Att följa reglerna i dataskyddsförordningen (GDPR) innebär regelbundet en betydande kostnad för företag. Ta till exempel ett företag som implementerar en lagenlig process för att hämta in kundernas samtycke eftersom detta krävs enligt reglerna i GDPR. Företaget kommer att ha en merkostnad, och troligtvis även en konkurrensnackdel, jämfört med en konkurrent som omfattas av samma krav men som låter bli att implementera en sådan process. Frågan är om företaget som gör rätt kan väcka talan mot konkurrenten som bryter mot reglerna?
Denna fråga togs upp i EU-domstolens dom i mål C‑21/23 (Lindenapotheke) som handlade om två konkurrerande nätapotek i Tyskland. Ett av nätapoteken ansåg att det andra närapoteket underlåtit att hämta in ett samtycke för sin behandling av kundernas känsliga personuppgifter i samband med beställning av läkemedel. Nätapoteket väckte talan mot konkurrenten och yrkade att den skulle föreläggas att upphöra med sin försäljning av läkemedel. Nätapoteket motiverade detta med att försäljningen var otillbörlig eftersom den inte uppfyllde lagstadgade krav på att hämta in ett samtycke för behandling av känsliga personuppgifter i enlighet med GDPR.
EU-domstolen prövade frågan om reglerna i GDPR, närmare bestämt reglerna i kapitel VIII GDPR som handlar om rättsmedel, ansvar och sanktioner, utgör ett hinder för att väcka en sådan talan. EU-domstolen kom fram till att reglerna kapitel VIII GDPR inte utgör hinder för en sådan talan. Mer specifikt konstaterade EU-domstolen att reglerna i kapitel VIII GDPR inte utgör hinder för nationell lagstiftning som ger en möjlighet för konkurrenter till ett företag som påstås ha åsidosatt bestämmelser om skydd av personuppgifter att med stöd av förbudet mot otillbörliga affärsmetoder väcka talan mot detta företag vid allmän domstol på grund av överträdelser av GDPR. Detta gäller trots att det vid sidan av sådan nationell lagstiftningen finns ingripande befogenheter för tillsynsmyndigheter och möjligheter för registrerade att tillvarata sina rättigheter.
GDPR hindrar således inte ett företag från att väcka talan mot en konkurrent för ett påstått åsidosättande av reglerna i GDPR som innebär en användning av otillbörliga affärsmetoder. Om det är möjligt att väcka en sådan talan enligt nationell lagstiftning och huruvida den talan skulle bli framgångsrik beror dock på omständigheterna i det enskilda fallet.