Dans le cadre de l’examen d’un abus de position dominante, l’autorité de la concurrence nationale d’un État membre de l’Union européenne peut constater une violation du règlement 'RGPD' encadrant la protection des données personnelles, a estimé la Cour de justice l’UE (CJUE) dans un arrêt rendu mardi 4 juillet (affaire C-252/21).
Meta Platforms Ireland, qui gère les réseaux sociaux Facebook, Instagram et WhatsApp dans l'Union européenne, collecte des données et des cookies relatifs aux utilisateurs à l'intérieur du réseau social et à l'extérieur, par exemple lors de la consultation de pages Internet et d'applications tierces appartenant ou non au groupe Meta ('données off Facebook'). Ces données collectées permettent notamment de personnaliser les messages publicitaires destinés aux utilisateurs de Facebook.
L’autorité fédérale allemande de la concurrence a interdit, en particulier, de subordonner, dans les conditions générales, l’utilisation du réseau social Facebook par des utilisateurs privés résidant en Allemagne au traitement de leurs données off Facebook et de procéder au traitement de ces données sans leur consentement. Elle estime que ce traitement n’est pas conforme au règlement général 'RGPD' (2016/679) et constitue une exploitation abusive de la position dominante de Meta sur le marché allemand des réseaux sociaux en ligne.
Saisie par le tribunal régional supérieur de Düsseldorf, la Cour de justice observe que, dans le cadre de l'examen d'un abus de position dominante, une autorité nationale de la concurrence peut examiner le comportement de l'entreprise en question au regard de normes ne relevant pas du droit de la concurrence, comme le règlement 'RGPD'. Cette autorité doit se limiter aux seules fins de constater un abus de position dominante et, si elle relève une violation du règlement 'RGPD', ne se substitue pas aux autorités veillant au respect de ce règlement.
Afin d’assurer une application cohérente du règlement 'RGPD', les autorités nationales de la concurrence doivent se concerter et coopérer loyalement avec les autorités faisant respecter ce règlement. Une autorité de la concurrence doit notamment vérifier si ce comportement litigieux ou un comportement similaire a déjà fait l’objet d’une décision par l’autorité de contrôle compétente pour le règlement 'RGPD' ou par la Cour elle-même. Si tel est le cas, elle ne peut s’en écarter, tout en restant libre d’en tirer ses propres conclusions sous l’angle de l’application du droit de la concurrence.
Données 'sensibles'. Par ailleurs, la Cour relève que le traitement de données effectué par Meta semble porter sur des données dites 'sensibles' (origine raciale ou ethnique, opinions politiques, convictions religieuses, orientation sexuelle d'un utilisateur) dont le traitement est, en principe, interdit par le règlement 'RGPD'. Il appartient au juge national de déterminer si certaines des données permettent effectivement de révéler de telles informations, qu’elles concernent un utilisateur de Facebook ou toute autre personne physique.
Le traitement de ces données 'sensibles' est-il exceptionnellement permis par le fait qu’elles auraient été manifestement rendues publiques par la personne concernée ? À cette question, la Cour précise que le seul fait qu’un utilisateur consulte des sites Internet ou des applications susceptibles de révéler de telles informations ne signifie nullement qu’il rend manifestement publiques ses données, au sens du droit de l'UE.
Il en va de même, ajoute-t-elle, lorsqu’un utilisateur insère des données dans des sites ou applications ou lorsqu’il active des boutons de sélection y intégrés, sauf s’il a préalablement explicitement exprimé son choix de rendre ses données accessibles à un nombre illimité de personnes.
La Cour examine ensuite si le traitement de tout type de données effectué par Meta est justifié par la nécessité d'exécuter le contrat auquel une personne a souscrit pour utiliser Facebook. Selon elle, la nécessité d'exécuter le contrat ne justifie la pratique litigieuse qu'à la condition que le traitement de données soit objectivement indispensable de telle sorte que l’objet principal du contrat ne pourrait être atteint en l’absence de ce traitement.
Sous réserve d’une vérification par le juge national, la Cour doute que la personnalisation des contenus ou l’utilisation homogène et fluide des services du groupe Meta puissent satisfaire à ces critères. De plus, selon le juge européen, la personnalisation de la publicité par laquelle est financé Facebook ne justifie pas le traitement de données en cause, en l’absence du consentement explicite de la personne concernée.
Enfin, observe la Cour, le fait qu’un opérateur occupe une position dominante sur le marché des réseaux sociaux en ligne n'empêche pas que ses utilisateurs puissent valablement consentir au traitement de leurs données effectué par cet opérateur. Toutefois, précise-t-elle, cette position dominante étant susceptible d’affecter la liberté de choix des utilisateurs, elle constitue un élément important pour déterminer si le consentement a effectivement été donné valablement et librement, chose qu'il incombe à Facebook de prouver.
Réagissant à cette interprétation du droit de l'UE, le commissaire européen à la Justice, Didier Reynders, s'est félicité que « de nombreux acteurs (soient) responsables de l'application du règlement 'RGPD' ». « À l'avenir, nous mettrons en place une nouvelle façon de mettre en œuvre le cadre réglementaire régissant l'environnement numérique », a-t-il indiqué, citant le paquet 'DSA/DMA' et le 'Data Act', autant de textes qui découlent du règlement 'RGPD'.
Voir l'arrêt de la Cour : https://aeur.eu/f/7vt (Mathieu Bion)