La Commission de Protection des Données d’Irlande (DPC, pour ses sigles en anglais) a émis une décision finale contre LinkedIn Ireland Unlimited Company, imposant une amende de 310 millions d’euros pour infractions au Règlement Général sur la Protection des Données (RGPD). Cette résolution constitue un jalon important dans la supervision des pratiques de publicité ciblée et d’analyse comportementale, remettant en question la légitimité des méthodes employées par LinkedIn pour traiter les données personnelles de ses utilisateurs dans l’Union Européenne.
L’enquête, qui a commencé en 2018 suite à une plainte de l’organisation française La Quadrature Du Net, a examiné la légalité, la transparence et l’équité de l’utilisation des données personnelles sur LinkedIn pour la publicité ciblée et l’analyse du comportement des utilisateurs possédant des profils sur la plateforme.
Quels ont été les constats de la DPC ?
La décision de la DPC, notifiée à LinkedIn le 22 octobre 2024, indique plusieurs violations du RGPD, parmi lesquelles :
- Violation de la légalité dans le traitement des données : Conformément à l’article 6 du RGPD, le traitement des données doit être fondé sur une base juridique valable. LinkedIn n’a pas obtenu un consentement informé, spécifique et non ambigu pour traiter les données de tiers pour de la publicité ciblée. De plus, l’intérêt légitime de l’entreprise n’a pas pu prévaloir sur les droits et libertés fondamentaux des utilisateurs, qui, selon la DPC, sont affectés par des pratiques excessives de collecte de données.
- Manque de transparence et d’équité : La DPC a souligné que LinkedIn n’a pas correctement informé les utilisateurs sur les bases légales justifiant le traitement de leurs données, contrevenant les articles 13 et 14 du RGPD. De même, le manque de transparence a été perçu comme un élément compromettant l’autonomie des utilisateurs sur leur information personnelle.
Amende et mesures correctrices
La résolution de la DPC impose à LinkedIn trois sanctions administratives totalisant 310 millions d’euros et un avertissement formel. De plus, elle exige de la compagnie qu’elle aligne ses pratiques de traitement des données avec le RGPD, ce qui implique de réaliser des changements dans sa politique de confidentialité et dans les méthodes d’obtention du consentement de ses utilisateurs européens.
Le Sous-Commissaire de la DPC, Graham Doyle, a commenté sur la décision : « La légalité dans le traitement des données personnelles est un aspect fondamental dans la loi de protection des données, et le traitement de celles-ci sans une base légale adéquate constitue une violation claire du droit fondamental des sujets de données ».
Réponse de LinkedIn
Au moyen d’une déclaration publiée le 24 octobre 2024, LinkedIn a défendu ses pratiques, arguant qu’elles étaient déjà conformes au RGPD. Néanmoins, la compagnie a exprimé sa disposition à implémenter les changements requis pour se conformer à la décision de la DPC.
« Bien que nous croyons que nos pratiques sont conformes au RGPD, nous travaillerons pour assurer que nos efforts publicitaires respectent le délai imposé par la DPC », a affirmé LinkedIn dans sa déclaration publique.
Un précédent important pour la confidentialité dans l’UE
Cette résolution est un avertissement pour les plateformes qui utilisent les données des utilisateurs pour l’analyse comportementale et la publicité ciblée. En basant ses décisions sur les principes de transparence, d’équité et d’autonomie, la DPC montre son engagement à protéger les droits à la confidentialité des citoyens européens.
