Données personnelles : le groupe Meta sous la menace de nouvelles amendes possiblement importantes

Le Comité européen à la protection des données (CEPD) a adopté, le 6 décembre, trois décisions contraignantes - qui n'ont pas été dévoilées - dans le cadre de la procédure de règlement des litiges (article 65 du RGPD) concernant les plateformes du groupe Meta : Facebook, Instagram et WhatsApp.

Une prise de position attendue du régulateur européen des données personnelles, après que l'autorité de protection des données irlandaise a publié les projets de décisions à la suite d'enquêtes fondées sur des plaintes concernant les activités de traitement des trois plateformes. Des projets de décisions qui, pour ce qui est de Facebook et Instagram, portent notamment sur la licéité et la transparence des traitements à des fins de publicité comportementale, et concernant WhatsApp sur la licéité du traitement aux fins de l'amélioration des services.

La CNIL et d'autres autorités de protection, en désaccord avec l'analyse de l'autorité irlandaise concernant, entre autres, la base légale du traitement (article 6 du RGPD), les principes de protection des données (article 5 du RGPD) et le recours à des mesures correctives, ont émis des objections sur ces projets de décisions.

Comme l'autorité de protection des données irlandaise a estimé que ces dernières n'étaient pas pertinentes et/ou motivées, le CEPD a été appelé à régler le différend entre les autorités de protection des données européennes dans un délai de deux mois.

Que sait-on de ses décisions contraignantes ? La lecture du communiqué de la CNIL nous apprend que le régulateur européen des données personnelles « répond à la question de la définition de l'exécution du contrat comme base légale appropriée, ou non, pour traiter des données personnelles dans le cadre la publicité comportementale, dans le cas de Facebook et Instagram, et pour l'amélioration des services, dans le cas de WhatsApp ».

Et maintenant ? « L'autorité chef de file adoptera ses trois décisions finales, adressées au responsable du traitement, sur la base des décisions contraignantes du CEPD, en tenant compte de cette évaluation juridique, et au plus tard un mois après que la notification par le CEPD de sa décision », explique la CNIL. « Le CEPD publiera, quant à lui, ses décisions sur son site web après que l'autorité chef de file aura notifié ses décisions nationales au responsable du traitement. »