Un tribunal allemand juge que la technologie de suivi de Meta enfreint la législation européenne sur la protection des données

• Un tribunal allemand a jugé que le pixel de suivi et les technologies de Meta enfreignent le RGPD
• Cette décision permet à d’autres utilisateurs d’engager des actions en dommages-intérêts sans avoir à prouver individuellement leur préjudice
• Le tribunal a indiqué que Meta tirait d’énormes profits en identifiant les personnes et en les profilant
• Des experts estiment que ce jugement laisse entrevoir un risque de litiges massifs pour tous les sites web et toutes les applications utilisant des technologies de suivi
• Avec un préjudice évalué à 5 000 euros par personne, le montant total pourrait fortement augmenter à mesure que le nombre de visiteurs croît

---

Un tribunal allemand juge que la technologie de suivi de Meta enfreint la législation européenne sur la protection des données

Principaux éléments du jugement

• Le tribunal régional de Leipzig a jugé que Meta collecte des données personnelles sans le consentement des utilisateurs en intégrant des pixels de suivi et des kits de développement logiciel (SDK) sur des sites web et applications tiers
• Le jugement établit clairement que cette technologie enfreint le Règlement général sur la protection des données (RGPD) de l’Union européenne
• La juridiction a souligné que Meta tire des revenus considérables d’activités de profilage fondées sur des données personnelles, sans consentement individuel des utilisateurs
• Le communiqué de presse insiste sur le fait que, même sans être connecté à un compte Facebook ou Instagram, Meta peut identifier une personne lors de la visite de sites tiers

Portée de la décision

• Cette décision a conduit à condamner Meta à verser 5 000 euros (environ 5 900 dollars) dans le cadre d’une action intentée par un utilisateur allemand de Facebook
• Le tribunal a indiqué que ce jugement crée un précédent permettant à de très nombreux utilisateurs d’engager des actions similaires sans devoir démontrer concrètement un dommage individuel
• Des experts estiment que cette décision pourrait représenter un risque pour tous les opérateurs de sites web et d’applications utilisant les technologies de suivi de Meta
• Le CEO du cabinet de conseil AesirX a estimé que cette affaire montre un potentiel de class action et un risque d’« impact fatal pour l’activité »

Perspectives

• Tous les visiteurs allemands n’ayant pas consenti aux technologies de suivi de Meta pourraient être inclus dans une action collective
• Si le nombre de visiteurs est élevé, le montant des dommages-intérêts pourrait croître de façon exponentielle
• Des experts considèrent ce procès comme l’une des décisions les plus importantes rendues en Europe cette année

Liens de référence

• Communiqué officiel du tribunal régional de Leipzig

Conclusion

• Ce jugement marque un signal de changement majeur pour le renforcement de la protection des données personnelles et la responsabilité juridique des entreprises technologiques et des opérateurs de sites web
• La nécessité, pour le secteur, de réévaluer les mesures techniques de conformité au RGPD et l’obtention du consentement des utilisateurs s’en trouve renforcée

[GN⁺]

Commentaires Hacker News

• Bien que cette décision de Leipzig soit remarquable, son impact réel pourrait ne pas être aussi important que le montant de 5 000 € le laisse penser. Le tribunal a certes indiqué que la victime pouvait agir sans prouver un dommage individuel précis, mais les recours collectifs en Europe restent très différents des class actions à l’américaine. En Allemagne, contrairement aux États-Unis, il n’existe pas vraiment de système de rémunération au résultat, les incitations sont différentes avec notamment le risque de supporter les frais en cas d’échec, et les mécanismes de réparation collective restent limités. La plupart des consommateurs allemands n’engageront probablement pas individuellement une action pour 5 000 € à cause d’un pixel de suivi, car cela demande du temps et coûte cher. J’espère personnellement que ce type d’actions sera porté par des associations de défense des consommateurs ou par des structures spécialisées disposant de moyens financiers. L’Allemagne élargit bien son cadre de recours collectif, mais il reste encore centré sur des entités habilitées plutôt que sur des plaignants individuels.
  • En Allemagne, tous les consommateurs sont inclus automatiquement dans ce type de dispositif. Contrairement à d’autres pays européens, ils n’ont pas besoin de déposer séparément une demande pour être couverts. C’est pour cette raison que des actions collectives réclamant respectivement 500 EUR et 2 000 EUR de dommages-intérêts contre X et TikTok sont en cours en Allemagne.
  • Quelqu’un pourrait très bien transformer ça en produit du style : « On vous donne 2 500 euros gratuitement ! Signez ici ! »
• Il faut noter que cette décision pourrait ne pas être confirmée en appel. Le texte intégral n’a pas encore été publié et, pour l’instant, nous ne connaissons son contenu qu’à travers un communiqué de presse. Par exemple, le tribunal aurait reconnu l’obligation d’indemniser sans même entendre une description concrète du préjudice subi par le demandeur ; il sera donc intéressant de voir comment ce point est traité dans le jugement complet. Cela me paraît être un angle d’appel tout à fait exploitable pour Meta. Comme le droit de l’UE comporte encore des questions non tranchées sur ce sujet, un renvoi à la CJUE est aussi possible. Quoi qu’il en soit, cette décision crée à court terme une incertitude juridique, et beaucoup de gens vont probablement essayer d’attaquer. Mais si cela part en appel puis devant la CJUE, il faudra peut-être attendre plusieurs années, donc c’est un dossier à suivre.
  • Je ne sais pas très bien qui est responsable entre Facebook et l’exploitant du site web où le suivi a effectivement eu lieu. Je pensais qu’au regard du RGPD, c’était au site web d’obtenir le consentement avant de transmettre les données à un réseau publicitaire.
• À ce stade, on pourrait s’attendre à ce qu’un cabinet d’avocats un peu louche se soit déjà mis en mouvement pour identifier des personnes dans la même situation que l’utilisateur concerné, gérer les procédures à leur place et prendre une part des gains en commission, par exemple 10 %. Et si quelqu’un menait l’action pour moi, je la lui confierais volontiers. Mais à mon sens, ce genre de problème ne devrait pas être traité par des actions individuelles : il faut surtout réguler fermement en infligeant directement aux entreprises des amendes réelles pouvant aller jusqu’à 4 % de leur chiffre d’affaires mondial annuel, afin qu’elles cessent de considérer la loi comme une simple recommandation.
  • Des entreprises tout à fait légitimes proposent déjà ce genre de service dans d’autres domaines, comme l’indemnisation aérienne. Le droit allemand de la profession d’avocat impose certaines restrictions à la rémunération au résultat, mais une demande d’indemnisation de 5 000 euros comme celle-ci pourrait être considérée comme un simple « recouvrement de créance » et donc être autorisée. Le risque plus important, c’est que la décision soit annulée en appel ou que la jurisprudence diffère selon les juridictions régionales. Par conséquent, jusqu’à ce que la Cour fédérale de justice ou la CJUE tranche définitivement, seules des structures disposant d’un capital important pourront probablement continuer à porter ce type d’actions sur la base de cette décision.
  • L’Europe n’a pas d’équivalent exact aux class actions américaines. Il existe bien une directive européenne sur les « actions représentatives », mais son champ est bien plus étroit que celui des class actions aux États-Unis.
  • Cette décision va probablement faire apparaître des recours de style class action.
• Il y a encore cinq ans, quand ce genre d’actualité arrivait sur HN, les utilisateurs américains râlaient en disant que l’Europe cherchait juste un prétexte pour rançonner les entreprises américaines. Aujourd’hui, l’ambiance a complètement changé. Même si l’approche européenne n’est pas parfaite, je suis heureux de voir qu’elle avait raison sur le fond.
  • Ces affirmations sont en réalité contraires aux faits. La majorité des amendes vise en pratique des entreprises européennes. Il n’y a pas que les Big Tech qui enfreignent les règles ; les entreprises européennes le font aussi fréquemment. C’est simplement que les utilisateurs américains entendent moins parler de ces affaires. De plus, le cadre actuel de protection des données s’est développé bien avant l’émergence des FAANG, puisqu’il repose notamment sur la loi allemande Bundesdatenschutzgesetz des années 1990. On peut aussi consulter ce site de suivi des amendes.
  • Cinq ans ? J’ai l’impression que ce genre de propos est encore apparu la semaine dernière.
  • Je suis Américain, mais ma seule réserve vis-à-vis du droit européen sur la vie privée concernait les questions de compétence territoriale. Comme ce problème ne se pose pas dans cette affaire, je suis tout à fait d’accord avec la décision.
  • Aux États-Unis, Google, Meta et d’autres géants ont déjà accaparé tout le marché publicitaire, et les petites et moyennes entreprises se rabattent sur l’abonnement. Au final, à moins que l’UE ne bloque aussi le modèle par abonnement, il n’y a plus grand-chose d’autre à faire.
• J’espère vraiment que ça évoluera vers une action collective ; j’aimerais absolument y participer.
• J’attends avec impatience que ce type de décision se concrétise réellement. Cette analyse de blog connexe vaut aussi le détour.
• Comme toujours, j’ai le sentiment qu’au final aucun changement significatif ne se produira.
• Je trouve intéressant que le tribunal ait insisté sur l’identifiabilité de la personne même sans connexion à un compte. Cela pulvérise de front l’argument de défense préféré des entreprises autour du « suivi anonyme ».
• On peut voir une analyse plus détaillée dans l’analyse complète de LinkedIn, et le fait qu’en Allemagne les consommateurs soient automatiquement inclus dans l’action sans avoir à s’inscrire distingue fortement le pays du reste de l’Europe.
• Je pense que cette affaire pourrait finir par devenir un sujet de conflit géopolitique et commercial entre l’Europe et les États-Unis. Cela pourrait même déborder sur la question des droits de douane. Au fond, il s’agit de savoir si l’Europe peut exercer son pouvoir pour protéger ses citoyens, mais je doute honnêtement qu’elle y parvienne vraiment.