Publicité ciblée et RGPD : la CJUE interdit l’agrégation illimitée dans le temps des données des utilisateurs et encadre strictement l’usage de données sensibles évoquées publiquement

Dans l’arrêt Schrems c. Meta Platforms Ireland (C-446/21), la Grande chambre donne une portée matérielle contraignante au principe de minimisation des données face au modèle économique de la surveillance publicitaire en ligne.

• Prohibition de la conservation et de l’agrégation illimitées aux fins de publicité ciblée : En vertu de l’article 5, § 1, sous c), du RGPD, le responsable du traitement ne peut pas collecter, agréger et conserver sans limitation de durée ni distinction de nature toutes les données générées sur le réseau social et sur les sites tiers équipés d’outils de suivi pour alimenter un profilage publicitaire permanent.
• Distinction nécessaire entre données internes et données issues de sites tiers : Le degré d’ingérence dans la vie privée est particulièrement élevé lorsque l’opérateur croise les activités de l’utilisateur sur le réseau social avec son comportement de navigation sur l’ensemble de l’internet en dehors de la plateforme.
• Interprétation stricte de l’exception relative aux données sensibles rendues publiques : L’article 9, § 2, sous e), du RGPD constitue une dérogation d’interprétation stricte à l’interdiction de traiter des données sensibles telles que l’orientation sexuelle.
• Absence de renonciation générale à la protection des données sensibles : Le fait qu’une personne ait évoqué publiquement son orientation sexuelle lors d’une conférence ouverte au public ne signifie pas qu’elle ait manifestement rendu publiques les données relatives à sa navigation ultérieure sur des sites ou applications partenaires, ni qu’elle ait autorisé leur exploitation à des fins de ciblage publicitaire.

Aux termes de l’article 5, § 1, sous c), du RGPD, les données à caractère personnel doivent être « adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées ». Ce principe, qui traduit l’exigence constitutionnelle de proportionnalité et se conjugue avec le principe de limitation de la conservation (article 5, § 1, sous e), s’applique à tout traitement de données, quand bien même celui-ci reposerait par ailleurs sur une base de licéité de l’article 6.

La Grande chambre juge qu’un opérateur de plateforme en ligne méconnaît frontalement le principe de minimisation lorsqu’il procède à la collecte, à l’agrégation et au traitement quasi illimités de toutes les données personnelles de ses utilisateurs — qu’elles proviennent de la plateforme elle-même ou de sites tiers — sans aucune restriction dans le temps et sans opérer de distinction selon la nature ou l’ancienneté de ces données. En effet, plus la durée de conservation et le croisement des sources extérieures s’étendent, plus l’atteinte au droit fondamental au respect de la vie privée (article 7 de la Charte) devient disproportionnée par rapport à la seule finalité d’amélioration du ciblage publicitaire.

Sur le plan opérationnel, l’arrêt Schrems c. Meta Platforms Ireland (C-446/21) contraint l’ensemble des acteurs de la publicité numérique et des plateformes en ligne à revoir l’architecture de leurs entrepôts de données (data lakes). Il n’est plus juridiquement admissible d’accumuler indéfiniment l’historique comportemental complet d’un utilisateur au motif que ces données pourraient demeurer utiles à un algorithme de recommandation ou de ciblage publicitaire.

Les responsables de traitement doivent désormais définir et documenter des durées de conservation strictes et différenciées selon la catégorie de données (en séparant notamment les données techniques d’utilisation interne des données issues de traceurs tiers) et exclure tout profilage publicitaire fondé sur des catégories particulières de données de l’article 9 du RGPD en l’absence d’un consentement explicite dédié.

Un réseau social peut-il conserver sans limite de durée toutes les données de navigation d’un utilisateur pour personnaliser ses publicités ?

Non. La Grande chambre de la CJUE juge que le principe de minimisation des données (article 5, § 1, sous c, du RGPD) interdit l’agrégation et la conservation illimitées dans le temps et sans distinction de nature des données collectées sur la plateforme et sur des sites tiers aux fins de publicité ciblée.

Le fait de parler publiquement de son orientation sexuelle ou de ses opinions politiques autorise-t-il une plateforme à utiliser d’autres données sur ce sujet pour du ciblage publicitaire ?

Non. Une déclaration faite lors d’un événement public ne signifie pas que la personne ait « manifestement rendu publiques » au sens de l’article 9, § 2, sous e), du RGPD les données relatives à sa navigation sur des sites ou applications tiers, ni qu’elle ait consenti à leur exploitation publicitaire.

Comment cet arrêt s’articule-t-il avec l’arrêt Bundeskartellamt du 4 juillet 2023 (C-252/21) ?

Il en prolonge directement la logique : après avoir encadré les bases légales (contrat et intérêt légitime) et les traceurs sur sites tiers dans l’arrêt C-252/21, la Grande chambre verrouille dans l’arrêt C-446/21 la durée et le volume des données pouvant être conservées et croisées au regard du principe de minimisation.