Violation du RGPD par la technologie de suivi de Facebook au sens de la CNIL autrichienne
Sur l’une des 101 plaintes déposées par NOYB, l’autorité autrichienne de protection des données (DSB) a décidé que l’utilisation du pixel de suivi de Facebook par un site web enfreignait directement l’article 44 du RGPD et la décision Schrems II sur les flux de données transatlantiques.
Pour rappel, l’arrêt Schrems II (CJUE, 16 juillet 2020) a invalidé la décision d’adéquation de la Commission européenne pour le transfert de données de l’Union Européenne vers les Etats-Unis. À la suite de cela, des plaintes ont été déposées par NOYB dans les 30 Etats membres de l’Union Européenne et de l’Espace Economique Européen contre 101 entreprises européennes qui continuaient de transmettre des données vers les Etats-Unis.
Dans ce contexte, l’autorité autrichienne de protection des données a indiqué, le jeudi 16 mars 2023, que l’utilisation de la technologie de suivi de Facebook était illégale. En effet, si ces outils sont utilisés, les données sont inévitablement transférées aux Etats Unis, où elles risquent d’être surveillées par les services de renseignement.
En l’espèce, un site web hébergé par une société de médias autrichienne a été visité par une personne connectée à son compte Facebook personnel. La société utilisait alors Facebook Login, outil permettant de faciliter l’accès des utilisateurs à des services non proposés par Meta sans création de comptes supplémentaires. De plus, la société utilisait Facebook Pixel, outil lui permettant de suivre les activités des visiteurs sur son site web. Or, selon le visiteur du site web, le simple accès à celui-ci aurait déclenché un transfert illicite de données à caractère personnel vers les Etats-Unis. Il a donc, en ce sens, déposé une plainte le 18 août 2020.
Au cours de l’enquête de l’autorité autrichienne de protection des données, le responsable de traitement a affirmé avoir désactivé les outils Facebook consécutivement au dépôt de la plainte et fait valoir que la seule partie contractante directe avec lui était Meta Platform Ireland Limited.
Selon l’autorité autrichienne de protection des données :
- S’agissant de Meta Platform Ireland Limited
Meta Platform n’a pas violé l’article 44 du RGPD (relatif au principe général applicable aux transferts) car elle n’était qu’un simple importateur de données, ce qui n’entre pas dans la champ d’application du RGPD. Dans le cadre du transfert de données, Meta ne les a pas divulguées mais les a simplement reçues.
- S’agissant de la société autrichienne
La simple désactivation des outils postérieurement à la plainte n’est pas suffisante pour exclure une violation de l’article 44 du RGPD dans la mesure où la violation a déjà eu lieu.
En outre, les données transférées aux Etats-Unis par l’intermédiaire des outils de Facebook étaient des données à caractère personnel dans la mesure où Meta Platform Ireland Limited pouvait établir un lien entre les données transférées depuis le site web et les données relatives au compte Facebook de la personne concernée. De plus, le responsable de traitement a accepté que son sous-traitant (ndlr Meta Platform) puisse utiliser un sous-traitant secondaire basé en dehors de l’Union Européenne pour le traitement des données. Un transfert international des données a donc effectivement eu lieu. Or, un tel transfert n’a pas été encadré par la mise en œuvre de clauses contractuelles types. Le responsable de traitement a donc transféré, en violation des dispositions du RGPD, les données à caractère personnel de la personne concernée aux Etats-Unis.
En outre, dans cette affaire, il n’y a pas d’informations sur le prononcé d’une sanction.
À long terme, il semble y avoir deux options s’agissant du transfert de données en dehors de l’Union Européenne :
- Soit les États-Unis adaptent les protections de base pour les étrangers afin de soutenir leur industrie technologique
- Soit les fournisseurs américains devront héberger les données étrangères en dehors des États-Unis. Or, en raison de son système basé aux États-Unis, Meta n’est pas en possibilité de garantir que les données des citoyens européens ne soient pas interceptées par les agences de renseignement américaines.
