[Brèves] Une autorité de la concurrence peut constater, dans le cadre de l’examen d’un abus de position dominante, une violation du RGPD

► Une autorité de la concurrence nationale peut constater, dans le cadre de l’examen d’un abus de position dominante, une violation du RGPD. Tenue par le principe de coopération loyale, elle doit toutefois prendre en considération toute décision ou enquête de l’autorité de contrôle compétente en vertu de ce Règlement.

Faits et procédure. L’autorité fédérale allemande de la concurrence a interdit, en particulier, de subordonner, dans les conditions générales, l’utilisation du réseau social Facebook par des utilisateurs privés résidant en Allemagne au traitement de leurs données off Facebook et de procéder au traitement de ces données sans leur consentement. Elle a motivé sa décision par le fait que ce traitement n’étant pas conforme au RGPD (Règlement n° 2016/679, du 27 avril 2016 N° Lexbase : L0189K8I), il constituait une exploitation abusive de la position dominante de Meta Platforms Ireland sur le marché allemand des réseaux sociaux en ligne. Saisi d’un recours contre cette décision, le tribunal régional supérieur de Düsseldorf demande à la Cour de justice si les autorités de la concurrence nationales peuvent contrôler la conformité d’un traitement de données avec les exigences formulées dans le RGPD. En outre, le juge allemand interroge la Cour sur l’interprétation et l’application de certaines dispositions du RGPD au traitement des données par un opérateur d’un réseau social en ligne.

Décision. La CJUE observe que, dans le cadre de l’examen d’un abus de position dominante de la part d’une entreprise, il peut s’avérer nécessaire pour l’autorité de la concurrence de l’État membre concerné d’examiner également la conformité du comportement de cette entreprise à des normes autres que celles relevant du droit de la concurrence, telles que les règles prévues par le RGPD. Néanmoins, lorsque l’autorité de la concurrence nationale relève une violation du RGPD, elle ne se substitue pas aux autorités de contrôle mises en place par ce Règlement. En effet, l’appréciation du respect du RGPD se limite aux seules fins de constater un abus de position dominante et d’imposer des mesures visant à cesser cet abus selon les règles du droit de la concurrence.

Afin d’assurer une application cohérente du RGPD, les autorités de la concurrence nationales doivent se concerter et coopérer loyalement avec les autorités veillant au respect de ce Règlement. Notamment, lorsque l’autorité de la concurrence nationale considère qu’il est nécessaire d’examiner la conformité d’un comportement d’une entreprise à la lumière du RGPD, elle doit vérifier si ce comportement ou un comportement similaire a déjà fait l’objet d’une décision par l’autorité de contrôle compétente ou bien encore par la Cour. Si tel est le cas, elle ne peut s’en écarter, tout en restant libre d’en tirer ses propres conclusions sous l’angle de l’application du droit de la concurrence.

La Cour précise que le seul fait qu’un utilisateur consulte des sites internet ou des applications susceptibles de révéler de telles informations ne signifie nullement qu’il rend manifestement publiques ses données, au sens du RGPD. En outre, il en va de même lorsqu’un utilisateur insère des données dans de tels sites ou dans de telles applications ou encore active des boutons de sélection y intégrés, à moins qu’il a explicitement exprimé son choix au préalable de rendre les données le concernant publiquement accessibles à un nombre illimité de personnes.

En ce qui concerne plus généralement le traitement effectué par Meta Platforms Ireland, y inclus celui des données « non sensibles », la Cour examine ensuite si celui-ci relève des justifications, prévues par le RGPD, permettant de rendre licite un traitement de données effectué sans le consentement de la personne concernée. Dans ce contexte, elle considère que la nécessité d’exécuter le contrat auquel cette personne est partie ne justifie la pratique litigieuse qu’à la condition que le traitement de données soit objectivement indispensable de telle sorte que l’objet principal de ce contrat ne pourrait être atteint en l’absence de ce traitement. Sous réserve d’une vérification par le juge national, la Cour émet des doutes quant à la possibilité que la personnalisation des contenus ou l’utilisation homogène et fluide des services propres au groupe Meta puissent satisfaire à ces critères. De plus, selon la Cour, la personnalisation de la publicité par laquelle est financé le réseau social en ligne Facebook ne saurait justifier, en tant qu’intérêt légitime poursuivi par Meta Platforms Ireland, le traitement de données en cause, en l’absence du consentement de la personne concernée.

Enfin, la Cour observe que le fait que l’opérateur d’un réseau social en ligne, en tant que responsable du traitement, occupe une position dominante sur le marché des réseaux sociaux ne fait pas obstacle, en tant que tel, à ce que ses utilisateurs puissent valablement consentir, au sens du RGPD, au traitement de leurs données, effectué par cet opérateur. Toutefois, vu qu’une telle position est susceptible d’affecter la liberté de choix de ces utilisateurs et de créer un déséquilibre manifeste entre ceux-ci et le responsable du traitement, elle constitue un élément important pour déterminer si le consentement a effectivement été donné valablement et, notamment, librement. Il incombe à cet opérateur de le prouver.

© Reproduction interdite, sauf autorisation écrite préalable