Les décisions contraignantes répondent à des questions juridiques importantes sur des projets de décisions de l’autorité de protection des données irlandaise en tant qu’autorité chef de file concernant les plateformes de Meta IE Facebook, Instagram et WhatsApp.

Les décisions contraignantes du CEPD jouent un rôle essentiel pour garantir l’application correcte et cohérente du RGPD par les autorités de surveillance nationales.

L’autorité de protection des données irlandaise a publié les projets de décisions à la suite d’enquêtes fondées sur des plaintes concernant les activités de traitement des trois plateformes. Les projets de décisions concernant Facebook et Instagram portent notamment sur la licéité et la transparence des traitements à des fins de publicité comportementale. Le projet de décision concernant WhatsApp porte quant à lui sur la licéité du traitement aux fins de l’amélioration des services. La CNIL et d’autres autorités de protection, en désacord avec l’analyse de l’autorité irlandaise concernant, entre autres, la base légale du traitement (article 6 du RGPD), les principes de protection des données (article 5 du RGPD) et le recours à des mesures correctives, ont émis des objections sur les projets de décisions préparés.

Comme l’autorité de protection des données irlandaise a estimé que ces objections n’étaient pas pertinentes et/ou motivées, le CEPD a été appelé à régler le différend entre les autorités de protection des données européennes dans un délai de deux mois.

Dans ses décisions contraignantes, le CEPD répond à la question de la définition de l’exécution du contrat comme base légale appropriée, ou non, pour traiter des données personnelles dans le cadre la publicité comportementale, dans le cas de Facebook et Instagram, et pour l’amélioration des services, dans le cas de WhatsApp.

L’autorité chef de file adoptera ses trois décisions finales, adressées au responsable du traitement, sur la base des décisions contraignantes du CEPD, en tenant compte de cette évaluation juridique, et au plus tard un mois après que la notification par le CEPD de sa décision. Le CEPD publiera, quant à lui, ses décisions sur son site web après que l’autorité chef de file aura notifié ses décisions nationales au responsable du traitement.

Pour approfondir
> La coopération avec les autorités de contrôle européennes
> Le Comité européen de la protection des données (CEPD)
> [EN] EDPB adopts Art. 65 dispute resolution binding decisions regarding Facebook, Instagram and WhatsApp

Les textes de référence
> Article 65 du RGPD (Règlement des litiges par le comité)