L’autorité espagnole de protection des données (AEPD) a ordonné à la société META de suspendre en urgence le déploiement de deux fonctionnalités relatives aux élections européennes, « Election Day Information » (EDI) et « Voter Information Unit », que la société « avait l’intention de lancer » en Espagne du 30 mai au 9 juin dans ses produits Facebook et Instagram.

Après des échanges avec l’autorité irlandaise – autorité cheffe de file au sens du RGPD – et la société META, l’autorité espagnole a finalement considéré que les traitements de données associés à ces deux fonctionnalités étaient manifestement illicites, car la société ne pouvait pas fonder les traitements des données des utilisateurs sur l’exécution d’un contrat passé avec ses utilisateurs, « ni sur aucune base légale » proposée par le RGPD.

L’AEPD a en effet estimé que ces traitements de données étaient « disproportionnés et excessifs », « par rapport à l’objectif supposé d’informer sur les élections ». Ils seraient même « inutiles », car « ils reposent sur l’hypothèse que les utilisateurs qui résident dans certaines villes ou dont l’adresse IP est située en Europe ont le droit de voter ».

Les risques associés à ces traitements ont également été jugés très préoccupants. Selon l’AEPD, ils « mettraient gravement en péril les droits et libertés des utilisateurs d’Instagram et de Facebook, qui verraient augmenter le volume d’informations que META recueille à leur sujet ».

« Le volume d’informations collectées permettrait à META d’établir des profils plus complexes, détaillés et exhaustifs des utilisateurs, générant un traitement plus intrusif de leurs droits et libertés, tels que les droits à la vie privée et à la protection des données personnelles, reconnus dans les articles 7 et 8 de la Charte des droits fondamentaux de l’Union européenne. »

En application de la procédure d’urgence[1] du RGPD, l’AEPD a donc ordonné à la société META de suspendre, avec effet immédiat, ces deux fonctionnalités, ainsi que la collecte et les traitements de données associées, sous peine d’une sanction maximale de 4 % du chiffre d’affaires de la société.

L'avis d'eWatchers (par Morgan Schmiedt)

Il n’est pas précisé si ces fonctionnalités seront déployées en France. En tous cas, la CNIL ne s’est pas (encore) manifestée.

Sinon, excellent travail de l’autorité espagnole, qui se soucie des finalités réelles de ces traitements, qui ne sont pas d’informer les utilisateurs sur les élections, mais d’engranger des données supplémentaires à des fins commerciales et de les vendre à des tiers.

Liens

Notes et références

  1. ↑En application de l’article 66 du RGPD.
Sigles et acronymes
  • ↑DPC : Data Protection Commission
  • ↑RGPD : Règlement Général sur la Protection des Données