RGPD : Meta sommée par la Cour de justice de l’UE de limiter la collecte de données personnelles des utilisateurs

Les tracas du groupe Meta en Europe se poursuivent. Une fois de plus, la politique de confidentialité de la société californienne et de ses plateformes comme Facebook et Instagram est pointée du doigt. Dans un arrêt publié le 04 octobre dernier, la Cour de Justice de l’Union européenne (CJUE) énonce que le groupe américain fondé par Mark Zuckerberg ne peut utiliser les données personnelles collectées à partir de ses réseaux sociaux ou de sources externes à des fins de publicité ciblée sans respecter les limites et restrictions comme la minimisation des données.   

L'affaire a débuté à partir de 2011 lorsque Max Schrems, un activiste autrichien pour la protection de la vie privée, a porté plainte contre Facebook (aujourd'hui Meta) en raison de l'utilisation de ses données personnelles, notamment son orientation sexuelle, pour de la publicité ciblée. Schrems affirmait n'avoir jamais explicitement indiqué cette information sur son profil Facebook, mais l'avoir seulement mentionnée lors d'une discussion publique.  

La Cour de justice de l’UE tape sur les doigts de Meta 

Au fil des années, Schrems a continué à contester les pratiques de Meta en matière de traitement des données personnelles. L'une de ses principales préoccupations concernait alors l'utilisation par l'entreprise d'informations sensibles pour cibler des publicités, même lorsque ces informations n'étaient pas explicitement diffusées ou indiquées sur le profil de l'utilisateur. Cette affaire a pris une dimension européenne, s'inscrivant dans le cadre du Règlement général sur la protection des données (RGPD) de l'Union européenne.  

Vendredi dernier, la Cour de justice de l'Union européenne (CJUE) a rendu son verdict et statué en faveur de Schrems, limitant considérablement la capacité de Meta à utiliser les données personnelles pour la publicité ciblée et confirmant le principe de "minimisation des données" du RGPD, qui oblige les entreprises à limiter la quantité de données personnelles collectées et stockées à ce qui est strictement nécessaire. 

Dans son arrêt, la CJUE a statué en défaveur de ce géant de la tech, dont les pratiques en matière de données violaient les principes du RGPG. Meta a agrégé et traité de vastes quantités de données d'utilisateurs à des fins publicitaires sans restriction appropriée quant au temps ou au type de données concernées. Or, ce texte juridique “s’oppose à ce que l’ensemble des données à caractère personnel qui ont été obtenues par un responsable du traitement, tel que l’exploitant d’une plateforme de réseau social en ligne, auprès de la personne concernée ou de tiers et qui ont été collectées tant sur cette plateforme qu’en dehors de celle-ci, soient agrégées, analysées et traitées à des fins de publicité ciblée, sans limitation dans le temps et sans distinction en fonction de la nature de ces données”. 

La décision de la haute juridiction européenne a également rappelé le principe de “limitation de la conservation”. Les utilisateurs qui consentent à ce que leurs données soient collectées à des fins de publicités personnalisées ne devront pas voir leur data traitée indéfiniment comme le faisait Meta.  

Une condamnation à 91 millions d’euros fin septembre 

Saluée par les défenseurs de la vie privée, la décision de la Cour de justice de l’UE a suscité la “satisfaction” de l’avocate du militant autrichien, Katharina Raabe-Stuppnig. “Meta a constitué depuis 20 ans une énorme base de données sur les utilisateurs, qui s'agrandit de jour en jour”, a-t-elle fait remarquer. Pourtant, “la législation européenne exige une minimisation des données”.  

“Suite à cette décision, seule une petite partie de la base de données de Meta pourra être utilisée à des fins publicitaires, même lorsque les utilisateurs y consentent. Cette décision s'applique également à toute autre société de publicité en ligne qui n'a pas de pratiques strictes en matière de suppression des données”, se réjouit-elle.  

Le groupe californien a également réagi. Meta a rappelé son “engagement” en matière de confidentialité. “Tous les utilisateurs de Facebook ont accès à un large éventail de paramètres et d'outils qui permettent aux utilisateurs de gérer la manière dont nous utilisons leurs informations”, a déclaré un porte-parole, affirmant que Meta prenait “la confidentialité très au sérieux”.  

Il s’agit d’un autre revers pour la maison-mère de Facebook, Instagram ou encore WhatsApp, qui a dû faire face à de nombreuses condamnations ces dernières années en Europe. La dernière en date, liée aussi au RGPD, remonte à fin septembre, lorsque le régulateur irlandais a infligé à Meta une amende de 91 millions d’euros pour un manque de transparence suite à une faille de sécurité qui a affecté les mots de passe des utilisateurs.