RGPD : la Cnil irlandaise accusée de compromission avec Facebook

C’est une mini-crise que traversent les Cnil européennes pour faire appliquer le RGPD. Avec en toile de fond une interprétation divergente du texte et la façon de l’appliquer de façon homogène à certaines grandes plateformes. Un reproche récurrent de la part de professionnels de la publicité depuis l’entrée en application du texte en mai 2018.

Noyb, l’association autrichienne pour la protection des données personnelles en Europe, présidée par l’activiste Max Schrems, a publié samedi 4 décembre un nouveau texte pour dénoncer les supposées manœuvres de la Commission irlandaise de protection des données (DPC, Data protection commission), l’équivalent de la Cnil, qui chercherait ainsi accréditer les positions de Facebook concernant l’application du RGPD.

Noyb, qui a eu accès à la procédure en tant que plaignant contre Facebook depuis 2018, dévoile que la DPC a eu ces dernières années dix réunions avec Facebook au cours desquelles “ils ont discuté et se sont mis d’accord sur le contournement du RGPD” par Facebook.

Les documents dont l’association a eu accès montrent, selon elle, que la DPC “a tenté de faire passer cette dérogation pour tous les médias sociaux dans les lignes directrices relatives à l’application du RGPD édictées par le Conseil européen de la protection des données (EDPB),” l’organe central des Cnil en Europe. Mais la Cnil irlandaise s’est heurté “à des critiques sévères de la part d’autres autorités européennes de protection des données”.

L’autorité irlandaise avait envisagé cet été d’infliger une amende de 28 à 36 millions d’euros à Facebook, un montant beaucoup trop faible et des bases légales pas suffisamment approfondies, ont estimé la majorité des autres Cnil européennes à qui le projet de décision avait été soumis.

Des appels à la démission de la présidente de la Cnil irlandaise

Selon un article de Politico du 7 décembre, la Cnil norvégienne, la datatilsynet, a été parmi les organes de protection les plus vindicatifs dans ces discussions internes, en affirmant que l’interprétation par son homologue irlandais rendrait la loi européenne sur la protection des données “inutile” et “impliquerait que tout traitement de données personnelles inclus dans les conditions contractuelles serait automatiquement licite”.

Toujours selon des documents consultés par Politico, la datatilsynet a demandé à la Cnil irlandaise d’ordonner à Facebook de supprimer toutes les données collectées en vertu de la base légale du contrat, d’identifier une base légale légitime et de payer une amende “considérablement” plus élevée.

L’exécution d’un contrat et l’exécution de mesures pré-contractuelles sont des motifs prévus par le RGPD qui valent exemption de recueil du consentement à la collecte de données. En France, la Cnil cite cependant comme exemples des relations commerciales classiques : pour le premier cas le contrat de vente, de location et de travail, et pour le deuxième un devis ou des pourparlers. L’organe vient de procéder à plusieurs mises en demeure, concernant notamment quatre plateformes.

Dans un long texte, la DPC a rejeté mardi 6 décembre ces accusations de laxisme et de lobbying en faveur de Facebook, les disant “sans fondement” et “totalement fausses”, mettant en avant la procédure classique de concertation des point de vue entre les Cnil.

Le même jour, des élus européens ont néanmoins demandé à la Commission européenne de lancer une procédure d’infraction contre l’Irlande et d’appeler à la démission de la présidente de la DPC, Helen Dixon, a indiqué Contexte.com.

​​Après une plainte de l’activiste Max Schrems en juillet, la Cour de justice de l’Union européenne (CJUE) doit par ailleurs se prononcer sur la légitimité de Facebook à invoquer le contrat plutôt que le consentement pour collecter des données.