Le LG Pas­sau rejet­te la plain­te dans son inté­gra­li­té, notam­ment sur la base des con­sidé­ra­ti­ons suivantes :
  • Le trai­te­ment des don­nées est néces­saire à l’exé­cu­ti­on du cont­rat ent­re les par­ties (artic­le 6, para­gra­phe 1, point b), du RGPD). Il va de soi que les don­nées des cont­acts de l’uti­li­sa­teur sont télé­char­gées si l’uti­li­sa­teur con­sent à uti­li­ser l’ ”outil d’im­por­ta­ti­on de contacts”.
  • Une vio­la­ti­on de Pro­tec­tion de la vie pri­vée par défaut n’e­xi­ste pas. Le responsable du trai­te­ment doit sim­ple­ment s’assurer que seu­les les don­nées néces­saires à la fina­li­té pour­suivie sont traitées :

    Le critère de sélec­tion des mesu­res est la néces­si­té pour la fina­li­té du trai­te­ment. Le site La fina­li­té du trai­te­ment peut être libre­ment choi­sie dans le cad­re des dis­po­si­ti­ons de l’ar­tic­le 5, para­gra­phe 1, point b), du RGPD.. Il n’y a donc pas lieu d’e­xi­ger du responsable du trai­te­ment qu’il adop­te tou­jours le para­mé­tra­ge le plus favorable à la pro­tec­tion des don­nées. Le responsable déci­de plutôt, en défi­nis­sant une cer­taine fina­li­té de trai­te­ment, de l’é­ten­due des don­nées néces­saires à cet­te fin. […].

  • Par défaut, Face­book fait en sor­te que les uti­li­sa­teurs pui­s­sent être trou­vés par tous les aut­res. Il ne s’a­git pas non plus d’u­ne infrac­tion, car pour les nou­veaux uti­li­sa­teurs, il n’est guè­re logi­que qu’ils ne pui­s­sent être trou­vés que par des “amis” qui ne les ont pas enco­re. Face­book a donc pu con­sidé­rer le paramèt­re par défaut cor­re­spond­ant com­me néces­saire à la fina­li­té du trai­te­ment, même si l’uti­li­sa­teur peut le modi­fier manu­el­le­ment par la suite.
  • Il n’y a pas de trans­mis­si­on illé­ga­le. Face­book est une ent­re­pri­se amé­ri­cai­ne et une pla­te­for­me mon­dia­le. C’est pour­quoi les don­nées doi­vent être échan­gées au niveau inter­na­tio­nal ; dans le cas con­trai­re, la recher­che d’uti­li­sa­teurs dans d’aut­res régions ne serait pas pos­si­ble, et chaque uti­li­sa­teur de Face­book le sait. L’uti­li­sa­teur n’a pas le droit d’e­xi­ger que Face­book ne fonc­tion­ne qu’en Europe.
  • Il y a aucu­ne indi­ca­ti­onque Face­book n’a pas met son stock de don­nées “à la lib­re dis­po­si­ti­on des ser­vices secrets amé­ri­cains à l’étran­ger, sans con­di­ti­on pré­alable”..
  • La trans­mis­si­on vers les États-Unis est auto­ri­sée. Il s’ef­fec­tue sur la base du Data Pri­va­cy Frame­work. La décis­i­on d’a­dé­qua­ti­on cor­re­spond­an­te est une base valable, il n’est pas néces­saire de pro­cé­der à un examen plus appro­fon­di de l’adéquation.
  • Avant le DPF, les Clau­ses con­trac­tu­el­les types la base qui per­met une base suf­fi­san­te sont représentés :

    bb) Pour la péri­ode pré­cé­den­te, les clau­ses con­trac­tu­el­les types 2010 et 2021 adop­tées par la Com­mis­si­on, en com­bi­nai­son avec l’ar­tic­le 46, para­gra­phe 1, para­gra­phe 2, point b), du RGPD, con­sti­tu­ent une base juri­di­que suf­fi­san­te. c) du RGPD con­sti­tu­ent une base juri­di­que suf­fi­san­te. Con­for­mé­ment à l’ar­tic­le 46, para­gra­phe 1, du RGPD, les per­son­nes con­cer­nées doi­vent dis­po­ser de droits exé­cu­toires et de recours effec­tifs afin de garan­tir un niveau de pro­tec­tion équi­va­lent à celui du droit de l’UE. La par­tie requé­ran­te cri­tique à cet égard le fait que le méca­nis­me de recours amé­ri­cain repo­se sur un règle­ment du gou­ver­ne­ment et non sur une loi for­mel­le. Or, même un règle­ment est une loi au sens maté­ri­el. On ne voit pas pour­quoi cela ne per­met­trait pas d’offrir une pro­tec­tion juri­di­que 1 O 616/23 équivalente.

  • En out­re, la Trans­fert de don­nées néces­saire à l’exé­cu­ti­on du cont­rat et donc auto­ri­sées en ver­tu de l’ar­tic­le 49, para­gra­phe 1, phra­se 1 b du RGPD.

    Si les auto­ri­tés de pro­tec­tion des don­nées ont des avis diver­gen­ts, ceux-ci ne lient pas le tribunal.

  • Si Auto­ri­tés amé­ri­cai­nes peu­vent deman­der des infor­ma­ti­ons à Face­book en ver­tu du droit amé­ri­cain, que ce soit Con­sé­quence de la trans­mis­si­on léga­le. Cela n’empêche pas un niveau de pro­tec­tion suffisant,

    car elle est éga­le­ment sou­mi­se au régime euro­pé­en de pro­tec­tion des don­nées en ver­tu de l’art. 6, al. 1, let. c du RGPD (respect d’u­ne obli­ga­ti­on légale).