Retour devant la CJUE pour le citoyen autrichien qui a fait vaciller le géant des réseaux sociaux en 2015. Son nom reste en effet lié à l’arrêt dit Safe Harbor par lequel la CJUE a invalidé la décision de la Commission de 2000 selon laquelle les États-Unis assurent un niveau adéquat de protection aux données à caractère personnel transférées sur son sol depuis l’UE dans le cadre du régime Safe Harbor. Ce dernier avait été remplacé par le Privacy Shield à l’été 2016.
Maximilian Schrems, spécialisé en droit des technologies de l’information et en droit de la protection des données personnelles et en préparation d’une thèse de doctorat concernant les aspects juridiques (droit civil, droit pénal et droit administratif) de la protection des données personnelles, mène depuis 2011 une bataille contre les violations de la protection des données par Facebook.
Après sa première action contre Facebook Ireland devant la justice irlandaise, il en a intenté une autre devant la justice de son pays, en son nom propre et au titre de plus de 25.000 personnes. Il accuse Facebook d’avoir commis différentes violations des dispositions en matière de respect de la vie privée et de protection des données personnelles en infraction avec le droit autrichien, le droit irlandais et le droit de l’UE. Et réclame que la justice impose au géant américain diverses mesures ainsi que le versement de dommages et intérêts.
À savoir que la CJUE se prononçait jeudi sur une affaire incluant seulement M. Schrems et 7 des 25.000 personnes qui lui ont cédé leurs droits.
Schrems reste juridiquement un consommateur de Facebook
La justice autrichienne n’a pu trancher et en novembre 2016, la Cour suprême autrichienne a posé une question préjudicielle à la CJUE sur la possibilité pour M. Schrems d’intenter une action individuelle en tant que consommateur et une action collective au nom de plusieurs autres consommateurs qui lui ont cédé leurs droits. La question induite étant de savoir si un tribunal national peut se prononcer dans une affaire impliquant un défendeur étranger.
L’arrêt des juges européens suit les conclusions de l’avocat général Michal Bobek rendues en novembre dernier: oui, M. Schrems peut engager une action contre Facebook en tant que consommateur, quand bien même il justifie d’un usage devenu professionnel de sa page Facebook via des activités de publication, de conférences (rémunérées pour certaines), de création de sites Internet ou de collecte de dons.
Ainsi un tribunal national est compétent pour examiner les violations de la protection des données et de la vie privée dont se serait rendu coupable Facebook.
La CJUE exclut un recours au nom d’autres consommateurs
Mais la victoire n’est pas entière pour le militant autrichien puisque la CJUE, suivant là encore l’analyse de l’avocat général Bobek, considère qu’un consommateur ne peut pas faire valoir devant la justice de son lieu de résidence les droits cédés par d’autres consommateurs, qu’ils soient domiciliés dans le même État membre, dans d’autres États membres ou dans des États tiers.
C’est le point principal que retient Facebook. «L’arrêt de la CJUE d’aujourd’hui soutient les précédents arrêts de deux tribunaux en considérant que les actions de M. Schrems devant les tribunaux autrichiens ne peuvent pas intervenir en tant que ‘recours collectifs’ au nom d’autres consommateurs», a réagi un porte-parole de Facebook auprès de Delano. «Nous sommes heureux d’avoir pu présenter nos positions devant la CJUE et nous préparons à résoudre cette affaire.»
De son côté, Maximilian Schrems estime «malheureux» que «la CJUE n’a[it] pas saisi l’opportunité en or d’introduire la possibilité de recours collectifs en Europe, et renvoyé la balle dans le camp du législateur». Toutefois, l’arrêt de la CJUE constitue un nouveau pas en avant. «Pendant trois ans, Facebook s’est battu d’arrache-pied contre la compétence des tribunaux autrichiens et a perdu», souligne M. Schrems. «Maintenant, l’affaire peut enfin avancer. Facebook va devoir expliquer à un tribunal neutre en quoi son modèle économique est en règle avec les lois européennes contraignantes sur la vie privée. C’est un soufflet immense pour eux.»
Il revient en effet à la justice autrichienne de se prononcer sur le fond: Facebook a-t-il violé les dispositions nationales sur la protection des données et le respect de la vie privée?