- L’Office fédéral des ententes pouvait tenir compte de l’incompatibilité avec le RGPD lors de l’examen des abus, mais ne pouvait pas constater ou sanctionner lui-même les infractions à la protection des données.
- Les données sensibles au sens de l’article 9 du RGPD ne sont considérées comme telles que si les données permettent le profilage de catégories sensibles, et non pas déjà par la consultation d’un site web.
- Le pouvoir de marché influence le caractère volontaire des consentements ; il n’est pas nécessairement dominant, mais ne retire pas la validité des consentements de manière générale.
Par décision du 6 février 2019, l’Office fédéral allemand des cartels (BKartA) avait interdit à Meta, alors Facebook, d’associer des données provenant de services tels que WhatsApp et Instagram au compte d’utilisateur de Facebook si les utilisateurs n’y avaient pas consenti volontairement. De même, la collecte et l’association de données provenant de sites web tiers ne seraient autorisées qu’avec un consentement volontaire. Dans ce contexte, des questions ont été posées à la CJUE, sur lesquelles la avocat général a rendu ses conclusions le 20 septembre 2022 (affaire 252/21).
A l’époque, le BKartA avait argumenté en substance,
- Meta a pris une place importante sur le marché des réseaux sociaux. dominant position, et
- le recoupement des données pourrait Abus d’exploitation sont représentés.
- Selon l’Office fédéral des ententes, le critère d’un tel abus était le respect des règles de la concurrence. RGPD.
A cet effet, nous avons rapporté.
Meta avait contesté la décision du BKartA devant l’Oberlandesgericht Düsseldorf (OLG Düsseldorf) et l’OLG, en examinant la demande d’effet suspensif du recours, avait émis des “doutes sérieux quant à la légalité de ces ordonnances des autorités antitrust” (Décision du 26.08.2019 – Kart 1/19 (V)). En particulier, le lien de causalité nécessaire entre le traitement des données en question et le pouvoir de marché ne doit pas être mesuré à l’aune du RGPD, mais des principes du droit des ententes :
… Facebook est accusé non seulement d’une violation de la législation sur la protection des données, mais aussi d’une violation de la législation antitrust […]. Il est donc sans importance – contrairement à l’avis du Bundeskartellamt – de savoir si (1) le consentement exigé des utilisateurs lors de l’inscription au réseau social de Facebook remplit les exigences d’un consentement libre au traitement de données à caractère personnel au sens des articles 4, point 11, et 6, paragraphe 1, première phrase, sous a), du RGPD., […].
Il ne faut pas suivre le Bundeskartellamt lorsqu’il conclut que l’infraction à la protection des données de Facebook soumise à l’appréciation ne peut pas être commise “de cette manière” par des concurrents n’occupant pas une position dominante sur le marché […]. Cette approche est trop courte. Seule la question de la causalité comportementale peut être déterminante, si l’infraction supposée impliquant l’abus – en l’occurrence, la collecte, la combinaison et l’utilisation des données supplémentaires prévues par les conditions d’utilisation soumises à autorisation – est causalement imputable à la position dominante sur le marché est. […]
Dans la suite de la procédure, l’OLG avait posé quelques questions à la CJCE
- en ce qui concerne le pouvoir de cognition des autorités antitrust des États membres, mais aussi
- les notions de catégories particulières de données à caractère personnel au sens de l’article 9, paragraphe 1, du RGPD, et
- du “caractère manifestement public” selon l’article 9, paragraphe 2, point e) du RGPD et
- l’intérêt légitime (article 6, paragraphe 1, point f) du RGPD)
présenté.
L’avocat général retient notamment la position suivante :
- Le BKartA était en droit de prendre en considération l’incompatibilité du comportement avec le RGPD lors de l’examen de l’abus de position dominante. Le BKartA ne peut pas se substituer à une autorité de protection des données pour constater une violation du RGPD ou la sanctionner, mais il peut tenir compte de manière incidente de l’existence d’une violation du RGPD. L’autorité de la concurrence doit toutefois informer l’autorité de protection des données compétente, et si une autorité de surveillance de la protection des données a interprété une disposition du RGPD, une autorité de la concurrence ne peut en principe pas s’écarter de cette interprétation. En cas de doute, elle devrait se concerter avec l’autorité de surveillance compétente ou nationale.
- Sur le site Notion de catégories particulières de données personnelles il n’y a pas lieu de faire de distinction entre les données à caractère personnel qui sont sensibles parce qu’elles “révèlent” une situation particulière et celles qui sont sensibles par nature (malgré le “libellé quelque peu obscur” de l’article 9, paragraphe 1, point a), du RGPD – il s’agit probablement de la réaction d’un lecteur en dehors de la bulle de la protection des données). La CJCE allait déjà dans ce sens dans Rs. C‑184/20.
- Meta ne traite pas nécessairement des données sensibles dès lors que des informations sur la consultation d’un site web sensible sont collectées. Meta avait également soutenu qu’il n’y avait traitement que lorsque les utilisateurs avaient été informés selon des critères appropriés. catégorisé être :
Cela ne serait le cas que si les utilisateurs étaient catégorisés sur la base de ces données. Par conséquent, les données faisant l’objet de la pratique litigieuse ne relèveraient de la protection prévue à l’article 9, paragraphe 1, du RGPD que si elles se rapportaient à l’une des catégories couvertes par cette protection et si elles étaient traitées subjectivement en connaissance de cause et avec l’intention d’en déduire ces catégories d’informations.
Le BKartA avait en revanche estimé que le fait de consulter un site Internet donné ou d’utiliser une application donnée, dont l’objet principal relève d’un domaine visé par l’article 9, paragraphe 1, du RGPD, constituait déjà une donnée personnelle sensible. L’AG estime au contraire que ce qui est déterminant pour l’article 9 RGPD est
si les données traitées permettent permettent, [individuellement ou agrégée] une Profil de l’utilisateur en ce qui concerne les catégories découlant de l’énumération des données à caractère personnel sensibles figurant dans la présente disposition.
En revanche, il n’est pas nécessaire que le responsable traite ces données dans le but de déduire des catégories particulières d’informations – il suffit qu’il existe objectivement un risque correspondant.
- Le traitement de catégories particulières de données personnelles est autorisé, entre autres, lorsque la personne concernée le demande. manifestement public (art. 9, al. 2, let. e RGPD ; remarque : en fait, c’est faux, seule l’interdiction de l’al. 1 est levée, la base juridique elle-même se trouve alors à l’art. 6, al. 1, let. f RGPD). C’est en tout cas ce qui se passe selon l’AG pas par le simple fait qu’un utilisateur consulte un site web ou utilise une application. Même si un utilisateur partage des données personnelles sensibles avec des tiers via un site web ou une application, il ne les communique qu’à un cercle de personnes défini et non au grand public.
- Il n’y a pas de consentement au sens de l’article 9, paragraphe 2, point a), du RGPD lorsque l’on Consentement aux cookies. Dans ce cas, l’utilisateur consent à un suivi, mais pas au traitement de données sensibles.
- Une Justification par la nécessité du contrat Le consentement au sens de l’article 6, paragraphe 2, point b), du RGPD ne peut donc pas être obtenu par l’insertion de dispositions correspondantes dans les conditions générales. Afin d’éviter que le consentement ne soit contourné, il convient d’être strict à cet égard. Il faudrait une objectif Nécessité contractuelle. La personnalisation des contenus peut également être dans l’intérêt des utilisateurs, mais uniquement si elle est nécessaire et conforme aux attentes des utilisateurs. Cela est discutable si des données provenant de sources externes sont également utilisées pour la personnalisation.
- Un intérêt légitime de Meta – en dehors des données sensibles – serait à examiner au cas par cas. Là encore, on peut se demander si un tel intérêt peut exister lorsque des données provenant de sources tierces sont utilisées. En tout état de cause, le traitement devrait être justifié par l’intérêt légitime
se limiter au strict nécessaire. Par conséquent, une lien étroit entre le traitement et l’intérêt perçu lorsqu’il n’existe pas d’autres solutions moins préjudiciables à la protection des données à caractère personnel, car il ne suffit pas que le traitement soit simplement utile au responsable du traitement.
En ce qui concerne la personnalisation, la question se pose de savoir si l’utilisation de sources tierces est vraiment nécessaire et “quel ‘degré de personnalisation’ de la publicité est objectivement requis à cet égard”. De même, en ce qui concerne l’intérêt de la Sécurité du réseau de données de tiers, et dans le cas des Amélioration des produits il est d’autant plus douteux qu’elle constitue un intérêt légitime.
- Lors de la Caractère volontaire du consentement enfin, il faudrait tenir compte du pouvoir de marché de Meta – c’est-à-dire en fait la démarche inverse de celle du BKartA :
… je considère qu’une éventuelle position dominante sur le marché du responsable du traitement des données à caractère personnel qui gère un réseau social, joue un rôle dans l’évaluation de l’existence d’un consentement volontaire de l’utilisateur de ce réseau. En effet, l’existence d’un pouvoir de marché du responsable du traitement des données à caractère personnel peut conduire à un déséquilibre manifeste du rapport de force au sens décrit au point 74 des présentes conclusions. Il convient toutefois de préciser que, d’une part, un tel pouvoir de marché, pour être pertinentes aux fins de l’application du RGPD, ne doivent pas nécessairement atteindre le seuil d’une position dominante au sens de l’article 102 TFUE et, d’autre part, que cette circonstance relève uniquement d’un consentement ne pas retirer par principe toute validité peut.