Affaire Facebook : la CJUE a pris sa décision

---

Affaire Facebook : contexte

En 2015, la Commission vie privée (devenue entretemps l’Autorité de protection des données) a  lancé une procédure contre Facebook concernant ce qu’elle considère une atteinte grave à la vie privée des citoyens belges : la collecte d’informations sur les habitudes privées de navigation de millions d'internautes en Belgique, et ce en plaçant des cookies sur leurs ordinateurs et en recueillant ensuite ces cookies via ses modules sociaux et pixels présents sur les sites internet qu’ils consultent.

Avant de se prononcer, la Cour d’Appel de Bruxelles, devant laquelle se trouvait le dossier décida de référer des questions à la Cour de justice de l'Union européenne afin de vérifier que l’Autorité peut effectivement poursuivre sa procédure à l’encontre de Facebook vu l’entrée en application du Règlement général sur la protection des données (RGPD) le 25 mai 2018 et la mise en place d’un mécanisme de coopération entre autorités européennes dit le « one-stop shop » (ou guichet unique) qui prévoit que l’autorité du pays où se trouve l’établissement principal de l’entreprise mise en cause (dans le cas de Facebook, l’Autorité irlandaise) soit compétente pour prendre des sanctions.

Le 13 janvier, l’Avocat Général Michal Bobek a présenté des conclusions dans lesquelles il défend qu'une autorité nationale qui n'est pas autorité chef de file pour un traitement de données transfrontalier peut en effet s'adresser à un juge national dans certaines conditions, à savoir « dans les situations pour lesquelles le RGPD lui en attribue explicitement la compétence et conformément aux procédures prévues par ce même règlement. » (Source : Communiqué de la CJUE)

Décision de la CJUE

Dans son arrêt publié ce jour, la Cour de justice de l’UE suit en grande partie le raisonnement de l’Avocat Général, et confirme qu’il est possible pour une autorité qui n’est pas « autorité chef de file » de saisir un tribunal national dans certains cas, si le mécanisme de coopération ne fonctionne pas correctement.

Par ailleurs, la Cour interprète largement les compétences des autorités de contrôle nationales, en affirmant par exemple :

• que pour l'exercice de la compétence de l'autorité de contrôle qui n'est pas chef de file, il n'est pas nécessaire de disposer d'un établissement principal ou d'un autre établissement dans le propre pays (question 2);
• que l'autorité qui n'est pas chef de file peut agir à l'encontre de l'établissement principal ou d'un autre établissement dans la mesure où l'on démontre qu'il s'agit d'un traitement de données qui a lieu dans le cadre des activités de cet établissement et que l'autorité est compétente (question 3);
• qu'une action en justice en cours portant sur des faits antérieurs au RGPD (25 mai 2018) peut être poursuivie, moyennant le respect d'autres conditions (question 4);et
• que la disposition d'action en justice a un effet direct (et que cela ne change donc rien si celle-ci a ou non été transposée explicitement dans la législation nationale).

L'APD doit maintenant analyser l'arrêt plus en détail afin de mieux cerner les éventuelles conséquences sur son "affaire Facebook".

Hielke Hijmans, Président de la Chambre Contentieuse de l’APD explique : « Nous sommes satisfaits que la CJUE ait conclu qu’il est possible pour une autorité qui n’est pas chef de file de saisir un juge national dans certains cas. Pour l’APD il s’agit maintenant d’analyser l’arrêt plus en détail afin de déterminer si l’une des situations décrites dans l’arrêt s’applique à l’affaire qui l’oppose à Facebook depuis 2015. Il va sans dire que pour nous, le système du guichet unique reste toujours crucial pour la protection du citoyen.»

David Stevens, Président de l’APD conclut : «La Cour s'est prononcée de manière nuancée. Nous nous réjouissons surtout de la large interprétation quant aux compétences des autorités de contrôle nationales (comme l'APD). Nous trouvons également important que la Cour souligne que toutes les autorités de contrôle doivent toujours coopérer de manière loyale et constructive. Pour la protection de la vie privée des citoyens et l'application harmonisée du RGPD, cet arrêt est donc une bonne nouvelle. Nous avons toujours été convaincus de l’importance de maintenir une possibilité pour les autorités d’agir au nom des utilisateurs. Dans ce contexte, il convient bien entendu de respecter systématiquement les conditions du RGPD.»

L‘arrêt de la CJUE est disponible ici

Un communiqué de la Cour de justice de l'UE sur cet arrêt est disponible ici.

L’affaire, en ce compris les questions posées à la Cour de justice de l’UE, est consignée sur ce lien.

Ligne du temps de l’affaire Facebook

2015

• La Commission vie privée (qui est devenue l’Autorité de protection des données le 25 mai 2018) lance une procédure contre Facebook devant les tribunaux.

Février 2018

• Le Tribunal de Première instance de Bruxelles statue en faveur des arguments de la Commission vie privée
• Facebook fait appel au jugement du 16 Février 2018

27 et 28 Mars 2019

• L’APD présente devant la Cour d’appel ses arguments selon lesquels les tribunaux belges sont compétents dans cette affaire

8 Mai 2019

• Avant de se prononcer sur le fond de l’affaire, la Cour d’appel de Bruxelles réfère des questions à la Cour de justice de l’UE

5 Octobre 2020

• L’APD présente ses arguments devant la CJUE

13 Janvier 2021

• L’Avocat Général de la CJUE présente des conclusions qui confirment la possibilité de principe pour les superviseurs nationaux de – dans certains cas -  saisir les tribunaux nationaux, même dans des affaires transfrontalières

15 Juin 2021

• La CJUE se prononce dans l’affaire via son "arrêt dans l’affaire C‑645/19"