Dans son étude publiée consacrée au numérique et aux droits fondamentaux, le Conseil d'État propose de créer une action collective destinée à faire cesser les violations de la législation sur les données à caractère personnel (proposition no 8). Le point du 2 de l'article 80 du règlement du 27 avril 2016, relatif à la protection des personnes physiques à l'égard du traitement des données à caractère personnel, applicable au 25 mai 2018, précise que les Etats membres peuvent prévoir dans leur droit une telle action.  Conformément au règlement précité, l'article 91 de la loi du 18 novembre 2016 de modernisation de la justice du XXIe siècle, a créé à l'article 43 ter de la loi du 6 janvier 1978, relative à l'informatique, aux fichiers et aux libertés, une action en cessation de l'illicite en matière de protection des données à caractère personnel. Ces nouvelles dispositions de la loi de 1978 s'articulent avec les dispositions générales prévues au chapitre Ier du titre V de la loi du 18 novembre 2016, précitée, et au chapitre X du titre VII du livre VII du code de justice administrative. Cette disposition prévoit que « Lorsque plusieurs personnes physiques placées dans une situation similaire subissent un dommage ayant pour cause commune un manquement de même nature aux dispositions de la [loi informatique et libertés du 6 janvier 1978] par un responsable de traitement de données à caractère personnel ou un sous-traitant, une action de groupe peut être exercée devant la juridiction civile ou la juridiction administrative compétente. » Cette action ne peut tendre qu'à la cessation du manquement et non à la réparation des préjudices qu'aurait subis la personne concernée Les personnes pouvant exercer cette action sont limitativement énumérées par la loi. Ainsi, seules les associations ou les organisations syndicales qui répondent à des conditions particulières (ancienneté, objet social, représentativité, agrément…) peuvent mener cette action.