CJUE – Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social) – C-252/21

Décision

Autorité:

Cour de Justice de l'UE

Numéro:

C-252/21

Nom:

Meta Platforms e.a. (Conditions générales d’utilisation d’un réseau social)

Date:

4 juillet 2023

Pays:

Allemagne

Lien:

Cliquer ici

Contexte

Meta Platforms Ireland gère l’offre du réseau social en ligne Facebook dans l’Union et promeut, notamment à l’adresse www.facebook.com, des services qui sont gratuits pour les utilisateurs privés. Le modèle économique du réseau social en ligne Facebook se fonde sur le financement par la publicité en ligne, qui est faite sur mesure pour les utilisateurs individuels du réseau social en fonction notamment de leurs attitudes de consommation, de leurs intérêts, de leur pouvoir d’achat et de leur situation personnelle. Une telle publicité est techniquement rendue possible par l’établissement automatisé de profils détaillés des utilisateurs du réseau et des services en ligne proposés au niveau du groupe Meta. Pour le traitement desdites données,

Meta Platforms Ireland se fonde sur le contrat d’utilisation auquel adhèrent les utilisateurs du réseau social Facebook par l’activation du bouton « s’inscrire » et par lequel ceux-ci acceptent les conditions générales établies par cette société. L’acceptation de ces conditions est nécessaire pour pouvoir utiliser le réseau social Facebook. L’autorité fédérale de la concurrence a engagé une procédure contre Meta Platforms, Meta Platforms Ireland et Facebook Deutschland, à l’issue de laquelle, par décision du 6 février 2019, fondée sur l’article 19, paragraphe 1, et l’article 32 du GWB, il leur a fait, en substance, interdiction de subordonner, dans les conditions générales, l’utilisation du réseau social Facebook par des utilisateurs privés résidant en Allemagne au traitement de leurs données off Facebook et de procéder, sans leur consentement, au traitement de ces données sur la base des conditions générales alors en vigueur.

Le 11 février 2019, Meta Platforms, Meta Platforms Ireland et Facebook Deutschland ont introduit un recours contre la décision de l’autorité fédérale de la concurrence devant l’Oberlandesgericht Düsseldorf (tribunal régional supérieur de Düsseldorf, Allemagne), qui est la juridiction de renvoi.

Apport(s)
Constation d'un manquement au RGPD par une autorité de la concurrence - Admission sous conditions - 1) Nécéssité à la constation d'un manquement au droit de la concurrence - 2) Absence de contradiction d'une décision d'une autorité de contrôle RGPD sur des faits similaires Extrait(s) pertinent(s)62. Compte tenu de ce qui précède, il y a lieu de répondre aux première et septième questions que les articles 51 et suivants du RGPD ainsi que l’article 4, paragraphe 3, TUE doivent être interprétés en ce sens que, sous réserve du respect de son obligation de coopération loyale avec les autorités de contrôle, une autorité de la concurrence d’un État membre peut constater, dans le cadre de l’examen d’un abus de position dominante de la part d’une entreprise, au sens de l’article 102 TFUE, que les conditions générales d’utilisation de cette entreprise relatives au traitement des données à caractère personnel et leur mise en œuvre ne sont pas conformes à ce règlement, lorsque ce constat est nécessaire pour établir l’existence d’un tel abus. 63. Au vu de cette obligation de coopération loyale, l’autorité de la concurrence nationale ne peut s’écarter d’une décision de l’autorité de contrôle nationale compétente ou de l’autorité de contrôle chef de file compétente relative à ces conditions générales ou à des conditions générales similaires. Lorsqu’elle nourrit des doutes à l’égard de la portée d’une telle décision, lorsque lesdites conditions ou des conditions similaires font, en même temps, l’objet d’un examen de la part de ces autorités, ou encore lorsque, en l’absence d’enquête ou de décision desdites autorités, l’autorité de la concurrence considère que les conditions en cause ne sont pas conformes au RGPD, elle doit consulter ces mêmes autorités de contrôle et solliciter leur coopération, afin de lever ses doutes ou de déterminer s’il y a lieu d’attendre l’adoption d’une décision de leur part avant d’entamer sa propre appréciation. En l’absence d’objection de leur part ou de réponse dans un délai raisonnable, l’autorité de la concurrence nationale peut poursuivre sa propre enquête. Article(s) du RGPD Article 51 – Autorité de contrôle Fait référence à > CJUE – Facebook Ireland e.a. – C-645/19 Autres informations
Consultation par un utilisateur d’un réseau social d’un site internet ou d’une application en rapport avec des données sensibles - Collecte de données via des cookies "tiers" ou insérées par l'utilisateur ou autres; et mise en relation desdites données avec le compte du réseau social de l’utilisateur - Qualification - Traitement portant sur des catégories particulières de données - Admission Extrait(s) pertinent(s)73. [...] L’article 9, paragraphe 1, du RGPD doit être interprété en ce sens que, dans le cas où un utilisateur d’un réseau social en ligne consulte des sites Internet ou des applications en rapport avec une ou plusieurs des catégories visées à cette disposition et, le cas échéant, y insère des données en s’inscrivant ou en effectuant des commandes en ligne, le traitement de données à caractère personnel par l’opérateur de ce réseau social en ligne, consistant en la collecte, au moyen d’interfaces intégrées, de cookies ou de technologies d’enregistrement similaires, des données issues de la consultation de ces sites et de ces applications ainsi que des données insérées par l’utilisateur, en la mise en relation de l’ensemble de ces données avec le compte du réseau social de celui-ci et en l’utilisation desdites données par cet opérateur, doit être considéré comme un « traitement portant sur des catégories particulières de données à caractère personnel », au sens de ladite disposition, qui est en principe interdit, sous réserve des dérogations prévues à cet article 9, paragraphe 2, lorsque ce traitement de données permet de révéler des informations relevant d’une de ces catégories, que ces informations concernent un utilisateur de ce réseau ou toute autre personne physique. Article(s) du RGPD Article 9 – Traitement portant sur des catégories particulières de données à caractère personnel Fait référence à Autres informations
Consultation par un utilisateur d’un réseau social d’un site internet ou d’une application en rapport avec des données sensibles - Caractère manifestement public des données insérées par l'utilisateur ou collectées via les cookies - Absence Extrait(s) pertinent(s)84. Compte tenu de ce qui précède, il y a lieu de répondre à la deuxième question, sous b), que l’article 9, paragraphe 2, sous e), du RGPD doit être interprété en ce sens que, lorsqu’un utilisateur d’un réseau social en ligne consulte des sites Internet ou des applications en rapport avec une ou plusieurs des catégories visées à l’article 9, paragraphe 1, du RGPD, il ne rend pas manifestement publiques, au sens de la première de ces dispositions, les données relatives à cette consultation, collectées par l’opérateur de ce réseau social en ligne à travers des cookies ou des technologies d’enregistrement similaires. 85. Lorsqu’il insère des données dans de tels sites Internet ou dans de telles applications ou lorsqu’il active des boutons de sélection intégrés à ces sites et à ces applications, tels que les boutons « j’aime » ou « partager » ou les boutons permettant à l’utilisateur de s’identifier sur ces sites ou ces applications en utilisant les identifiants de connexion liés à son compte d’utilisateur du réseau social, son numéro de téléphone ou son adresse électronique, un tel utilisateur ne rend manifestement publiques, au sens de cet article 9, paragraphe 2, sous e), les données ainsi insérées ou résultant de l’activation de ces boutons que dans le cas où il a explicitement exprimé son choix au préalable, le cas échéant sur la base d’un paramétrage individuel effectué en toute connaissance de cause, de rendre les données le concernant publiquement accessibles à un nombre illimité de personnes. Article(s) du RGPD Article 9 – Traitement portant sur des catégories particulières de données à caractère personnel Fait référence à Autres informations
Exécution du contrat - Notion de "nécéssité" - Caractère objectivement indispensable Extrait(s) pertinent(s)98. À cet égard, pour qu’un traitement de données à caractère personnel soit regardé comme étant nécessaire à l’exécution d’un contrat, au sens de cette disposition, il doit être objectivement indispensable pour réaliser une finalité faisant partie intégrante de la prestation contractuelle destinée à la personne concernée. Le responsable du traitement doit ainsi être en mesure de démontrer en quoi l’objet principal du contrat ne pourrait être atteint en l’absence du traitement en cause Article(s) du RGPD Article 6 – Licéité du traitement Fait référence à > CJUE – Vyriausioji tarnybinės etikos komisija – C-184/20 > CJUE – Valsts ieņēmumu dienests – C-175/20 > CJUE – Latvijas Republikas Saeima (Points de pénalité) – C-439/19 Autres informations
Exécution du contrat - Collecte de données des utilisateurs d’un réseau social issues de la consultation par ces utilisateurs de sites Internet ou d’applications tiers en vue de la mise en relation de ces données avec le compte du réseau social des utilisateurs ou de leur utilisation - Admission sous condition de stricte nécessité Extrait(s) pertinent(s)125. Au vu de tout ce qui précède, il convient de répondre aux troisième et quatrième questions que l’article 6, paragraphe 1, premier alinéa, sous b), du RGPD doit être interprété en ce sens que le traitement de données à caractère personnel effectué par un opérateur d’un réseau social en ligne, consistant en la collecte de données des utilisateurs d’un tel réseau issues d’autres services du groupe auquel appartient cet opérateur ou issues de la consultation par ces utilisateurs de sites Internet ou d’applications tiers, en la mise en relation de ces données avec le compte du réseau social desdits utilisateurs et en l’utilisation desdites données, ne peut être considéré comme étant nécessaire à l’exécution d’un contrat auquel les personnes concernées sont parties, au sens de cette disposition, qu’à la condition que ce traitement soit objectivement indispensable pour réaliser une finalité faisant partie intégrante de la prestation contractuelle destinée à ces mêmes utilisateurs, de telle sorte que l’objet principal du contrat ne pourrait être atteint en l’absence de ce traitement. Article(s) du RGPD Article 6 – Licéité du traitement Fait référence à > CJUE – M.I.C.M. – C-597/19 > CJUE – Latvijas Republikas Saeima (Points de pénalité) – C-439/19 > CJUE – Asociaţia de Proprietari bloc M5A-ScaraA – C-708/18 Autres informations
Intérêt légitime - Collecte de données des utilisateurs d’un réseau social issues de la consultation par ces utilisateurs de sites Internet ou d’applications tiers en vue de la mise en relation de ces données avec le compte du réseau social des utilisateurs ou de leur utilisation - Admission sous conditions Extrait(s) pertinent(s)126. L’article 6, paragraphe 1, premier alinéa, sous f), du RGPD doit être interprété en ce sens qu’un traitement de données à caractère personnel effectué par un opérateur d’un réseau social en ligne, consistant en la collecte de données des utilisateurs d’un tel réseau issues d’autres services du groupe auquel appartient cet opérateur ou issues de la consultation par ces utilisateurs de sites Internet ou d’applications tiers, en la mise en relation de ces données avec le compte du réseau social desdits utilisateurs et en l’utilisation desdites données, ne peut être considéré comme étant nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, au sens de cette disposition, qu’à la condition que ledit opérateur ait indiqué aux utilisateurs auprès desquels les données ont été collectées un intérêt légitime poursuivi par leur traitement, que ce traitement est opéré dans les limites du strict nécessaire pour la réalisation de cet intérêt légitime et qu’il ressort d’une pondération des intérêts opposés, au regard de l’ensemble des circonstances pertinentes, que les intérêts ou les libertés et les droits fondamentaux de ces utilisateurs ne prévalent pas sur ledit intérêt légitime du responsable du traitement ou d’un tiers. Article(s) du RGPD Article 6 – Licéité du traitement Fait référence à > CJUE – M.I.C.M. – C-597/19 > CJUE – Latvijas Republikas Saeima (Points de pénalité) – C-439/19 > CJUE – Asociaţia de Proprietari bloc M5A-ScaraA – C-708/18 Autres informations
Base légale de la collecte de données des utilisateurs d’un réseau social - 1) Obligation légale - Admission sous conditions - 2) Intérêts vitaux - Absence en principe - 3) Mission d'intérêt public - Absence Extrait(s) pertinent(s)138. Au vu de ce qui précède, il convient de répondre à la cinquième question que l’article 6, paragraphe 1, premier alinéa, sous c), du RGPD doit être interprété en ce sens que le traitement de données à caractère personnel effectué par un opérateur d’un réseau social en ligne, consistant en la collecte de données des utilisateurs d’un tel réseau issues d’autres services du groupe auquel appartient cet opérateur ou issues de la consultation par ces utilisateurs de sites Internet ou d’applications tiers, en la mise en relation de ces données avec le compte du réseau social desdits utilisateurs et en l’utilisation desdites données, est justifié, au titre de cette disposition, lorsqu’il est effectivement nécessaire au respect d’une obligation légale à laquelle le responsable du traitement est soumis, en vertu d’une disposition du droit de l’Union ou du droit de l’État membre concerné, que cette base juridique répond à un objectif d’intérêt public et est proportionnée à l’objectif légitime poursuivi et que ce traitement est opéré dans les limites du strict nécessaire. 139. L’article 6, paragraphe 1, premier alinéa, sous d) et sous e), du RGPD doit être interprété en ce sens qu’un tel traitement de données à caractère personnel ne peut, en principe et sous réserve d’une vérification à effectuer par la juridiction de renvoi, être considéré comme étant nécessaire à la sauvegarde des intérêts vitaux de la personne concernée ou d’une autre personne physique, au sens du point d), ou à l’exécution d’une mission d’intérêt public ou relevant de l’exercice de l’autorité publique dont est investi le responsable du traitement, au sens du point e). Article(s) du RGPD Article 6 – Licéité du traitement Fait référence à Autres informations
Liberté du consentement - Atteinte par le fait que l’opérateur d’un réseau social en ligne occupe une position dominante - Absence Extrait(s) pertinent(s)154. Compte tenu de ce qui précède, il y a lieu de répondre à la sixième question que l’article 6, paragraphe 1, premier alinéa, sous a), et l’article 9, paragraphe 2, sous a), du RGPD doivent être interprétés en ce sens que la circonstance que l’opérateur d’un réseau social en ligne occupe une position dominante sur le marché des réseaux sociaux en ligne ne fait pas obstacle en tant que telle à ce que les utilisateurs d’un tel réseau puissent valablement consentir, au sens de l’article 4, point 11, de ce règlement, au traitement de leurs données à caractère personnel, effectué par cet opérateur. Cette circonstance constitue néanmoins un élément important pour déterminer si le consentement a effectivement été donné valablement et, notamment, librement, ce qu’il incombe audit opérateur de prouver. Article(s) du RGPD Article 6 – Licéité du traitement Article 7 – Conditions applicables au consentement Article 9 – Traitement portant sur des catégories particulières de données à caractère personnel Fait référence à Autres informations