310 millions d’euros d’amende suite à notre plainte collective
Après Google et Amazon, c’est au tour de Microsoft d’être condamnée pour non-respect du droit des données personnelles. Hier, l’autorité de protection des données irlandaise a adressé à Microsoft une amende de 310 millions d’euros suite à notre plainte contre son service LinkedIn, au motif du non-respect du consentement de ses utilisateurs.
Le 25 mai 2018, le RGPD (Règlement Général sur la Protection des Données) entrait en application, venant renforcer le droit des données personnelles. Il donnait une place particulière au consentement, qui devenait la principale base légale à appliquer pour la collecte et l’usage des données personnelles. Le RGPD apportait également deux autres nouveautés : la possibilité de déposer des plaintes de manière collective, ainsi qu’un pouvoir de sanction donné aux CNIL de l’Union européenne. Les CNIL, responsables de l’application du règlement, peuvent dès lors adresser des amendes à hauteur de 4% du chiffre d’affaires mondial des entreprises ne respectant pas le droit. Les CNIL européennes travaillent de concert sur les plaintes, guidées par une CNIL dite « cheffe de file », celle du pays ou le siège social de l’entreprise attaquée est établi.
Quelques mois avant son entrée en application, nous avions lancé un appel aux utilisateurices de certains services des GAFAM en leur proposant de se joindre à nous pour déposer une plainte contre chacune de ces grosses entreprises. Nos plaintes, déposées avec plus de 12 000 personnes, se fondaient sur le présupposé que ces entreprises ne respecteraient pas le RGPD une fois que le règlement serait applicable, notamment car leur modèle économique est en partie construit autour de l’exploitation sans consentement des données, particulièrement Google et Facebook. Comme nous l’avions parié, plus de six ans après, ces entreprises ne respectent toujours pas notre droit fondamental à la vie privée. Amazon fut condamnée par la CNIL luxembourgeoise à une amende de 746 millions d’euros en 2021. Google, n’ayant à l’époque du dépôt des plaintes pas de siège social dans l’Union européenne, avait été condamnée par la CNIL française (lieu du dépôt de la plainte) à 50 millions d’euros d’amende, puis s’était empressée de localiser son siège social en Irlande.
L’Irlande, connue pour sa politique fiscale avantageuse, héberge les sièges sociaux de nombreuses entreprises. C’est donc l’autorité irlandaise qui s’est retrouvée cheffe de file pour la plupart de nos plaintes : celle contre Microsoft (LinkedIn) mais aussi celles contre Apple (iOS) et Meta (Facebook et Instagram) qui sont encore en cours d’instruction, ainsi qu’Alphabet (Google Search, Youtube et Gmail).
Hier, elle a donc prononcé à l’encontre de LinkedIn un rappel à l’ordre, une injonction de mise en conformité du traitement et trois amendes administratives d’un montant total de 310 millions d’euros. Cette sanction est donc de bon augure pour la suite de nos plaintes, et pour le respect du droit des données personnelles. Elle vient une nouvelle fois confirmer notre interprétation du RGPD selon laquelle les services en ligne doivent garantir un accès sans contraindre leurs utilisateurices à céder leurs données personnelles. Dans le cas contraire, le consentement donné ne peut être considéré comme libre.
En revanche, il faut relever qu’il a fallu plus de six ans à l’autorité irlandaise pour arriver à cette sanction. Cela n’est pas dû à une quelconque complexité de l’affaire mais à des dysfonctionnements structurels et à l’absence de volonté politique caractéristique de cette autorité. En effet, des associations dénoncent régulièrement son manque de moyens, sa proximité avec les entreprises, son refus de traiter certaines plaintes ou encore son manque de coopération avec les autres autorités européennes. L’Irish Council for Civil Liberties a ainsi publié l’année dernière un rapport pointant les manquements et l’inefficacité de la Data Protection Commission irlandaise.
Si nous nous réjouissons de cette petite victoire, elle reste faible. La plus grosse partie de l’Internet reste entre les mains de grosses entreprises. Ce sont elles qui hébergent nos échanges en ligne et gardent les pleins pouvoirs dessus : malgré le RGPD, la plupart d’entre elles continueront de récolter nos données sans notre consentement afin de nourrir leurs algorithmes de profilage publicitaire, transformant par la même occasion nos moindre faits et gestes en ligne en marchandises.
D’autant que ce système repose sur de la puissance de calcul et de l’énergie afin d’afficher ces images publicitaires sur nos écrans. Le tout pour toujours nous faire consommer davantage alors que la crise écologique prend de l’ampleur de jour en jour. Dans ce contexte, nous attendons avec hâte les décisions de la CNIL irlandaise concernant nos autres plaintes et espérons qu’elle sera vigilante quant au respect de la mise en conformité de LinkedIn.