Le contournement du consentement au GDPR par Facebook via une "obligation contractuelle de publicité" devant la Cour suprême autrichienne, avec un fort potentiel de renvoi à la CJUE
Comme le rapportent l'Agence de presse autrichienne (APA) et Der Standard, une affaire qui pourrait déterminer la légalité des activités de Facebook en Europe a atteint la Cour suprême autrichienne (OGH). Facebook et M. Schrems ont tous deux fait appel d'un jugement antérieur du tribunal régional supérieur de Vienne (OLG Wien). Entre autres questions, le prétendu "contournement" des règles strictes du GDPR en matière de consentement est devenu un élément central de l'affaire. Il a été demandé à la Cour suprême de renvoyer l'affaire à la Cour de justice de l'Union européenne (CJUE) pour clarification.
Le "contournement" du consentement par Facebook. Lorsque le GDPR est entré en vigueur, l'un des grands avantages était l'obligation d'avoir un consentement opt-in clair lorsque les entreprises veulent traiter les données des utilisateurs. Outre le consentement, l'article 6, paragraphe 1, du GDPR prévoit cinq autres bases juridiques pour le traitement des données. L'une de ces bases est le traitement qui est "nécessaire à l'exécution d'un contrat". Le 25.5.2018 à minuit, lorsque le GDPR est devenu applicable, Facebook a simplement nommé des choses comme "publicité personnalisée" dans ses conditions générales. Facebook fait désormais valoir qu'il a le "devoir de fournir une publicité personnalisée" aux utilisateurs, et qu'il n'a donc pas besoin du consentement de l'utilisateur pour traiter ses données personnelles.
La grande différence entre consentement et contrat ? Le GDPR prévoit des règles très strictes en matière de consentement. Les utilisateurs doivent être pleinement informés, avoir le libre choix d'accepter ou de refuser et doivent pouvoir consentir à chaque type de traitement de manière spécifique. Les utilisateurs peuvent également retirer leur consentement à tout moment et sans frais. Les contrats relèvent toutefois de chaque droit national et sont généralement beaucoup plus souples. Les utilisateurs ne doivent pas avoir compris le contrat pour être liés, les détails peuvent être cachés dans les "termes et conditions" et ils peuvent être conclus sur la base du "à prendre ou à laisser".
Katherina Raabe-Stuppnig, LGP, représentant M. Schrems "Facebook essaie simplement de réévaluer un consentement invalide pour contourner le GDPR. Toutes les autres entreprises obtiennent un consentement approprié - seul Facebook pense qu'il peut contourner cela" et encore"Ce n'est pas parce que vous déplacez une déclaration de consentement dans un contrat qu'elle doit être traitée comme un consentement. Il a toujours fallu interpréter les contrats en fonction de leur véritable objectif. Leconsentement dans un contrat doit donc être interprété précisément comme un consentement."
64% des utilisateurs voient un "consentement", 1,6% un "contrat publicitaire". noyb a commandé une étude à l'institut Gallup, dans laquelle 1000 utilisateurs autrichiens de Facebook ont été interrogés sur leur compréhension de l'accord. Environ deux tiers d'entre eux ont interprété la page en question comme une demande de consentement de la part de Facebook, seuls 10% y ont vu un "contrat", et seuls 16 utilisateurs ont compris qu'il s'agissait d'une obligation de fournir une publicité personnalisée (1,6% au total), comme l'affirme Facebook. Les deux juridictions inférieures autrichiennes ont toutefois estimé que Facebook avait toute latitude pour qualifier une clause de "contrat" ou de "consentement". Par conséquent, elles n'ont pas vu de problème avec le contournement de Facebook, mais ont également estimé que la question devait être clarifiée par les Cours suprêmes.
Saper le GDPR ? L'approche de Facebook peut également être considérée comme un signal clair pour ignorer (au moins l'esprit) du GDPR, alors que Facebook affirme être totalement conforme. Der Standard a cité la membre libérale du Parlement européen Sofie in 't Veld, qui a négocié le GDPR et a déclaré "L'exigence de demander le consentement doit rester ferme. Les clauses contractuelles ne peuvent pas être utilisées comme une clause échappatoire pour cette exigence, ou d'ailleurs pour toute autre base juridique pour le traitement des données. Le GDPR est clairement conçu pour donner aux utilisateurs le contrôle de leurs données. Pas pour permettre à Facebook d'escroquer les utilisateurs de leurs données personnelles."
Inactivité de l'autorité de protection des données. La même question a également été soulevée par noyb devant la Commission irlandaise de protection des données (DPC) il y a plus de deux ans et demi. Les trois enquêtes sur le prétendu "consentement forcé" avançaient toutefois lentement et la question centrale d'un "contournement" a été jugée hors du champ de la procédure. Dans l'affaire autrichienne, Facebook a fait valoir que le "contournement" a été mis en œuvre après dix réunions avec le CPD qui a élaboré le "contournement" avec la société de médias sociaux. Le CPD a nié cette affirmation, mais a refusé de divulguer les détails des dix réunions confidentielles avec Facebook dans la période précédant le GDPR. Deux des affaires irlandaises font maintenant l'objet d'un contrôle judiciaire devant la Haute Cour irlandaise, la troisième affaire est en appel devant la Cour administrative fédérale autrichienne (BVwG).
Un bilan prometteur. La Cour suprême autrichienne a déjà renvoyé des affaires similaires à la CJUE (voir par exemple C-18/18 - Glawischnig-Piesczek, C-498/16 - Schrems). La CJUE, quant à elle, s'est déjà prononcée principalement contre Facebook en matière de protection de la vie privée (voir, par exemple, C-40/17 - Fashion ID ou C-210/16 - Wirtschaftsakademie Schleswig-Holstein), notamment deux affaires contre Facebook sur les transferts de données entre l'UE et les États-Unis, appelées "Schrems I" et "Schrems II". Il n'est donc pas improbable que de sérieux problèmes attendent Facebook. La Cour suprême d'Autriche ne tient pas d'audiences orales et se prononce généralement sur les renvois à la CJUE en quelques mois et par une décision écrite. La CJUE elle-même prend toutefois jusqu'à un an et demi pour mener toutes les audiences et prendre une décision.