noyb a remporté une victoire contre YouTube, la plateforme vidéo de Google. Après cinq ans et demi, l'autorité autrichienne de protection des données (DSB) a finalement rendu une décision donnant raison à noyb - et ordonne à YouTube de donner suite à la demande d'accès du plaignant, conformément à l'article 15 du règlement GDPR. Jusqu'à présent, l'entreprise avait retenu un grand nombre de données, y compris des informations sur la finalité du traitement, les périodes de stockage, les destinataires des données et les cookies de suivi utilisés.
Huit plaintes, aucune entreprise ne s'est entièrement conformée à la décision. En janvier 2019, noyb a déposé huit plaintes contre une série de fournisseurs de streaming tels qu'Amazon, Apple Music, Spotify, Netflix - et bien sûr YouTube. Toutes ces entreprises n'ont pas répondu de manière adéquate aux demandes d'accès des utilisateurs en vertu de l'article 15 du GDPR, d'une manière ou d'une autre. En vertu du droit d'accès, les entreprises sont tenues de fournir aux utilisateurs une copie de leurs données personnelles, ainsi que des informations supplémentaires sur le traitement, telles que des détails sur les sources et les destinataires des données, la finalité du traitement des données et la période de conservation.
Martin Baumann, juriste spécialiste de la protection des données à la noyb: "Il est absurde qu'une entreprise technologique multimilliardaire comme Google préfère s'engager dans de longues procédures judiciaires plutôt que d'accorder à un utilisateur l'accès à ses données personnelles. Même si l'autorité a constaté une violation après plusieurs années, Google a réussi à retarder l'exécution d'une demande d'accès pendant plus d'une demi-décennie. Cette situation engendre non seulement des coûts importants pour les ONG financées par des dons, telles que noyb, mais prive également les personnes concernées de leurs droits fondamentaux"
Cinq ans et demi pour une affaire claire. L'affaire contre YouTube (et donc contre Google) était simple et aurait dû être facile à trancher. L'entreprise n'avait fourni qu'une fraction des données qu'elle traite au sujet du plaignant et n'avait pas divulgué d'informations sur la finalité du traitement, les périodes de stockage, les destinataires des données et les cookies de suivi utilisés. Il aura tout de même fallu cinq ans et demi à l'autorité autrichienne de protection des données (DSB) pour rendre une décision et ordonner à Google de donner au plaignant un accès complet à ses données.
De multiples tentatives ont été faites pour retarder la procédure. Conscient des lacunes de l'Irlande en matière d'application de la loi, Google a tenté (en vain) de faire valoir que l'autorité de contrôle irlandaise était compétente pour traiter cette affaire. Ce seul argument a fait traîner l'affaire en longueur. En outre, Google a prétendu que la demande d'accès du plaignant n'était pas suffisamment précise, alors qu'il avait spécifiquement énuméré les données qu'il souhaitait recevoir et qu'il n'y a pas d'obligation de préciser une demande d'accès.
Martin Baumann, avocat spécialiste de la protection des données au sein du cabinet noyb: "Une demande d'accès devrait permettre aux personnes concernées d'exercer d'autres droits, tels que le droit à l'effacement ou à la rectification, en leur fournissant des informations permettant d'évaluer la légalité de l'activité de traitement. S'il faut plus de 5 ans pour obtenir l'accès, il devient impossible d'exercer d'autres droits de la personne concernée"
Les demandes d'accès doivent recevoir une réponse complète. Cette décision a également des implications pour les utilisateurs d'autres plateformes. Dans sa décision, l'ORD a une fois de plus précisé que les entreprises doivent répondre aux demandes d'accès de manière complète et sous une forme facilement accessible. Google a illégalement renvoyé le plaignant à plusieurs outils en ligne pour télécharger ses données, ainsi qu'à la politique de confidentialité de YouTube, qui ne contient manifestement pas d'informations personnalisées sur les données traitées le concernant. Google dispose maintenant de quatre semaines pour se conformer à la décision, mais peut également faire appel de celle-ci et prolonger la réponse légale à la demande d'accès de la personne concernée.
Martin Baumann, juriste spécialiste de la protection des données à l'agence noyb: "Les responsables de traitement ne devraient pas suivre l'exemple de Google lorsqu'il s'agit de permettre aux utilisateurs d'accéder à leurs données. Le non-respect d'une demande d'accès peut donner lieu à des amendes ainsi qu'à des demandes de dommages-intérêts de la part des personnes concernées."
