La Norvège s’apprête à interdire temporairement les publicités comportementales sur Facebook et Instagram

[Cet article a été mis à jour le 18 Juillet à 15h58 pour inclure un commentaire de la société Meta.]

En Norvège, les plateformes de réseaux sociaux appartenant à Meta seront soumises à une interdiction temporaire de trois mois de la publicité comportementale basée sur le profilage des utilisateurs à partir du 4 août. Cette décision fait suite à un arrêt de la Cour de justice de l’Union européenne (CJUE), qui a estimé que cette pratique n’avait pas de base légale.

Facebook et Instagram pourront poursuivre leurs activités dans le pays, mais la publicité comportementale, qui enfreint le règlement général de l’UE sur la protection des données (RGPD), est interdite. La sanction s’élève à 1 million de couronnes norvégiennes (soit près de 89 000 euros) par jour de non-conformité.

Le RGPD s’applique aux 27 États membres de l’UE, ainsi qu’aux trois autres pays de l’Espace économique européen (EEE) : l’Islande, le Lichtenstein et la Norvège.

En décembre 2022, l’autorité irlandaise de protection des données (DPC), qui instruit les affaires des entreprises technologiques dont le siège européen se trouve en Irlande, a estimé, au nom des 30 pays européens, que les pratiques de Meta en matière de publicité comportementale étaient illégales.

Bien que Meta ait introduit quelques changements depuis lors, la CJUE a statué plus tôt en juillet que les pratiques de traitement des données de l’entreprise pour informer la publicité comportementale n’étaient toujours pas conformes à la législation de l’UE.

L’arrêt de la Cour indique clairement que « les intérêts et les droits fondamentaux » d’un utilisateur l’emportent sur les intérêts d’une société de réseaux sociaux lorsqu’il s’agit de « publicité personnalisée par laquelle elle finance son activité ».

Dans ce contexte, les autorités chargées de la protection des données sont autorisées à prendre des décisions d’urgence qui peuvent prendre effet pour une durée maximale de trois mois. L’autorité norvégienne de régulation de la vie privée est la première à prendre une telle décision depuis l’arrêt de la Cour.

Publicité comportementale illégale

Comme l’explique l’autorité norvégienne sur son site web, la décision norvégienne ne vise pas à interdire à Meta de « montrer de la publicité comportementale aux utilisateurs qui y ont donné leur consentement valide ».

L’objectif de l’interdiction est plutôt d’empêcher les publicités ciblées illégales. La Cour de justice de l’UE a rejeté la base juridique « contractuelle » de Meta, qui impliquait le traitement de données à caractère personnel sur la base de l’utilisation d’un service.

Les juges de la Cour ont indiqué que les données personnelles récupérées, vendues ou partagées avec Meta sans le consentement préalable de l’utilisateur ne peuvent pas être utilisées pour le traitement et, par conséquent, pour générer des publicités comportementales.

Cependant, Facebook et Instagram peuvent toujours traiter les informations partagées volontairement sur les plateformes par les utilisateurs. Il s’agit notamment de la biographie, du lieu de résidence, du sexe, de l’âge ou des centres d’intérêt d’un utilisateur donné, si ce dernier a lui-même fourni ces éléments.

Un porte-parole de la société Meta a déclaré à EURACTIV que « le débat autour des bases légales est en cours depuis un certain temps et les entreprises continuent à faire face à un manque de certitude réglementaire », expliquant que Meta était actuellement en train d’examiner la décision de l’autorité norvégienne et déclarant qu’« il n’y a pas d’impact immédiat sur [leurs] services ».

Implications

La Norvège est le premier pays de l’EEE à imposer une interdiction à Meta, estimant qu’il y a « un besoin urgent d’agir ». Meta peut à présent contester l’interdiction devant le tribunal de district d’Oslo.

Dans sa déclaration en ligne, l’autorité norvégienne suggère de porter l’affaire devant le Comité européen de la protection des données (EDPB), l’organe qui rassemble tous les régulateurs de la vie privée de l’Union, où la décision norvégienne « peut être prolongée au-delà de sa période de validité initiale de trois mois ».

La Commission irlandaise pour la protection des données a envoyé à chaque autorité nationale du comité européen de la protection des données son évaluation de la conformité de Meta avec les règles de protection des données de l’UE en matière de publicité comportementale. Les autorités nationales ont jusqu’à vendredi (21 juillet) pour y répondre.

[Édité par Anne-Sophie Gayet]