06/10/2024
Le jugement de la Cour de justice de l'Union européenne dans l'affaire « C-446/21 (Schrems) »,rendu le 4 octobre 2024, soulève des questions complexes sur l'équilibre entre la protection des données personnelles et les pratiques commerciales des plateformes en ligne. Au cœur de ce contentieux, la question de l'utilisation des données sensibles (en l'espèce l'orientation sexuelle de M. Schrems )par un réseau social, en vue de proposer de la publicité ciblée.
I. Les faits et le cadre juridique
M. Maximilian Schrems a intenté une action contre « Meta Platforms Ireland »,exploitant de Facebook, pour traitement prétendument illicite de ses données personnelles, notamment concernant son orientation sexuelle. Ces données ont été collectées à la fois « sur Facebook »et via des cookies ou pixels installés sur des sites tiers. Or, M. Schrems avait publiquement évoqué son orientation sexuelle lors d’une table ronde, ce qui souleva la question de savoir si cet acte constituait une divulgation publique autorisant l’exploitation ultérieure de cette donnée selon le « Règlement Général sur la Protection des Données (RGPD) »,notamment en vertu de l'article 9(2)(e).
II. L'analyse de la Cour
A. Principe de minimisation des données:
La Cour rappelle d'abord le principe de « minimisation des données »du RGPD, qui interdit l'agrégation et l'analyse de toutes les données personnelles recueillies sans restriction temporelle ni distinction de type. Le traitement systématique des données sensibles (ici, l'orientation sexuelle) doit être strictement proportionné, et ne peut être justifié par une simple déclaration publique sur une plateforme extérieure, même dans le cadre d'un débat public. Ainsi, « la divulgation publique ponctuelle »de certaines données personnelles ne légitime pas leur traitement généralisé par un opérateur tiers, ce qui s’oppose à l'idée d'une collecte sans fin pour des finalités publicitaires.
B. Consentement implicite et données sensibles
La Cour soulève ensuite la question du « consentement implicite »à travers la déclaration publique de M. Schrems lors de la table ronde. Il appartient à la juridiction autrichienne de déterminer si cette intervention publique constitue une manifestation claire et explicite de son orientation sexuelle, autorisant ainsi le traitement de ces données selon le RGPD. Toutefois, la Cour précise que même si la déclaration publique est établie, cela « ne peut pas s’étendre à d’autres données »sensibles recueillies ailleurs (sites tiers, cookies, etc.), soulignant ainsi les limites d'un tel consentement implicite dans l'écosystème numérique.
III. Problématiques et implications pour les États membres
A. Limites de l’autorisation implicite:
Ce jugement ouvre une réflexion sur la portée des « données sensibles rendues publiques dans un contexte spécifique »,et sur la manière dont cette divulgation peut être utilisée par des tiers. Cette question est fondamentale à l’heure où les plateformes agrègent des informations personnelles via divers canaux, mais doivent, selon la Cour, toujours respecter un cadre rigoureux en matière de proportionnalité et de minimisation.
B. Protection des libertés individuelles face à la monétisation des données.
Au-delà de l’affaire individuelle de M. Schrems, cette décision met en lumière les « tensions croissantes »entre le respect des droits fondamentaux et la monétisation des données dans le cadre de la publicité ciblée. Le « risque de surveillance constante »de la part des plateformes pose la question de la « limite de l’exploitation des données sensibles »,et appelle à une clarification juridique quant aux droits des utilisateurs et aux obligations des entreprises.
Conclusion.
Ce jugement met en exergue la nécessaire vigilance face à l’utilisation des données sensibles, même rendues publiques, et rappelle que les principes de proportionnalité et de minimisation doivent demeurer centraux dans toute collecte de données. La réflexion portée par la Cour invite à « redéfinir les frontières du consentement »dans l’ère numérique, en tenant compte des enjeux éthiques et des libertés individuelles, notamment face à des plateformes toujours plus puissantes et omniprésentes.
« Renvoi préjudiciel – Protection des données à caractère personnel – Règlement (UE) 2016/679 – Chapitre VIII – Voies de recours – Commercialisation de médicaments par un pharmacien par le biais d’une plate-forme en ligne – Recours introduit devant les juridictions civiles par u...
