Le jugement dans l'affaire Facebook

---

La condamnation, réclamée par l'Autorité belge le 10 juin 2015, entre en vigueur 48 heures après la signification du jugement à Facebook par l'Autorité. Si Facebook ne respecte pas la condamnation, elle devra payer une astreinte de 250.000 EUR par jour de non-respect. La condamnation reste d'application, même si Facebook interjette appel.

En résumé, le tribunal se prononce comme suit :

1. Le droit belge en matière de vie privée est d'application et le juge belge est compétent

Tout d'abord, le tribunal affirme que le droit belge en matière de vie privée est d'application et que les tribunaux belges sont compétents. Facebook avait argumenté qu'elle ne devait respecter que le droit irlandais en matière de vie privée et que seuls les tribunaux irlandais étaient compétents. Le tribunal n'est toutefois pas d'accord avec cette vision des choses et se réfère à cet égard à l'arrêt Google Espagne rendu par la Cour de justice le 13 mai 2014, selon lequel le droit national en matière de vie privée d'un État membre de l'UE s'applique si les activités d'un établissement local dans cet État membre sont indissociablement liées aux activités du responsable du traitement. Le tribunal affirme que c'est le cas en l'occurrence parce qu'en Belgique, la société Facebook Belgium SPRL existe et que cette société locale réalise un travail de lobby pour le groupe Facebook et participe au marketing et à la vente d'espaces publicitaires du service Facebook.

Le tribunal ajoute qu'il n'est pas pertinent de savoir si le responsable du traitement est Facebook Inc. ou Facebook Ireland Limited, étant donné que Facebook Ireland Limited fait également partie du groupe Facebook. Le tribunal souligne aussi la non-pertinence des affirmations selon lesquelles Facebook Belgium SPRL ne traite pas elle-même des données à caractère personnel ou ne conclut pas elle-même des contrats avec des annonceurs.

2. Urgence

Pour introduire une action en référé, l'affaire doit être urgente. Le tribunal estime que cette condition est remplie, car les actions relatives aux droits et libertés fondamentaux (comme celui à la protection de la vie privée) sont toujours urgentes et parce qu'il s'agit de la violation du droit fondamental non pas d'une seule personne mais bien d'un groupe immense de personnes. Les sites Internet comportant des plug-ins sociaux de Facebook se comptant par millions, il est, selon le tribunal, presque impossible d'y échapper. Les données concernées peuvent en outre être des données très sensibles révélant par exemple l'état de santé ou les orientations religieuses, sexuelles ou politiques.

3. Le traitement concerne des "données à caractère personnel"

Facebook traite notamment l'adresse IP et un "identifiant unique" contenus dans le cookie "datr" qu'elle utilise. Le tribunal estime qu'il s'agit de "données à caractère personnel" et que leur collecte par Facebook constitue un "traitement" de données à caractère personnel. Facebook avait argumenté qu'il ne s'agissait pas de données à caractère personnel car elles permettaient simplement d'identifier un ordinateur.

4. Violation de la législation belge en matière de vie privée

Le tribunal estime par ailleurs que la collecte par Facebook de données sur les habitudes de navigation de millions d'habitants en Belgique ayant décidé de ne pas être membre du réseau social de Facebook constituait une violation "manifeste" du droit belge en matière de vie privée, et ce quoi que Facebook fasse de ces données, une fois collectées.

Le tribunal souligne entre autres que Facebook ne peut invoquer aucune justification légale pour le traitement, via des cookies et des plug-ins sociaux, de données à caractère personnel de personnes n'ayant pas de compte Facebook, car :

• Facebook n'a pas obtenu de consentement à cette fin ;
• Facebook ne peut pas invoquer de contrat avec des personnes ne disposant pas d'un compte Facebook ;
• Facebook ne peut pas se fonder sur une obligation légale ;
• le droit fondamental au respect de la vie privée des personnes ne disposant pas d'un compte Facebook prévaut sur les intérêts de sécurité de Facebook.

En outre, le tribunal estime que le traitement de données à caractère personnel de personnes ne disposant pas d'un compte Facebook n'est pas non plus loyal ni légitime car leurs données à caractère personnel sont déjà traitées avant qu'elles n'aient eu l'occasion de s'informer pleinement au sujet des services de Facebook, et même sans qu'elles souhaitent les utiliser.

En ce qui concerne l'argument de sécurité avancé par Facebook, le tribunal estime peu crédible que pour la sécurité des services Facebook, il soit nécessaire de consulter le cookie "datr" chaque fois qu'un plug-in social est chargé sur un site Internet. Le tribunal affirme que "même un "ignorant en informatique" comprend que la collecte systématique du cookie "datr" est en soi insuffisante pour contrer les attaques dont parle Facebook parce que les criminels peuvent très facilement contourner l'installation de ce cookie avec des logiciels bloquant le placement de cookies" [Traduction libre réalisée par le Secrétariat de l'Autorité en l'absence (provisoire) d'une traduction officielle]. Le tribunal estime en outre qu'il existe des méthodes moins intrusives pour atteindre la sécurité visée, de sorte que le traitement par Facebook de données à caractère personnel de personnes n'ayant pas de compte Facebook est disproportionné.

5. Astreinte

Le tribunal inflige à Facebook une astreinte de 250.000 EUR par jour de non-respect de la condamnation, parce que le montant de l'astreinte doit être suffisamment dissuasif. Le tribunal souligne à cet égard qu'en 2014, Facebook a réalisé un chiffre d'affaires de 12,4 milliards de dollars et a enregistré un bénéfice de 2,9 milliards de dollars, et qu'elle est une des entreprises les plus solides financièrement au monde, de sorte que le montant de 250.000 EUR est approprié.