sécurisés en ligne, c’est pourquoi pendant des années nous nous sommes concentrés sur la création de produits et d’infrastructures qui respectent et protègent la vie privée des gens.

Mais un porte-parole du géant de la technologie a également souligné une déclaration publiée par le techUK association professionnelle — qui était intervenu dans l’affaire au soutien de Google ; et qui écrit aujourd’hui que « si le recours avait été rejeté, cela aurait ouvert la porte pour les réclamations spéculatives et vexatoires à l’encontre des contrôleurs de données, avec des conséquences de grande portée pour les organisations publiques et privées ».

L’association commerciale britannique poursuit en affirmant qu’elle « ne s’oppose pas à une action en justice représentative, cependant, nous pensons qu’il est juste que toute action doit d’abord chercher à établir si un dommage a été causé à l’individu à la suite d’une violation de données avant de demander compensation ».

Cependant, comme le notent les juges de la Cour suprême – lors de discussions sur les coûts des régimes de litige « d’adhésion » (plutôt que d’« option de non-participation »), l’obstacle à l’accès à la justice peut simplement être mis hors de portée dans les cas où les réclamations individuelles ne valent que quelques centaines de livres chacun (dans le litige Lloyd, la suggestion était une somme de 750 £ par personne) parce que les coûts administratifs associés au traitement des demandeurs individuels « peuvent facilement dépasser la valeur potentielle de la demande ».

Donc, pour être clair, techUK s’oppose aux actions en justice des représentants intentées pour presque toutes les violations de données.

L’organisme de surveillance britannique de la protection des données, quant à lui, a fait preuve d’un manque total de volonté d’appliquer la loi contre l’industrie adtech d’exploration de données – malgré l’avertissement de l’ICO, depuis 2019, de traçage largement illégal.

Tandis que le Le gouvernement britannique mène également des consultations sur l’affaiblissement le régime national de protection des données.

Ainsi, la question de savoir comment exactement le citoyen britannique moyen peut obtenir les droits à la vie privée revendiqués par la loi britannique enveloppe ses informations sur du papier, eh bien, assez trouble en ce moment…

Aux États-Unis, Google a conclu une ordonnance sur consentement avec la FTC sur le suivi des cookies Safari publié il y a une décennie – en acceptant en 2012 de payer 22,5 millions de dollars pour régler les frais selon lesquels il contournait les paramètres de confidentialité de Safari pour diffuser des publicités ciblées aux consommateurs (mais sans accepter aucun acte répréhensible).

Des groupes de défense des droits ont également répondu au jugement de la Cour suprême en appelant le gouvernement à légiférer sur les recours collectifs.

Dans un communiqué le Groupe de droits ouvertsLe directeur exécutif de , Jim Killock, a déclaré : « Il doit y avoir un moyen pour les gens de demander réparation contre les violations massives de données, sans avoir à risquer leur maison et sans compter uniquement sur le commissaire à l’information.

« L’ICO ne peut pas agir dans tous les cas, et n’est parfois pas disposée à le faire. Nous avons attendu plus de deux ans une action contre l’industrie Adtech, qui, selon l’ICO, opère illégalement. Il n’y a aucun signe d’action.

« Pourtant, il serait totalement déraisonnable pour quelqu’un de risquer sa maison pour des frais de justice dans des cas comme celui-ci. Sans mécanisme collectif, c’est là que nous en sommes : dans de nombreux cas, la protection des données est très difficile à appliquer contre les géants de la technologie.

« Le gouvernement devrait tenir parole et envisager de mettre en œuvre une action collective dans le cadre du RGPD, ce que je[t] spécifiquement rejeté en février au motif que Lloyd contre Google a montré que les règles existantes pouvaient fournir une voie de recours. »