Première déclaration. L'avis du GC (C-446/21) vient d'être publié. Veuillez rafraîchir cette page pour toute mise à jour. Bien que nous soyons encore en train d'analyser les détails, nous espérons que la première réaction ci-dessous reflète les principales conclusions.
- Communiqués de presse de la CJUE (voir C-446/21 - Schrems)
- Opinion complète de l'AG (peut n'apparaître qu'au cours de la journée)
Première déclaration. L'avis de l'AG (C-446/21) vient d'être publié. Veuillez rafraîchir cette page pour toute mise à jour. Bien que nous soyons encore en train d'analyser les détails, nous espérons que la première réaction ci-dessous reflète les principaux points à retenir :
Katharina Raabe-Stuppnig, avocate représentant M. Schrems : "Nous sommes très satisfaits de l'avis, même si ce résultat était très attendu."
L'utilisation des données à des fins publicitaires doit être limitée dans le temps, dans son type et dans sa source. Jusqu'à présent, Meta utilise toutes les données qu'elle a collectées à des fins publicitaires. Par exemple, les données des utilisateurs de Facebook peuvent remonter jusqu'en 2004. Pour empêcher de telles pratiques, le GDPR a établi le principe de "minimisation des données" à l'article 5(1)(c) GDPR. Jusqu'à présent, Meta a tout simplement ignoré ce principe et n'a prévu aucune période de suppression. L'application du "principe de minimisation des données" restreint radicalement l'utilisation des données personnelles à des fins publicitaires, même si les utilisateurs ont consenti à recevoir des publicités. Ce principe s'applique quelle que soit la base juridique utilisée pour le traitement, de sorte que même un utilisateur qui consent à une publicité personnalisée ne peut voir ses données personnelles utilisées indéfiniment. L'avocat général précise qu'il appartiendra à la juridiction nationale de se prononcer sur les détails, mais que les facteurs à prendre en compte peuvent être le type de données personnelles (âge, données comportementales, etc.), la source (données fournies activement, suivi technique passif, etc.) ou le contexte de la collecte (réseau social, pages tierces, etc.).
Katharina Raabe-Stuppnig : "Meta construit depuis 20 ans un énorme réservoir de données sur les utilisateurs, qui ne cesse de croître. Or, la législation européenne exige la "minimisation des données". Si la Cour suit l'avis de la Commission, seule une petite partie de ces données pourra être utilisée à des fins publicitaires, même si l'utilisateur a consenti à recevoir des publicités
Limitation du "scraping" de données personnelles - même si elles sont "manifestement rendues publiques". Dans le contexte des informations hautement personnelles recueillies par Meta sur M. Schrems (par l'intermédiaire de partenaires publicitaires), une discussion s'est engagée sur la question de savoir si la critique publique ultérieure de ces pratiques entraînerait une "renonciation" au droit de M. Schrems au respect de sa vie privée en ce qui concerne le traitement initialement illégal. M. Schrems a toujours reconnu qu'il avait rendu ces informations publiques et qu'elles relevaient généralement de l'article 9, paragraphe 2, point e), du RGPD ("principalement rendues publiques"), alors que certains États membres, devant la CJUE, remettaient cet élément en question. Bien qu'il s'agisse d'une situation très spécifique d'un seul utilisateur, l'interprétation de la loi est pertinente dans le contexte plus large du "web scraping", où des informations accessibles au public sont simplement prises et traitées à d'autres fins. M. Schrems a fait valoir que le principe de "limitation de la finalité" énoncé à l'article 5, paragraphe 1, du RGPD doit être appliqué parallèlement dans ce cas. C'est ce que soutient également l'avocat général.
Katharina Raabe-Stuppnig : "Ce n'est pas parce que certaines informations sont publiques qu'elles peuvent être utilisées à d'autres fins. Si vous faites un commentaire politique sur les médias sociaux, il ne peut pas être utilisé pour cibler la publicité politique vers vous. Si les utilisateurs perdaient tous leurs droits sur les informations publiées, la liberté d'expression s'en trouverait considérablement diminuée."
Quel est l'objet de cette affaire ? L'affaire concerne une procédure civile entre Max Schrems, en tant que particulier, et Meta Ireland Platforms Limited (en tant qu'opérateur de "Facebook") devant les tribunaux autrichiens. L'affaire a été entendue pour la première fois en Autriche en 2020 et concerne un grand nombre de violations du GDPR, y compris l'absence de base légale pour la publicité, etc. La Cour suprême autrichienne a posé quatre questions à la CJUE en 2021. Cependant, comme une autre affaire (C-252/21 Bundeskartellamt) couvrait en partie des questions similaires, la CJUE a "mis en pause" l'affaire entre M. Schrems et Meta jusqu'en 2024. Les questions initiales 1 et 3 ont été (indirectement) "gagnées" parce que la CJUE s'est rangée au point de vue de M. Schrems dans l'affaire C-252/21 Bundeskartellamt. Le reste de l'affaire a ensuite été entendu à Luxembourg le 8 février 2024, mais limité à deux questions restantes (questions initiales 2 et 4) qui n'avaient pas encore été tranchées dans l'affaire C-252/21 Bundeskartellamt. Les questions restantes sont les suivantes
- Question initiale 2 : L'article 5, paragraphe 1, sous c), du RGPD (minimisation des données) doit-il être interprété en ce sens que toutes les données à caractère personnel détenues par une plateforme telle que celle en cause au principal (par l'intermédiaire, notamment, de la personne concernée ou de tiers sur la plateforme et en dehors de celle-ci) peuvent être agrégées, analysées et traitées à des fins de publicité ciblée, sans limitation dans le temps ou dans le type de données ?
- Question originale 4 : L'article 5, paragraphe 1, sous b), du RGPD, lu en combinaison avec l'article 9, paragraphe 2, sous e), doit-il être interprété en ce sens qu'une déclaration faite par une personne sur sa propre orientation sexuelle dans le cadre d'une table ronde autorise le traitement d'autres données relatives à l'orientation sexuelle en vue de les agréger et de les analyser à des fins de publicité personnalisée ?
Minimisation des données. La question initiale 2 concerne l'approche de Meta qui consiste à affirmer que toutes les données à caractère personnel sont essentiellement versées dans un grand "pool de données" et peuvent être utilisées à des fins de publicité personnelle indéfiniment - sans aucune limitation - car cela semble constituer une violation évidente du principe de minimisation des données. Si, dans certains cas, il existe une limite claire pour l'effacement (par exemple, lorsqu'une obligation légale de conservation des données prend fin), la question est plus complexe lorsqu'il s'agit de publicité.
Katharina Raabe-Stuppnig : "À l'heure actuelle, le secteur de la publicité en ligne se contente de tout stocker pour toujours. La loi stipule clairement que le traitement doit cesser après quelques jours ou quelques semaines. Pour Meta, cela signifierait qu'une grande partie des informations collectées au cours de la dernière décennie deviendrait taboue pour la publicité."
Utilisation ultérieure de données sensibles. La question initiale 4 concerne l'argument du Tribunal de première instance (et en partie de Meta) selon lequel M. Schrems a mentionné son orientation sexuelle lors d'un événement à Vienne et peut donc avoir (implicitement) consenti au traitement de toute donnée à caractère personnel relative à l'orientation sexuelle (et en fait à la vie sexuelle, qui est protégée séparément par l'article 9 du GDPR) pour la publicité qui a eu lieu des années avant la déclaration publique. Il y a accord sur le fait que ces déclarations ont été rendues publiques. Cependant, M. Schrems nie que Meta ait pu traiter d'autres données - hautement personnelles - au cours des années précédentes. M. Schrems souligne que le principe de "limitation de la finalité" s'applique parallèlement et que les informations échangées dans le but de critiquer un traitement illégal par Meta ne peuvent pas permettre (rétroactivement) l'utilisation de données à caractère personnel pour une finalité complètement différente, telle que la publicité.
Katharina Raabe-Stuppnig : "Cette question est très pertinente pour toute personne qui fait une déclaration publique. Renoncez-vous rétroactivement à votre droit à la vie privée, même pour des informations qui n'ont rien à voir, ou seule la déclaration elle-même peut-elle être utilisée aux fins prévues par l'auteur de la déclaration ? Si la Cour interprète cela comme une "renonciation" générale à vos droits, cela refroidira tout discours en ligne sur Instagram, Facebook ou Twitter."