[Brèves] RGPD : conservation limitée des données

► Un réseau social en ligne ne peut utiliser l’ensemble des données obtenues auprès de la personne concernée et de tiers à des fins de publicité ciblée, sans limitation dans le temps et sans distinction en fonction de leur nature.

Faits et procédure. Une personne physique conteste devant les juridictions autrichiennes le traitement, à son avis illicite, de ses données à caractère personnel par Meta Platforms Ireland dans le cadre du réseau social en ligne Facebook. Il s’agit entre autres de données concernant son orientation sexuelle.

Meta Platforms collecte les données à caractère personnel des utilisateurs de Facebook, dont le requérant, portant sur les activités de ces utilisateurs tant sur ce réseau social qu’en dehors de celui-ci. Il s’agit notamment des données relatives à la consultation de la plateforme en ligne ainsi que de pages internet et d’applications tierces. À cette fin, Meta Platforms utilise des cookies, des social plugins et des pixels insérés sur les pages internet concernées.

Au vu des données à sa disposition, Meta Platforms peut également identifier l’intérêt qu’un utilisateur porte à des sujets sensibles, tels que l’orientation sexuelle, ce qui permet de lui adresser de la publicité ciblée à cet égard. Se pose dès lors la question de savoir si le requérant a manifestement rendu publiques des données à caractère personnel sensibles le concernant, en raison du fait qu’il a communiqué lors d’une table ronde publique le fait d’être homosexuel, et a ainsi autorisé le traitement de celles-ci, en vertu du RGPD (Règlement n° 2016/679, du 27 avril 2016, relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données N° Lexbase : L0189K8I).

Dans ce contexte, la Cour suprême autrichienne a demandé à la Cour de justice d’interpréter le RGPD.

Décision. Premièrement, la Cour répond que le principe de la « minimisation des données », prévu par le RGPD, s’oppose à ce que l’ensemble des données à caractère personnel qui ont été obtenues par un responsable du traitement, tel que l’exploitant d’une plateforme de réseau social en ligne, auprès de la personne concernée ou de tiers et qui ont été collectées tant sur cette plateforme qu’en dehors de celle-ci soient agrégées, analysées et traitées à des fins de publicité ciblée, sans limitation dans le temps et sans distinction en fonction de la nature de ces données.

Deuxièmement, selon la Cour, il n’est pas exclu que, par sa déclaration lors de la table ronde en question, le requérant ait manifestement rendu publique son orientation sexuelle. Il revient à la Cour suprême autrichienne de l’apprécier.

La circonstance qu’une personne concernée a rendu manifestement publique une donnée concernant son orientation sexuelle a pour conséquence que cette donnée peut faire l’objet d’un traitement, dans le respect des dispositions du RGPD. Toutefois, cette circonstance n’autorise pas, à elle seule, le traitement d’autres données à caractère personnel se rapportant à l’orientation sexuelle de cette personne.

Ainsi, la circonstance qu’une personne se soit exprimée sur son orientation sexuelle lors d’une table ronde publique n’autorise pas l’exploitant d’une plate-forme de réseau social en ligne à traiter d’autres données relatives à son orientation sexuelle obtenues, le cas échéant, en dehors de cette plateforme à partir d’applications et de sites internet de tiers partenaires, en vue de l’agrégation et de l’analyse de celles-ci, afin de lui proposer de la publicité personnalisée.

© Reproduction interdite, sauf autorisation écrite préalable