Vie privée: la Belgique peut s'en prendre à Facebook

La Cour de Justice de l’Union européenne vient de trancher, à la demande de la justice belge: Facebook peut, dans certaines conditions, être attaqué par les autorités de protection de la vie privée de n'importe quel État membre de l'Union pour non-respect des règles de protection de la vie privée. La compétence ne revient donc pas exclusivement à l'autorité d'Irlande (la Data Protection Commission), où le groupe a son siège pour l’Europe. Cette décision ouvre la voie à de possibles nouvelles attaques à travers l'Union contre des abus présumés de «Big Tech».

Interpréter le RGPD

L’affaire avait été initiée en 2015 par la Commission belge de la vie privée, ancêtre de l'Autorité de protection des données (APD): elle demandait à Facebook de mettre fin à la collecte et l'utilisation d'informations sur le comportement de navigation des Belges, au travers de cookies notamment. Le tribunal de première instance de Bruxelles lui avait donné gain de cause.

Mais le groupe de Menlo Park n’en est pas resté là, estimant qu’avec l’entrée en vigueur en 2018 du Règlement général sur la protection des données (RGPD), le régulateur belge n'avait plus compétence pour s'en prendre à lui. Selon son principe du "guichet unique", c’est l'autorité du pays où se trouve le siège de l'entreprise visée qui est généralement compétente. Facebook a donc interjeté appel et le juge de deuxième instance a renvoyé la balle à ses collègues de Luxembourg. L’ADP peut-elle poursuivre Facebook? Oui: dans son arrêt rendu mardi, la Cour de Justice souligne que l'autorité nationale en a le droit, mais seulement dans les situations explicitement prévues par le RGPD.

Bonne nouvelle pour le consommateur

Dans un communiqué, Facebook affiche sa satisfaction face à cette décision sans appel. De son côté, l’APD ne crie pas victoire: elle doit encore analyser la décision pour déterminer ce qu'elle signifie pour l'affaire en cours.

Quoi qu'il en soit, cette décision devrait avoir des répercussions positives pour la protection des données personnelles, estime le Beuc, coupole européenne de défense des consommateurs. "La plupart des entreprises Big Tech ont leur siège en Irlande, et ce ne devrait pas être à la seule autorité de ce pays de protéger 500 millions de consommateurs européens", selon sa directrice générale, Monique Goyens.

La Data Protection Commission irlandaise est critiquée pour sa lenteur au traitement d'un grand nombre de plaintes liées aux géants du net établis en Irlande, d'Apple à Twitter en passant par Google.