Courant 2020, l’autorité de contrôle irlandaise s’est penchée sur la conformité du traitement des données personnelles des utilisateurs mineurs de l’application Instagram (META) sur la période du 25 mai 2018 au 21 septembre 2020.
En effet, en 2016, l’application Instagram a offert à ses utilisateurs (majeurs et mineurs) la possibilité de créer des comptes « professionnels » (business account) or, la création de ces comptes nécessitait le partage de données de contact (adresses mails et numéros de téléphone) par défaut avant que cela ne devienne une option en 2019.
Concernant les utilisateurs mineurs, cela pouvait poser problème dans la mesure où ces informations de contacts étaient non seulement visibles par les autres utilisateurs de l’application mais également dans le cadre d’une recherche sur un navigateur via le code source html de la page.
La société META (Instagram) s’est défendue en invoquant notamment que les intérêts poursuivis par la publication de ces données étaient légitimes dans la mesure où il s’agissait d’un moyen raisonnable et légal de promouvoir une entreprise professionnelle ou une initiative publique, même dans le cas d’un utilisateur mineur.
Au regard de ces motivations, l’autorité de contrôle irlandaise a d’abord considéré dans son projet de décision qu’il n’y avait donc pas de violation du RGPD puisqu’il existait un intérêt légitime à la publication des données de contact des utilisateurs mineurs ayant un compte professionnel.
En désaccord avec cette conclusion, diverses autorités de contrôle européennes ont rédigé des observations relevant qu’il n’existait pas de base juridique au traitement et à la publication de ses données.
Les autorités de contrôles n’ayant pas réussi à trouver un accord concernant la décision de l’autorité de contrôle irlandaise, le Comité européen pour la protection des données a donc été saisi afin de statuer sur ce dossier.
Au regard des observations de chacune des parties, le Comité européen a considéré que l’application Instagram (META) traitait les données personnelles des enfants de manière illicite, c’est-à-dire sans base juridique, et a chargé l’autorité irlandaise de modifier son projet de décision afin d'établir un manquement à l'article 6-1 du Règlement européen.
En effet, le Comité européen a d’abord retenu que les intérêts légitimes évoqués par la société META (Instagram) pour le traitement des données n’étaient ni clairement expliqués, ni distinctement décrits par celle-ci et, ainsi, le Comité a considéré qu’il ne pouvait donc pas vérifier que les intérêts soulevés étaient licites et conformes au RGPD.
En outre, et au regard de la balance des intérêts en présence et notamment des droits fondamentaux et de la protection des utilisateurs mineurs, le Comité européen a soulevé que la publication de leurs coordonnées ne répondait pas aux exigences de l’article 6 §1 (f) du RPGP :
« Le traitement n'est licite que si, et dans la mesure où, au moins une des conditions suivantes est remplie : (f) le traitement est nécessaire aux fins des intérêts légitimes poursuivis par le responsable du traitement ou par un tiers, à moins que ne prévalent les intérêts ou les libertés et droits fondamentaux de la personne concernée qui exigent une protection des données à caractère personnel, notamment lorsque la personne concernée est un enfant. »
D’ailleurs la société META était particulièrement consciente du problème puisque les paramétrages ont été modifiés en 2019 afin que rendre les données de utilisateurs mineurs privées par défaut.
En conséquence, le Comité a sollicité de l’autorité irlandaise qu’elle modifie son projet de décision afin d'établir un manquement à l'article 6-1 du RGPD.
Outre l’amende record fixé à 405 millions d’euros, cette affaire permet également de mettre en avant la procédure de règlement des litiges par le Comité européen dès lors que les autorités de contrôles ne s’accordent pas sur une décision.
De son côté, la société META a indiqué qu’elle entendait faire appel, arguant que la condamnation s’appuyait sur d’anciens paramétrages, depuis modifiés, et contestant également le calcul du montant de l’amende, troisième amende qui lui est infligée (la troisième après une première de 225 millions pour l’application WhatsApp et une seconde de 17 millions d'euros pour Facebook).
