La CJUE précise l’application du RGPD dans une affaire d’abus de position dominante
Par un arrêt du 4 juillet 2023, la Cour de justice de l’union européenne, saisie de sept questions préjudicielles par le tribunal régional supérieur de Düsseldorf, établi que les autorités nationales de la concurrence peuvent condamner une entité sur le fondement d’un manquement au RGPD. Elle avance de plus que la société Meta doit obtenir le consentement des utilisateurs du réseau social Facebook pour collecter et traiter leurs données sur les autres réseaux sociaux du groupe tel que WhatsApp ou Instagram.
En l’espèce, Meta Platforms Ireland gère l’offre du réseau social en ligne Facebook. La rentabilité de Facebook repose sur la publicité ciblée. Une telle publicité est rendue possible par l’établissement automatisé d’un profil détaillé de l’utilisateur grâce aux données fournies directement par ce dernier lors de son inscription ainsi qu’aux données collectées à l’intérieur et l’extérieur du réseau social, sur les autres réseaux sociaux du groupe Meta.
Le traitement de ces données est effectué par Facebook sur le fondement du contrat signé par l’utilisateur lorsqu’il accepte les conditions générales au moment de s’inscrire. L’acceptation de ces conditions est nécessaire à l’utilisation de Facebook.
Par une décision du 6 février 2019, l’autorité fédérale allemande de la concurrence a interdit à Facebook de subordonner son usage à l’acceptation du traitement des données de l’utilisateur, collectées à l’extérieur du réseau social. L’autorité a motivé sa décision par le fait que le traitement en question constituait un abus de position dominante sur le marché des réseaux sociaux en ligne pour les utilisateurs allemands.
Le 11 février 2019, Meta Platforms, Meta Platforms Ireland et Facebook Deutschland ont introduit un recours contre la décision de l’autorité fédérale de la concurrence devant le tribunal régional supérieur de Düsseldorf.
Le tribunal décide de surseoir à statuer et de poser à la Cour plusieurs questions préjudicielles et notamment celle de savoir s’il est compatible avec le RGPD qu’une autorité de la concurrence nationale constate une violation du RGPD et ordonne la cessation de cette infraction.
Par un arrêt rendu le 4 juillet 2023, la Cour de justice souligne d’abord qu’aucune disposition du RGPD n’interdit aux autorités nationales de la concurrence de constater la non-conformité au dit règlement d’un traitement de données effectué par une entreprise en position dominante et susceptible de constituer un abus de cette position.
Elle précise toutefois qu’il incombe à l’autorité de contrôle de vérifier si un comportement similaire a déjà fait l’objet d’une décision par l’autorité nationale de protection des données. Si tel est le cas, elle ne peut s’en écarter. Si elle a des doutes sur la portée de l’appréciation effectuée par l’autorité de protection des données, elle doit solliciter sa coopération. Cette dernière doit répondre dans un délai raisonnable et en l’absence de réponse de sa part dans un délai raisonnable, l’autorité de la concurrence nationale peut poursuivre sa propre enquête.
La Cour considère également que le traitement effectué par un opérateur consistant en la collecte des données de l’utilisateur issues d’autres services du groupe auquel l’opérateur appartient ne peut être considéré comme nécessaire à l’exécution du contrat entre les parties qu’à la condition que ce traitement soit objectivement indispensable à sa réalisation.
De plus, un tel traitement ne peut être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement qu’à la condition que ledit opérateur ait indiqué aux utilisateurs auprès desquels les données ont été collectées un intérêt légitime poursuivi par leur traitement, que ce traitement est opéré dans les limites du strict nécessaire pour la réalisation de cet intérêt légitime.
A défaut d’apporter la preuve de ces deux finalités, l’opérateur doit donc obtenir le consentement des utilisateurs afin d’effectuer le traitement visé. Or, l’acceptation des conditions générales d’utilisation de Facebook ou Instagram ne peut être assimilée à un consentement.
Pour en savoir plus :
