Le Comité européen de la protection des données (EDPB) a annoncé jeudi (7 décembre) avoir pris la décision contraignante d’urgence d’interdire aux différentes plateformes de la société Meta de traiter des données personnelles à des fins de publicité comportementale.
Le Comité européen de la protection des données est un organe qui réunit tous les régulateurs de protection des données de l’UE afin de garantir une application cohérente du règlement général sur la protection des données (RGPD).
Le RGPD s’applique aux 27 États membres de l’UE, ainsi qu’aux trois autres pays de l’Espace économique européen : l’Islande, le Liechtenstein et la Norvège.
Les autorités nationales chargées de la protection de la vie privée peuvent prendre des mesures provisoires ayant un effet légal sur leur territoire pendant une période maximale de trois mois. Toutefois, l’EDPB et la Commission européenne doivent en être notifiés, et l’autorité doit alors demander au Comité de prononcer une interdiction urgente en motivant sa demande.
La décision prise jeudi par le Comité fait suite à une interdiction de trois mois de la publicité comportementale basée sur un profilage approfondi des utilisateurs des plateformes de Meta introduite début août en Norvège.
Facebook et Instagram ont cependant continué à opérer dans le pays, enfreignant ainsi le RGPD en faisant de la publicité comportementale. L’amende s’élevait à un million de couronnes norvégiennes (près de 89 000 euros) par jour.
Malgré l’interdiction, les plateformes de réseaux sociaux du groupe pouvaient continuer à traiter les informations qu’un utilisateur avait volontairement communiquées, notamment la biographie, le lieu de résidence, le sexe, l’âge ou les centres d’intérêt de l’utilisateur, dans les cas où ce dernier les avait lui-même fournis.
En janvier, sur la base d’une autre décision contraignante de l’EDPB, le commissaire irlandais à la protection des données a estimé que la base juridique de Meta pour traiter les données personnelles au sein de l’UE à des fins publicitaires était contraire aux règles européennes relatives à la protection des données.
Suite à cela, Meta a lancé des abonnements payants pour Facebook et Instagram au prix de « 9,99 €/mois sur le web ou 12,99 €/mois sur iOS et Android » pour que les utilisateurs de l’UE puissent choisir de ne plus recevoir de publicité ciblée.
Fin novembre, des groupes représentant les consommateurs, ainsi que noyb, un groupe de défense des droits numériques, ont également déposé des plaintes contre le modèle « paiement ou consentement » de Meta.
La décision communiquée jeudi par le Comité européen de la protection des données fait suite à la demande des autorités norvégiennes de protection des données d’ordonner une interdiction pour l’ensemble de l’Espace économique européen plutôt qu’une interdiction temporaire à l’échelle nationale.
Anu Talus, présidente du Comité, a déclaré que « les décisions de l’EDPB liant les parties en cause ont clarifié le fait qu’un contrat n’est pas une base juridique appropriée pour le traitement des données personnelles effectué par Meta pour faire de la publicité comportementale ».
En outre, en vertu de la loi irlandaise sur la protection des données, « Meta n’a pas réussi à démontrer qu’elle respectait les obligations qui lui avaient été imposées à la fin de l’année dernière », a-t-elle ajouté. Le non-respect de la législation irlandaise est d’autant plus problématique que le siège européen de Meta est situé à Dublin.
L’EDPB a insisté sur le besoin urgent de prononcer des mesures définitives, et pas seulement des interdictions à l’échelle nationale, compte tenu des risques de préjudices graves et irréparables qui pourraient être causés aux personnes concernées.
Meta n’a pas réagi à la demande de commentaire d’Euractiv au moment de la publication de cet article.
[Édité par Anne-Sophie Gayet]