- En Allemagne, l’Office fédéral des cartels a interdit à Facebook d’associer les données de WhatsApp, Instagram et de sites tiers au compte Facebook sans le consentement volontaire des utilisateurs.
- Le BKartA a qualifié le vaste regroupement de données d’abus d’exploitation contraire au droit des cartels et s’est appuyé pour la première fois de manière centrale sur les principes du RGPD.
Le Bundeskartellamt (BKartA) a imposé à Facebook des restrictions drastiques concernant le traitement des données des utilisateurs dans une décision très attendue. Le 7 février 2019, le BKartA a rendu une décision dans le cadre d’une Communiqué de presse et un Document de référence de la décision (ainsi que le 17 décembre 2017 sur la procédure en cours dans le cadre d’un Document de référence). La décision est remarquable par la combinaison inédite de critères relevant du droit de la protection des données et du droit des cartels pour le traitement des données par des entreprises dominantes sur les marchés numériques. Le dernier mot n’a toutefois pas encore été dit. Facebook a déjà annoncéLa décision a été contestée devant le tribunal régional supérieur de Düsseldorf. Il reste à voir si les instances de recours approuveront l’utilisation extensive d’arguments relevant du droit de la protection des données pour constater un abus de position dominante ou si elles corrigeront tout de même le tir.
Situation de départ
Selon les conditions générales de Facebook, les utilisateurs ne peuvent actuellement utiliser le réseau social qu’à condition que Facebook collecte des données sur l’utilisateur sur Internet ou sur des applications de smartphone en dehors du site Facebook et les associe au compte d’utilisateur Facebook. Concrètement, Facebook s’accorde le droit de fusionner avec le compte d’utilisateur Facebook toutes les données collectées sur (i) Facebook lui-même, (ii) les services appartenant au groupe, comme par exemple WhatsApp et Instagram, ainsi que (iii) les données collectées sur des sites web tiers.
Ordonnance du BKartA
Le BKartA a prononcé les injonctions suivantes à l’encontre de Facebook pour l’Allemagne, sans toutefois prononcer de sanctions directes supplémentaires :
La décision de l’Office couvre différentes sources de données :
- A l’avenir, les services appartenant au groupe Facebook comme WhatsApp et Instagram continuent de collecter les données. Une attribution des données au compte d’utilisateur chez Facebook n’est toutefois plus possible qu’avec le consentement volontaire de l’utilisateur. Si le consentement n’est pas donné, les données doivent rester dans les autres services et ne peuvent pas être traitées en combinaison avec les données Facebook.
- Une collection et Attribution des données de sites web tiers au compte d’utilisateur Facebook ne sera également possible à l’avenir que si le l’utilisateur consent volontairement à l’attribution au compte d’utilisateur Facebook.
Si le consentement fait défaut pour les données provenant des services du groupe et des sites web tiers, Facebook ne peut collecter les données que de manière très limitée et les attribuer au compte de l’utilisateur. Facebook doit élaborer des propositions de solutions correspondantes et les présenter à l’Office.
Selon les mots de son président Andreas Mundt, le BKartA prend ainsi ” une mesure de précaution “.désenchevêtrement interne” des données traitées par Facebook.
Arguments juridiques du BKartA
a) Position dominante sur le marché des réseaux sociaux
Selon les constatations du BKartA, Facebook prend une place importante sur le marché allemand de la publicité en ligne. Marché des réseaux sociaux un position dominante sur le marché un marché. Le BKartA délimite étroitement le marché, comme on peut le voir, en considérant notamment que des services tels que LinkedIn et Twitter ne font pas partie du même marché. Sur le marché en cause, Facebook détient donc une part de marché de plus de 90%.
Le BKartA souligne ensuite, dans le cadre de son examen de l’abus de position dominante au sens de l’article 19 GWB, la “obligations particulières en matière de droit des cartelsL’expression “entreprise dominante” est également utilisée dans le cadre des procédures au titre de l’article 102 du TFUE et de l’article 7 de la LCart, car la pratique constante fait référence à la responsabilité particulière des entreprises dominantes (“special responsibility”, pour la première fois dans l’arrêt de la CJCE dans l’affaire C‑454/02). Michelin de l’année 1983).
b) la mise en commun de données en tant qu’abus d’exploitation
Le BKartA poursuit en expliquant que les utilisateurs n’ont pas d’autre choix que d’accepter l’utilisation étendue des données par Facebook ou de renoncer à l’utilisation du réseau. Dans ce contexte, le fait de devoir cocher une case pour accepter les conditions d’utilisation de Facebook ne constitue pas une base suffisante pour une utilisation aussi extensive des données. De l’avis du BKartA, l’utilisation de Facebook est particulièrement problématique. fusion illimitée des données du site web original de Facebook avec des données provenant de services appartenant au groupe, tels qu’Instagram et WhatsApp, ainsi que de sites tiers dotés d’interfaces (p. ex. boutons Like ou Share). La simple consultation de ces sites tiers entraîne déjà un flux de données vers Facebook. La plupart des utilisateurs n’en sont même pas conscients. Cette combinaison de données permet à Facebook d’établir des profils d’utilisateurs très précis.
Le BKartA examine concrètement si un Abus d’exploitation selon la lecture du droit des cartels selon l’article 19, paragraphe 2 (2) de la loi sur la concurrence. Les entreprises dominantes se comportent de manière abusive, entre autres, lorsqu’elles exploitent la partie adverse du marché – en l’occurrence les consommateurs en tant qu’utilisateurs de Facebook – en pratiquant des prix excessifs ou en adoptant des dispositions et conditions contractuelles inappropriées (ce que l’on appelle la “surenchère”). Abus de conditions). De l’avis du BKartA, cela vaut tout particulièrement
[…] si l’exploitation entrave en même temps les concurrents qui ne peuvent pas accumuler un tel trésor de données.
c) Le RGPD comme critère d’exploitation
Il est intéressant et peut-être précurseur que, dans une prochaine étape, le BKartA Les dispositions du RGPD comme référence pour déterminer s’il y a abus de position dominante en vertu du droit des cartels. Le fait de s’appuyer sur des dispositions d’autres lois pour constater un abus de position dominante n’est pas nouveau en principe, mais c’est la première fois qu’il est fait référence aux dispositions de la protection des données et du RGPD en particulier. Dans son communiqué de presse, le BKartA souligne que, dans le cadre de la loi allemande sur la concurrence, des les droits fondamentaux et autres valeurs légales, entre autres du droit civil, comme le droit des conditions généralesLes informations fournies par les entreprises peuvent être prises en compte dans le cadre du contrôle des abus de position dominante :
Dans de telles procédures, l’application des dispositions du contrôle européen des abus [selon l’article 102 du TFUE] est toujours en jeu. Même selon la norme d’intervention correspondante de l’article 102 TFUE, une telle procédure d’abus contre Facebook serait en principe possible. Toutefois, ce n’est qu’en Allemagne qu’une jurisprudence des plus hautes juridictions s’est développée jusqu’à présent, dans le cadre de laquelle des droits fondamentaux ou d’autres décisions de valeur légales – en l’occurrence la protection des données – peuvent être pris en compte pour déterminer le caractère abusif du comportement d’une entreprise dominante sur le marché. Toutefois, en raison de l’importance transfrontalière de la procédure, le Bundeskartellamt s’est étroitement coordonné avec la Commission européenne ainsi qu’avec d’autres autorités de concurrence étrangères au cours de la procédure.
Le BKartA affirme en outre que le droit des cartels et le droit de la protection des données poursuivent un objectif identique dans le domaine de l’abus de conditions, en précisant dans son document de référence :
En effet, le droit de la protection des données vise également à protéger la personne concernée contre les traitements de données injustifiés de ses données personnelles par la partie adverse du marché”.
Concrètement, le BKartA examine, apparemment en étroite collaboration avec les autorités de protection des données (bien que l’on ne sache pas exactement lesquelles), si les les traitements de données effectués par Facebook sont justifiés en vertu du RGPD. Il s’agit d’un contrôle de la légalité du traitement des données conformément à l’article 6 du RGPD, même si l’OFCOM ne se réfère pas directement à cette disposition dans les documents publiés. Le BKartA arrive à la conclusion que
- le traitement des données n’est pas nécessaire à l’exécution du contrat (cf. article 6, paragraphe 1, point b) du RGPD),
- ni un intérêt légitime prépondérant de Facebook au traitement des données (cf. article 6, paragraphe 1, point f), du RGPD), et
- également pas de consentement valable (cf. article 6, paragraphe 1, point a), du RGPD), car il n’y avait notamment pas de consentement libre. Un consentement valable n’aurait pu être admis que si l’utilisation du site web original de Facebook n’avait pas été subordonnée à l’octroi du consentement à l’utilisation globale des données.
Le BKartA a qualifié les conditions d’utilisation de Facebook ainsi que le type et l’étendue de la collecte et de l’exploitation des données de contraires à la protection des données et d’abus de position dominante. Il exige une “désenchevêtrement interne” des données traitées par Facebook (voir ci-dessus les injonctions du BKartA). Aucune sanction n’a été imposée dans le cadre de cette procédure, car le BKartA a mené l’enquête dans le cadre d’une procédure administrative (et non d’une procédure d’amende). Comme mentionné au début, Facebook a déjà annoncé qu’il ferait appel de la décision.
Appréciation critique et parallèles avec le droit suisse des cartels
Le pendant de l’abus de conditions selon la GWB allemande est statué dans le droit suisse des cartels à l’art. 7, al. 2, let. c LCart, selon lequel Imposer des prix ou d’autres conditions commerciales déraisonnables par des entreprises dominantes est qualifiée de comportement abusif. En Suisse, la pratique en matière d’abus d’exploitation est très limitée. La plupart des cas concernent ce que l’on appelle l’abus d’éviction, dans lequel il ne s’agit pas d’une exploitation de la partie adverse, mais de la question de savoir si d’autres acteurs du marché sont évincés de manière abusive du marché. Cela va de soi, puisque le Objectif du droit suisse des cartels dans la protection d’une concurrence efficace et non dans la protection des consommateurs ou la protection des données. Les questions relatives à la loyauté et à la protection des données ne relèvent donc en principe pas de la compétence des autorités de la concurrence.
Un examen extensif des infractions à la protection des données par les autorités de la concurrence est donc discutable et ouvre une boîte de Pandore : on ne sait pas exactement quel critère doit être appliqué pour déterminer si une infraction aux dispositions sur la protection des données doit être qualifiée d’abus de position dominante. Il ne peut en tout cas pas être question de considérer toute infraction à la protection des données commise par une entreprise dominante comme une infraction au droit des cartels. Dans le cas d’un abus d’exploitation, la doctrine dominante considère qu’il y a un Lien de causalité a fait la distinction entre l’imposition de conditions commerciales inappropriées (comme ici des conditions d’utilisation contraires à la protection des données) et la position dominante sur le marché. Il n’y a donc abus d’exploitation que lorsqu’une entreprise profite de sa position dominante pour obtenir des avantages commerciaux de ses clients, qu’elle n’aurait pas pu imposer sans pouvoir de marché et si la concurrence fonctionnait bien. L’élément déterminant est donc la manière dont Facebook se serait comporté s’il n’avait pas été dominant sur le marché. Comment les entreprises traiteraient-elles et regrouperaient-elles les données des utilisateurs sur un marché concurrentiel ? Il n’est pas certain que les entreprises se seraient comportées différemment sur un marché de comparaison concurrentiel. On ne sait pas encore à quel point le BKartA s’est penché sur ces points.
Jusqu’à présent, on sait également peu de choses sur l’examen concret des conditions d’utilisation par le BKartA. Le BKartA examine apparemment les motifs de justification que nous connaissons de l’article 6 du RGPD. Toutefois, elle les évalue probablement dans une optique de droit des cartels et pas nécessairement de la même manière qu’une autorité de protection des données le ferait. Il serait particulièrement intéressant de savoir quels sont les Rôle le pouvoir de marché de Facebook pour l’évaluation de la justification selon l’article 6 du RGPD. Dans la littérature relative à la protection des données, la la position sur le marché du responsable du traitement des données et le déséquilibre des pouvoirs entre le responsable du traitement des données, d’une part, et le sujet des données, d’autre part est considéré comme un facteur pertinent, notamment pour l’évaluation du caractère volontaire du consentement au sens de l’article 6, paragraphe 1, point a), du RGPD (voir notamment Ingold, article 7 du RGPD, n. 27, dans : Sydow [éd.], Europäische Datenschutzgrundverordnung, Handkommentar, Baden-Baden 2017 ; Schultz, article 7 du RGPD, n. 19 s. et 24, dans : Gola [éd.], DS-GVO, Kommentar, Munich 2017). Dans cette mesure, l’évaluation du motif juridique pour le traitement des données selon le RGPD et l’infraction d’abus d’exploitation selon le droit des cartels repose sur une une pesée des intérêts similaire de base. Comme chacun sait, le RGPD vise en grande partie à endiguer l’utilisation illimitée et opaque des données par les géants de la technologie. Il doit permettre aux citoyens de mieux contrôler leurs données personnelles.
L’interaction entre la protection des données et le droit de la concurrence à l’ère du big data et du data mining, avec les rapports de force et les asymétries d’information qui les caractérisent, préoccupe les autorités de surveillance européennes depuis quelques années. Sur la base d’une décision du Parlement européen de mars 2017, c’est notamment le Centre d’échange numérique un réseau volontaire d’autorités chargées de la protection des données, de la protection des consommateurs et de la concurrence, qui se réunit à intervalles réguliers pour discuter de questions réglementaires actuelles. La décision du BKartA est un pas supplémentaire dans la direction de la convergence de ces domaines juridiques, même si elle est limitée à l’Allemagne et sous réserve d’une éventuelle correction de trajectoire par les instances de recours.