Opinion of Advocate General Rantos delivered on 25 April 2024.

• Jurisdiction: European Union
• Date: 25 April 2024
• Court: Court of Justice (European Union)

Édition provisoire

CONCLUSIONS DE L’AVOCAT GÉNÉRAL

M. ATHANASIOS RANTOS

présentées le 25 avril 2024 (1)

Affaire C‑446/21

Maximilian Schrems

contre

Meta Platforms Ireland Limited, anciennement Facebook Ireland Limited

[demande de décision préjudicielle formée par l’Oberster Gerichtshof (Cour suprême, Autriche)]

« Renvoi préjudiciel – Protection des personnes physiques à l’égard du traitement des données à caractère personnel – Règlement (UE) 2016/679 – Réseaux sociaux – Article 5, paragraphe 1, sous b) – Principe de la “limitation des finalités” – Article 5, paragraphe 1, sous e) – Principe de la “minimisation des données” – Article 9, paragraphes 1 et 2, sous e) – Traitement portant sur des catégories particulières de données à caractère personnel – Données à caractère personnel qui sont manifestement rendues publiques par la personne concernée – Publicité personnalisée – Données concernant l’orientation sexuelle »

Introduction

1. La présente demande de décision préjudicielle a été adressée par l’Oberster Gerichtshof (Cour suprême, Autriche) dans le cadre d’un litige opposant M. Maximilian Schrems (ci-après le « demandeur »), un utilisateur du réseau social « Facebook », à Meta Platforms Ireland Limited, anciennement Facebook Ireland Limited (ci-après « Meta Platforms Ireland » ou la « défenderesse »), au sujet du traitement prétendument illicite, par cette société, de ses données à caractère personnel.

2. Les questions préjudicielles posées dans le cadre de la présente affaire concernent, d’une part, l’application du principe de la « minimisation des données » prévu à l’article 5, paragraphe 1, sous c), du règlement (UE) 2016/679 (2) et, d’autre part, l’interprétation de la notion de « données à caractère personnel qui sont manifestement rendues publiques par la personne concernée » visée à l’article 9, paragraphe 2, sous e), de ce règlement, lue en combinaison avec l’article 5, paragraphe 1, sous b), dudit règlement, qui introduit le principe de la « limitation des finalités ». En substance, la juridiction de renvoi demande, d’une part, si le principe de la minimisation des données permet de traiter des données à caractère personnel sans limitation dans le temps ou en fonction de la nature des données et, d’autre part, si les propos d’une personne, relatifs à sa propre orientation sexuelle, tenus au cours d’une table ronde, autorisent le traitement d’autres données portant sur l’orientation sexuelle de cette personne aux fins de la publicité personnalisée.

Le cadre juridique

3. L’article 4 du RGPD, intitulé « Définitions », énonce, à son point 11 :

« Aux fins du présent règlement, on entend par :

[...]

11) “consentement” de la personne concernée, toute manifestation de volonté, libre, spécifique, éclairée et univoque par laquelle la personne concernée accepte, par une déclaration ou par un acte positif clair, que des données à caractère personnel la concernant fassent l’objet d’un traitement. »

4. L’article 5 de ce règlement, intitulé « Principes relatifs au traitement des données à caractère personnel », prévoit, à ses paragraphes 1 et 2 :

« 1. Les données à caractère personnel doivent être :

a) traitées de manière licite, loyale et transparente au regard de la personne concernée (licéité, loyauté, transparence) ;

b) collectées pour des finalités déterminées, explicites et légitimes, et ne pas être traitées ultérieurement d’une manière incompatible avec ces finalités ; [...]

c) adéquates, pertinentes et limitées à ce qui est nécessaire au regard des finalités pour lesquelles elles sont traitées (minimisation des données) ;

[...]

2. Le responsable du traitement est responsable du respect du paragraphe 1 et est en mesure de démontrer que celui-ci est respecté (responsabilité). »

5. L’article 6 dudit règlement, intitulé « Licéité du traitement », dispose, à ses paragraphes 1 et 3 :

« 1. Le traitement n’est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie :

a) la personne concernée a consenti au traitement de ses données à caractère personnel pour une ou plusieurs finalités spécifiques ;

b) le traitement est nécessaire à l’exécution d’un contrat auquel la personne concernée est partie ou à l’exécution de mesures précontractuelles prises à la demande de celle-ci ;

[...]

f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant.

Le point f) du premier alinéa ne s’applique pas au traitement effectué par les autorités publiques dans l’exécution de leurs missions.

[...]

3. Le fondement du traitement visé au paragraphe 1, points c) et e), est défini par :

a) le droit de l’Union, ou

b) le droit de l’État membre auquel le responsable du traitement est soumis.

[...]

[...] Le droit de l’Union ou le droit des États membres répond à un objectif d’intérêt public et est proportionné à l’objectif légitime poursuivi. »

6. L’article 7 du même règlement, intitulé « Conditions applicables au consentement », est ainsi libellé :

« 1. Dans les cas où le traitement repose sur le consentement, le responsable du traitement est en mesure de démontrer que la personne concernée a donné son consentement au traitement de données à caractère personnel la concernant.

[...]

3. La personne concernée a le droit de retirer son consentement à tout moment. Le retrait du consentement ne compromet pas la licéité du traitement fondé sur le consentement effectué avant ce retrait. La personne concernée en est informée avant de donner son consentement. Il est aussi simple de retirer que de donner son consentement.

4. Au moment de déterminer si le consentement est donné librement, il y a lieu de tenir le plus grand compte de la question de savoir, entre autres, si l’exécution d’un contrat, y compris la fourniture d’un service, est subordonnée au consentement au traitement de données à caractère personnel qui n’est pas nécessaire à l’exécution dudit contrat. »

7. L’article 9, paragraphes 1 et 2, du RGPD, intitulé « Traitement portant sur des catégories particulières de données à caractère personnel », énonce :

« 1. Le traitement des données à caractère personnel qui révèle l’origine raciale ou ethnique, les opinions politiques, les convictions religieuses ou philosophiques ou l’appartenance syndicale, ainsi que le traitement des données génétiques, des données biométriques aux fins d’identifier une personne physique de manière unique, des données concernant la santé ou des données concernant la vie sexuelle ou l’orientation sexuelle d’une personne physique sont interdits.

2. Le paragraphe 1 ne s’applique pas si l’une des conditions suivantes est remplie :

a) la personne concernée a donné son consentement explicite au traitement de ces données à caractère personnel pour une ou plusieurs finalités spécifiques, sauf lorsque le droit de l’Union ou le droit de l’État membre prévoit que l’interdiction visée au paragraphe 1 ne peut pas être levée par la personne concernée ;

b) le traitement est nécessaire aux fins de l’exécution des obligations et de l’exercice des droits propres au responsable du traitement ou à la personne concernée en matière de droit du travail, de la sécurité sociale et de la protection sociale, dans la mesure où ce traitement est autorisé par le droit de l’Union, par le droit d’un État membre ou par une convention collective conclue en vertu du droit d’un État membre qui prévoit des garanties appropriées pour les droits fondamentaux et les intérêts de la personne concernée ;

[...]

e) le traitement porte sur des données à caractère personnel qui sont manifestement rendues publiques par la personne concernée ;

[...] »

8. L’article 13 de ce règlement, relatif aux « [i]nformations à fournir lorsque des données à caractère personnel sont collectées auprès de la personne concernée », prévoit, à son paragraphe 1 :

« Lorsque des données à caractère personnel relatives à une personne concernée sont collectées auprès de cette personne, le responsable du traitement lui fournit, au moment où les données en question sont obtenues, toutes les informations suivantes :

[...]

c) les finalités du traitement auquel sont destinées les données à caractère personnel ainsi que la base juridique du traitement ;

d) lorsque le traitement est fondé sur l’article 6, paragraphe 1, point f), les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers ;

[...] »

Le litige au principal, les questions préjudicielles et la procédure devant la Cour

9. Meta Platforms Ireland, une société de droit irlandais, gère le réseau de communication fermé « Facebook » qui constitue, en substance, un réseau social en ligne de partage de contenus (3). Son modèle économique vise essentiellement à offrir des services de réseau social gratuits à ses utilisateurs privés et à vendre de la publicité en ligne, y compris de la publicité ciblée sur ses utilisateurs (4). Cette publicité repose principalement sur l’établissement automatisé de profils relativement détaillés des utilisateurs de ce réseau social (5).

10. Au cours de l’année 2018, après l’entrée en vigueur du RGPD, Meta Platforms Ireland a présenté de nouvelles conditions d’utilisation de Facebook à ses utilisateurs dans l’Union européenne pour recueillir leur consentement, lequel est, par ailleurs, nécessaire pour pouvoir s’inscrire ou accéder aux comptes et aux services fournis par Facebook (6). Ces nouvelles conditions d’utilisation permettent également aux utilisateurs d’avoir un aperçu et un contrôle sur les données stockées (7).

11. Le demandeur est un utilisateur de Facebook qui a accepté les nouvelles conditions d’utilisation soumises par Facebook. Ainsi qu’il ressort de la décision de renvoi, il a publiquement fait état de son homosexualité, mais il...