10 octobre 2018 - Nous venons de recevoir des nouvelles de la CNIL au sujet de nos plaintes collectives, engagées en mai 2018 contre Google, Apple, Facebook, Amazon et Microsoft. Ces nouvelles sont encourageantes.
Les plaintes contre Apple, Facebook et Microsoft ont été transmises à l'autorité irlandaise de protection des données, qui a commencé l'instruction des dossiers. Pourquoi est-ce l'autorité irlandaise qui instruira nos plaintes, plutôt que la CNIL française, à qui nos plaintes étaient destinées ?
Comme nous le rappelions déjà en mai dernier, le RGPD a posé un nouveau cadre de coopération entre les différentes « CNIL » européennes : si une entreprise collecte des données dans plusieurs pays européens, les CNIL de tous ces pays doivent collaborer pour contrôler cette entreprise. La CNIL de l'État où l'entreprise a le « centre de ses activités » dans l'Union européenne est désignée « autorité chef de file ». Cette autorité chef de file est chargée de conduire l'instruction et d'animer la coopération entre les autorités. C'est en Irlande que Apple, Facebook et Microsoft ont le centre de leurs activités européennes. La CNIL irlandaise est donc l'autorité chef de file pour instruire nos plaintes.
S'agissant d'Amazon, la plainte a été transmise à l'autorité du Luxembourg - puisque, cette fois-ci, c'est dans ce pays qu'Amazon a le centre de ses activités au sein de l'Union.
Enfin, qu'en est-il de Google ? C'est ici que la situation devient la plus intéressante.
Le RGPD prévoit une exception au mécanisme de « l'autorité chef de file ». Si une entreprise n'a pas « d'établissement principal » au sein de l'Union, mais agit principalement depuis l'étranger, la CNIL de n'importe quel État peut la contrôler (voir les lignes directrices WP244, page 11, du G291).
C'est cette exception que la CNIL française a retenue s'agissant de Google : l'entreprise ne dispose dans l'Union d'aucun « établissement principal » qui dirigerait les activités que nous dénonçons comme contraires au RGPD. Concrètement, la CNIL considère que le siège de Google à Dublin ne prend pas de décisions importantes dans notre affaire et ne doit donc pas être pris en considération.
Ainsi, la CNIL française se reconnaît compétente pour instruire directement notre plainte contre Google (et pour, en fin de course, prononcer sa sanction). Toutefois, elle nous indique qu'elle compte conduire ce dossier en coopération avec les autres CNIL, avec lesquelles elle aurait commencé à travailler lors de leur dernière réunion européenne du 25 et 26 septembre. C'est une bonne chose.
Dans l'ensemble, la situation est des plus encourageantes : nos plaintes avancent concrètement et celle contre Google reste dans les mains d'une autorité dont les dernières décisions ont toutes imposé strictement la notion de « consentement libre », qui est au cœur de nos actions.
Nous vous garderons informés des prochains avancements sur ces dossiers.
En attendant, nous vous rappelons que nos plaintes sont libres de droit (disponibles ici) : n'hésitez pas à en reprendre les arguments (ils ont été pensés pour être faciles à reprendre) afin de rédiger des plaintes individuelles ou collectives contre d'autres entreprises - qui ne manquent pas pour violer le RGPD.