Pour l’avocat général de la CJUE, ce n'est pas parce qu'une personne rend « manifestement publique » une donnée sensible, comme son orientation sexuelle, qu'elle autorise les réseaux sociaux à les utiliser « à des fins de publicité personnalisée », explique un communiqué de la Cour [PDF].

En 2021, la Cour suprême d'Autriche a saisi la CJUE à propos d'une procédure que Max Schrems a lancée contre Meta devant la justice autrichienne en 2018. Le fondateur de l'association noyb s'était étonné d'avoir reçu « des publicités visant des personnes homosexuelles et des invitations à des événements correspondants  » sur son profil Facebook alors qu'il « n’aurait jamais mentionné son orientation sexuelle et n’aurait publié aucune donnée sensible sur son profil Facebook », explique l'avocat général dans son avis.

Or, les données concernant la vie sexuelle ou l'orientation sexuelle d'une personne physique sont considérées comme particulièrement sensibles et sont spécifiquement protégées par l'article 9 du RGPD.

En 2020, le tribunal régional des affaires civiles de Vienne a pourtant rejeté son recours en première instance. Max Schrems a formé un pourvoi devant la Cour suprême autrichienne.

Des informations rendues publiques par Max Schrems lui-même

Mais, avant de se prononcer, celle-ci veut éclaircir certains points de la juridiction européenne et notamment du RGPD. C'est pour cela qu'elle a fait appel à la CJUE.

Car, en 2019 – donc après le lancement de la procédure –, Max Schrems a fait état de son orientation sexuelle lors d'une table ronde organisée par la représentation de la Commission européenne à Vienne et diffusée en streaming. Or, le paragraphe 2.e de l'article 9 du RGPD prévoit que le statut spécifique des données particulièrement sensibles tombe si les données à caractère personnel « sont manifestement rendues publiques par la personne concernée ».

La Cour suprême demande donc à la CJUE si le fait que Max Schrems a rendu publique cette information « autorise le traitement d’autres données relatives à l’orientation sexuelle aux fins d’agrégation et d’analyse des données aux fins de la publicité personnalisée ? ».

Mais en dehors de Facebook

Dans son avis, Athanasios Rantos, précise bien que « les données sensibles relatives à l’orientation sexuelle du demandeur ont été divulguées, en dehors de la plateforme Facebook (« hors site ») et de toute autre plateforme ou application informatique, dans le cadre d’une table ronde organisée par la Commission et dans le but de dénoncer le traitement prétendument illicite par Meta Platforms Ireland de données relatives à cette orientation sexuelle ».

Il rappelle aussi que la CJUE s'est déjà prononcée sur le fait que le recueil de données sensibles en dehors du réseau social au moyen de cookies « ou des technologies d’enregistrement similaires » ne pouvait pas se faire en considérant que la personne les rendait « manifestement publiques ».

Mais ici, pour Athanasios Rantos, « compte tenu du caractère ouvert de la table ronde, diffusée en direct puis retransmise en streaming, ainsi que de l’intérêt du public pour le thème qui y était abordé », il lui « semble fort probable » que « la déclaration du requérant ait pu atteindre un public indéfini, bien plus important que celui qui était présent en salle ». Il lui parait aussi « tout à fait possible de supposer que [...] le requérant ait eu, sinon l’intention, du moins pleinement conscience de rendre cette orientation « manifestement publique ». Bref, l'avocat général considère que cette déclaration rend publique l'information.

Des données personnelles extérieures au réseau social concerné

Par contre, cela ne signifie pas que Facebook peut l'utiliser. Car « le fait de rendre manifestement publiques des données [sensibles] ne permet pas, à lui seul, d’effectuer un traitement de ces données au sens dudit règlement ».

« En effet, l’application de cette dernière disposition a simplement pour conséquence de lever la "protection spéciale" conférée à certaines données à caractère personnel particulièrement sensibles » explique-t-il. Mais il ajoute qu' « une fois cette protection sciemment écartée par la personne concernée elle-même (qui les a manifestement rendues publiques), ces données à caractère personnel, à l’origine "protégées", deviennent des données "ordinaires" (à savoir non sensibles) qui, comme toutes autres données à caractère personnel, ne peuvent faire l’objet d’un traitement licite que dans les conditions prévues » par le RGPD.

Et ce traitement de données à caractère personnel est notamment soumis à un principe de collecte « pour des finalités déterminées, explicites et légitimes ». Avoir rendu publiques ces données sur sa propre orientation sexuelle « n’autorise pas, en soi, le traitement desdites données ou d’autres données relatives à l’orientation sexuelle de cette personne en vue de l’agrégation et de l’analyse des données à des fins de publicité personnalisée », conclut Athanasios Rantos.

Max Schrems et son avocate Katharina Raabe-Stuppnig sont « satisfaits de l'avis, même si ce résultat était très attendu », expliquent-ils dans un communiqué de l'association noyb.

« Ce n'est pas parce que certaines informations sont publiques qu'elles peuvent être utilisées à d'autres fins. Si vous faites un commentaire politique sur les médias sociaux, il ne peut pas être utilisé pour cibler la publicité politique. Si les utilisateurs perdaient tous leurs droits sur les informations publiées, la liberté d'expression s'en trouverait considérablement freinée », interprète Katharina Raabe-Stuppnig.

Comme le rappelle le communiqué de la CJUE, « les conclusions de l’avocat général ne lient pas la Cour de justice » et cet avis est non contraignant pour la Cour suprême d'Autriche. Mais les juges suivent généralement ces avis.