La CJUE impose à Meta des limites à l'utilisation des données personnelles pour la publicité ciblée

L’orientation sexuelle et les publicités ciblées

Maximilian Schrems, militant et fondateur de Noyb (pour « None of your business »), ONG de défense de la vie privée des utilisateurs en ligne, a fait part de son orientation sexuelle au cours d’une table ronde diffusée en ligne. 

Quand bien même Meta et l’activiste sont d’accord pour dire que ces informations ont été rendues publiques, ce dernier estime que Meta n’est pas autorisé à lui proposer des publicités ciblées liées à son orientation sexuelle. 

Il avait porté plainte devant les juridictions autrichiennes et, en 2021, la Cour suprême autrichienne a posé quatre questions préjudicielles à la CJUE. Parmi ces questions, certaines étaient reprises dans une autre affaire qui se tenait devant la CJUE (C-252/21) et c’est pourquoi le jugement de l’affaire en question n’a pas eu lieu avant 2024.

Deux des quatre questions trouvant leur réponse dans l’affaire précédemment citée, la CJUE a rendu sa décision, le 4 octobre 2024, en se limitant aux deux questions suivantes : 

• L’article 5, paragraphe 1, sous c), du RGPD (minimisation des données) doit-il être interprété en ce sens que, toutes les données personnelles dont une plateforme, telle celle en cause dans l’affaire au principal, dispose (notamment par le truchement de la personne concernée ou de tiers sur et dehors de la plateforme) peuvent être agrégées, analysées et traitées à des fins de publicité ciblée, sans limitation dans le temps ou en fonction de la nature des données ?
• Les dispositions combinées de l’article 5, paragraphe 1, sous b), et de l’article 9, paragraphe 2, sous e), du RGPD, doivent-elles être interprétées en ce sens que le fait de s’être exprimé sur sa propre orientation sexuelle pour les besoins d’une table ronde autorise le traitement d’autres données relatives à l’orientation sexuelle aux fins d’agrégation et d’analyse des données aux fins de la publicité personnalisée ? 

‍

Une décision historique pour la protection des données

Pour rappel, la notion de données personnelles est définie à l'article 4, paragraphe 1, du règlement RGPD : on entend par “données à caractère personnel”, toute information concernant une personne physique identifiée ou identifiable. Le texte retient une conception large de l’identité qui ne se réduit pas au seul nom d’une personne, mais concerne tout moyen d’identification, direct ou indirect, de celle-ci.

Dans sa décision du 4 octobre, la CJUE déclare que l’utilisation de données à des fins de publicité doit répondre au principe de minimisation des données prévu par le RGPD. Autrement dit, elle doit être limitée aux données « strictement nécessaires », conformément à l’article 5 du RGPD.

Par ailleurs, les données personnelles ne peuvent être traitées, analysées et stockées à des fins publicitaires sans limitation dans le temps et sans distinction en fonction de leur nature.

Or, le modèle économique de Meta repose en grande partie sur la monétisation des données de ses utilisateurs et les publicités ciblées, ces revenus étant permis par la collecte massive de données personnelles. 

La Cour indique donc très clairement dans son communiqué que : 

“Le fait que M. Schrems a communiqué son orientation sexuelle lors d’une table ronde publique n’autorise pas l’exploitant d’une plate-forme de réseau social en ligne à traiter d’autres données relatives à son orientation sexuelle obtenues, le cas échéant, en dehors de cette plate-forme, en vue de l’agrégation et de l’analyse de celles-ci, afin de lui proposer de la publicité personnalisée”

En revanche, elle laisse le soin aux juridictions autrichiennes de juger si la circonstance qu’une personne a rendu manifestement publique une donnée concernant son orientation sexuelle a pour conséquence que cette donnée peut faire l’objet d’un traitement, dans le respect des dispositions du RGPD.