La CNIL irlandaise soupçonnée d’aider Facebook à contourner le RGPD
Le régulateur irlandais a proposé jusqu’à 42 millions de dollars d’amendes seulement à l’encontre de Facebook, après que l’entreprise a été accusée de violer le RGPD par des politiques trompeuses de collecte de données. C’est ce qui ressort du projet de décision de la Commission irlandaise de protection des données (CPD) envoyé aux autres autorités européennes de protection des données et publié par l’expert en protection de la vie privée Max Schrems et son groupe de défense Noyb – à l’origine de la plainte initiale contre Facebook.
Cette décision suggère une amende comprise entre 32 et 42 millions de dollars pour les violations du RGPD commises par Facebook, notamment l’omission d’informer ses clients de la manière dont leurs données sont utilisées. Pour Max Schrems et d’autres experts de la protection de la vie privée, l’amende proposée est loin de faire bouger les lignes, en raison de son montant relativement minuscule et des arguments juridiques avancés par Facebook pour éviter des amendes plus sévères. Noyb indique que l’argument de Facebook est effectivement qu’il est exempté de la plupart des règles du RGPD en raison d’un changement mineur dans son accord avec les utilisateurs.
« L’argument juridique de Facebook est plutôt simple : en interprétant l’accord entre l’utilisateur et Facebook comme un “contrat” au lieu d’un “consentement”, les règles strictes du RGPD en matière de consentement ne s’appliqueraient pas. Facebook peut donc utiliser toutes les données dont il dispose pour tous les produits qu’il fournit, notamment la publicité, le suivi en ligne et autres, sans demander aux utilisateurs un consentement librement donné qu’ils pourraient retirer à tout moment », explique Noyb dans un billet de blog. « Le passage de Facebook du “consentement” au “contrat” s’est produit le 25 mai 2018 à minuit – exactement au moment où le RGPD est entré en vigueur dans l’UE », regrette l’organisation.
Le RGPD, un « contrat » ?
Pour Max Schrems, il est pourtant évident que Facebook essaie de contourner les règles du RGPD en réétiquetant l’accord sur l’utilisation des données comme un « contrat ». Si c’est accepté par les régulateurs, toute entreprise pourrait simplement écrire le traitement des données dans un contrat et ainsi légitimer toute utilisation des données des clients sans consentement, explique l’activiste. « Cela va absolument à l’encontre des intentions du RGPD, qui interdit explicitement de cacher les accords de consentement dans les termes et conditions », fait valoir ce dernier.
Noyb note que des études ont montré que les utilisateurs ne considèrent pas les conditions de service du site web comme un contrat. Selon une enquête de l’institut Gallup, seulement 1,6 % des personnes interrogées considèrent l’accord comme tel. Plus de 63 % indiquent qu’ils considèrent cet accord comme un consentement. Max Schrems et Noyb accusent pourtant le régulateur irlandais d’avoir rencontré en 2018 des représentants de Facebook pour voir comment contourner certaines réglementations du RGPD.
Et de relever que le régulateur irlandais a mis Facebook à l’amende pour « ne pas avoir été transparent » sur la façon dont il traite les données, mais qu’il exprime toujours son soutien au « contournement du consentement » de l’entreprise. Interrogés, Facebook et le CPD n’ont pas répondu aux demandes de commentaires.
« Un conseiller des Big Tech »
« Au lieu d’un régulateur, il agit comme un conseiller des “big tech” », indique Max Schrems à propos du CPD. « En gros, le CPD dit que Facebook peut contourner le RGPD, mais qu’il doit être plus transparent à ce sujet. Avec cette approche, Facebook peut continuer à traiter des données de manière illégale, ajouter une ligne à la politique de confidentialité et juste payer une petite amende, tandis que le CPD peut prétendre qu’il a pris des mesures. »
A noter que le projet de décision du CPD a été envoyé à d’autres autorités de protection des données en Europe et va maintenant être examiné. Les régulateurs des autres pays peuvent déposer des plaintes, qui seront ensuite traitées par le Conseil européen de la protection des données. Le conseil peut annuler les décisions prises par les régulateurs irlandais.
Pour rappel, WhatsApp s’est vu infliger une amende de 225 millions d’euros le mois dernier, après qu’une enquête a révélé que la plateforme n’était pas transparente sur la façon dont elle partageait les données avec sa société mère, Facebook. Dans cette affaire, les régulateurs irlandais ont fait face à un retour de bâton similaire pour l’amende initiale de 50 millions d’euros. Le Conseil européen de la protection des données a annulé la décision du CPD et a augmenté l’amende de manière significative.
« Notre espoir repose sur les autres autorités européennes. Si elles ne prennent pas de mesures, les entreprises peuvent simplement déplacer le consentement dans les conditions et ainsi contourner le RGPD pour de bon », indique Max Schrems. L’expert en protection de la vie privée Cillian Kieran précise à ZDNet que l’amende mentionnée dans le projet ne représente qu’un centième de l’amende possible en vertu du RGPD.
Source : ZDNet.com
