Articulation du droit de la concurrence et du RGPD : une autorité nationale de la concurrence peut constater une violation du RGPD pour caractériser un abus de position dominante et le suivi hors plateforme des utilisateurs ne peut reposer ni sur l’exécution du contrat ni sur l’intérêt légitime (arrêt Meta Platforms, C-252/21).

Saisie sur renvoi préjudiciel du Tribunal supérieur régional de Düsseldorf (Oberlandesgericht Düsseldorf) dans le litige opposant le groupe Meta à l’Autorité fédérale allemande de la concurrence (Bundeskartellamt), la Grande chambre de la CJUE consacre l’intégration de la protection des données personnelles dans l’analyse concurrentielle des marchés numériques et bouleverse l’économie de la publicité comportementale.

• Compétence incidente des autorités de la concurrence sous réserve de coopération loyale (article 4 § 3 TUE) : Lorsqu’elle examine un abus de position dominante (article 102 TFUE), une autorité nationale de la concurrence peut vérifier la conformité des conditions générales d’utilisation au RGPD, en consultant et en respectant les décisions de l’autorité de contrôle chef de file de la protection des données.
• Exclusion de la « nécessité contractuelle » et de « l’intérêt légitime » pour la publicité personnalisée : La personnalisation des contenus et le financement par la publicité ciblée à partir des données collectées hors du réseau social (sites et applications tiers) ne sont ni objectivement indispensables à l’exécution du contrat (article 6 § 1 sous b) du RGPD) ni justifiés par un intérêt légitime prévalant sur les droits fondamentaux de l’utilisateur (article 6 § 1 sous f)).
• Encadrement du consentement face à une entreprise en position dominante (article 6 § 1 sous a)) : Si la position dominante de l’opérateur n’exclut pas en soi tout consentement valide, elle constitue un élément important pour apprécier si le consentement a été donné librement ; les utilisateurs doivent pouvoir refuser les opérations de traitement hors réseau sans être exclus de l’accès au service de réseau social.

La Grande chambre de la CJUE apporte une réponse exhaustive sur les trois terrains soulevés par la juridiction de renvoi :

• 1° L’articulation entre l’article 102 TFUE et le RGPD sous l’égide du principe de coopération loyale (article 4 § 3 TUE) : l’accès aux données à caractère personnel et leur exploitation revêtent une importance décisive dans la concurrence entre plateformes de l’économie numérique. Par conséquent, la conformité ou la non-conformité d’un comportement au RGPD peut constituer un indice déterminant pour établir un abus de position dominante. Afin d’éviter toute divergence d’interprétation, l’autorité de la concurrence est tenue de s’informer auprès des autorités de contrôle du RGPD (et le cas échéant de l’autorité chef de file) : si celles-ci ont déjà statué sur la pratique litigieuse, l’autorité de la concurrence ne peut s’écarter de leur appréciation ; en l’absence de réponse dans un délai raisonnable après consultation, elle peut poursuivre sa propre instruction.
• 2° La collecte de données sensibles lors de la consultation de sites tiers (article 9, paragraphes 1 et 2, sous e), du RGPD) : lorsque la consultation d’un site ou d’une application tierce (site médical, syndical, politique ou de rencontre) est susceptible de révéler l’état de santé, l’orientation sexuelle ou les opinions politiques et que ces informations sont rattachées au compte de l’utilisateur, le traitement porte sur des catégories particulières de données interdites par principe par l’article 9, paragraphe 1, du RGPD. En outre, le simple fait pour un internaute de visiter un tel site ou d’y cliquer sur des boutons intégrés ne signifie nullement qu’il a « manifestement rendu publiques » ces données au sens de l’exception de l’article 9, paragraphe 2, sous e).
• 3° L’inapplicabilité de la « nécessité contractuelle » (article 6 § 1 sous b)) et de « l’intérêt légitime » (article 6 § 1 sous f)), et la charge de la preuve du consentement libre : pour relever de l’article 6, paragraphe 1, sous b), le traitement doit être objectivement indispensable à la prestation principale, ce qui n’est pas le cas du financement par la publicité personnalisée ni de l’agrégation des données hors réseau. De même, au titre de l’article 6, paragraphe 1, sous f), l’intérêt commercial de personnalisation publicitaire ne saurait prévaloir sur les droits fondamentaux de l’utilisateur qui ne peut raisonnablement s’attendre à ce que ses activités hors du réseau social soient pistées sans son accord. Enfin, il appartient à l’opérateur en position dominante de prouver que l’utilisateur dispose d’une véritable liberté de choix lui permettant de refuser les traitements non nécessaires à l’exécution du contrat, le cas échéant moyennant une rémunération appropriée.

• Curia (CJUE) — Arrêt de la Grande chambre du 4 juillet 2023, Meta Platforms Inc. et autres c. Bundeskartellamt, aff. C-252/21 (ECLI:EU:C:2023:537) [Texte officiel] ↗
• Autorité de la concurrence & CNIL — Déclaration conjointe du 12 décembre 2023 : « Concurrence et données personnelles : une ambition commune » ↗
• Légifrance — Article L. 420-2 du Code de commerce (Exploitation abusive d’une position dominante) ↗