Le droit d’opposition face à l'utilisation des données par Meta

Meta suspend son projet d'entraînement des IA avec des données utilisateurs face à la pression des régulateurs européens.

Meta avait annoncé qu’à compter du 26 juin 2024, les données issues des publications et légendes diffusées via ses produits et services, Facebook et Instagram notamment, seraient utilisées afin d’entrainer ses modèles d’IA générative. Les utilisateurs disposaient néanmoins de la faculté de s’opposer à l’utilisation de leurs publications pour ce type d’emploi. Bien que Meta, à la suite d’une pression croissante des régulateurs européens et de nombreuses plaintes, a décidé de mettre en pause son projet, l’occasion nous est donnée de revenir sur les contours du droit d’opposition.

QU’EST-CE QUE LE DROIT D’OPPOSITION ?

En matière de protection des données personnelles, les personnes concernées bénéficient de différents droits afin de garder la maitrise de leurs données : le droit à l’information, le droit d’accès, le droit à la rectification, le droit à l’effacement, mais aussi le droit d’opposition, qui est régit par l’article 21 du Règlement Général sur la Protection des données (RGPD).

Ce droit permet de s’opposer à ce que les données des personnes concernées soient utilisées par un organisme. Pour être applicable, le traitement de données à l’origine de l’exercice du droit d’opposition doit être fondé sur « l’exécution d’une mission d’intérêt public » ou aux fins des « intérêts légitimes poursuivis par le responsable du traitement ou par un tiers »¹.

Pour mémoire, la mission d’intérêt public et les intérêts légitimes poursuivis par le responsable du traitement ou par un tiers font partie des six bases légales prévues par l’article 6 du RGPD, parmi lesquelles l’on compte également le consentement.

Néanmoins, le droit d’opposition est conditionné. En effet, pour s’opposer à l’utilisation des données, la personne concernée devra indiquer les « raisons tenant à [sa] situation particulière », sauf en cas de prospection commerciale où la personne concernée peut s’opposer sans motif ². En pratique, c’est bien souvent dans le cadre de la prospection commerciale qu’est utilisé le droit d’opposition.

L’organisme peut ne pas donner suite à la demande d’opposition : en prouvant que des « motifs légitimes et impérieux » lui imposent de continuer à traiter les données malgré la demande ou en justifiant que vos données sont nécessaires pour la constatation, l’exercice ou la défense de droits en justice.

UTILISER SON DROIT D’OPPOSITION FACE À LA NOUVELLE POLITIQUE DE CONFIDENTIALITÉ DE META

Le 26 juin 2024, une nouvelle politique de confidentialité de META devrait entrer en vigueur.

En effet, le réseau social souhaitait entrainer ses intelligences artificielles (IA) génératives en utilisant les données présentes sur les réseaux sociaux : le contenu des publications, les photos publiées et leurs légendes, mais aussi les conversations des utilisateurs avec une IA.

Pour justifier cette collecte de données, META invoque comme base légale l’intérêt légitime ³, et offre donc à ses utilisateurs la possibilité de s’opposer à la collecte.

L’intérêt légitime (article 6 RGPD) comme base légale suppose pour le responsable de traitement notamment de mettre en balance les intérêts du traitement face aux droits et libertés des personnes concernées par celui-ci. Il doit ressortir de cette analyse que le traitement ne doit pas heurter les droits et intérêts des personnes concernées, compte tenu de leurs attentes raisonnables notamment. À défaut, le traitement ne pourra pas avoir comme base légale l’intérêt légitime.

Dans ce contexte, l’utilisation de cette base légale permet à META d’éviter de recueillir le consentement des personnes concernées pour réaliser son traitement de données.

Pourtant, le réseau social avait déjà essayé de justifier cette base légale dans un contexte d’utilisation de données personnelles à des fins publicitaires. Néanmoins, la CJUE a considéré dans l’affaire Meta v Bundeskartellamt, en juillet 2023, qu'il n'y avait pas d'intérêt légitime qui l’emportait sur les droits des utilisateurs lorsque les plateformes tentaient de fournir de la publicité ⁴. C’est également en ce sens que la CNIL a indiqué que :

« l’utilisation d’un réseau social implique la mise en relation d’individus, mais le profilage de leurs actions en vue de leur adresser de la publicité ciblées peut dépasser leurs attentes raisonnables »⁵.

Au cas présent, le recours par Meta à la base légale de l’intérêt légitime semble donc, à la lumière de la position de la CNIL, ainsi que celle de la CJUE, discutable dans le cadre d’un traitement lié à l’entrainement de ses IA générative.

Au surplus, pour s’opposer à la collecte des données dans le cadre de la nouvelle politique de Meta, il faut remplir un formulaire dans lequel il faut préciser notamment « l’incidence de ce traitement sur vous »⁶. L’objectif est ainsi, conformément aux termes de l’article 21 du RGPD de décrire les raisons tenant à la situation particulière de la personne concernée. Par suite, le responsable de traitement (Meta en l’espèce), pourra s’opposer à la demande s’il « démontre qu'il existe des motifs légitimes et impérieux pour le traitement qui prévalent sur les intérêts et les droits et libertés de la personne concernée, ou pour la constatation, l'exercice ou la défense de droits en justice »⁷.

S’agissant du traitement envisagé, l’on peut s’interroger sur les motifs légitimes et impérieux qui pourraient venir au soutien de la poursuite du traitement malgré l’opposition des personnes concernées. Au surplus, il sera intéressant de constater selon quelles modalités pratiques, Meta entend démontrer l’existence de tels motifs légitimes et impérieux.

A noter à cet effet que l’Association NOYB a déposé, le 6 juin 2024, des plaintes dans 11 pays européens, dont la France, pour inciter les autorités de protection des données de ces pays à étudier la situation et, le cas échéant, mettre immédiatement un terme à l'utilisation abusive des données personnelles par Meta.⁸

En réponse, Meta a annoncé sa décision de suspendre l’utilisation des données personnelles de ses utilisateurs européens pour l’entraînement de ses intelligences artificielles. À ce titre la Commission de protection des données irlandaise (DPC)⁹ a salué, le 14 juin dernier :

« la décision de Meta de suspendre ses plans pour former son grand modèle linguistique en utilisant du contenu public partagé par des adultes sur Facebook et Instagram à travers l'UE/EEE. Cette décision faisait suite à un engagement intensif entre le DPC et Meta. Le DPC, en coopération avec ses autres autorités européennes de protection des données, continuera à s'engager avec Meta sur cette question. »¹⁰

Quoi qu’il en soit, les modalités initiales d’exercice du droit d’opposition proposées par Meta permettent de mettre en lumière les enjeux pratiques de mise en œuvre des droits du RGPD, les responsables de traitement ne devant par ailleurs pas oublier les délais auxquels ils sont soumis afin de répondre à ces demandes.

Le cabinet d’avocats Altij se tient à votre disposition pour vous accompagner dans le cadre de vos actions de conformité et notamment s’agissant de la mise en place et de la gestion de vos demandes d’exercice de droits et/ou de procédures internes pour y répondre.

¹ Article 6 du RGPD

²  CNIL, Le droit d'opposition : refuser l’utilisation de vos données, 18 décembre 2015 (https://www.cnil.fr/fr/comprendre-mes-droits/le-droit-dopposition-refuser-lutilisation-de-vos-donnees)

³ Voir la politique de confidentialité de Meta (https://www.facebook.com/privacy/genai)

⁴ Arrêt CJUE, affaire C‑252/21 Meta Platforms e.a, du 4 juillet 2023. Article en ce sens : NOYB, La CJUE déclare l'approche GDPR de Meta/Facebook largement illégale, 4 juillet 2023 (https://noyb.eu/fr/cjeu-declares-metafacebooks-gdpr-approach-largely-illegal)

⁵ CNIL, L’intérêt légitime : comment fonder un traitement sur cette base légale ? 2 décembre 2019 (https://www.cnil.fr/fr/les-bases-legales/interet-legitime)

⁶ Voir la politique de confidentialité de Meta

⁷ Article 21 RGPD

⁸ NYOB, le noyb demande à 11 autorités de protection des données de mettre immédiatement un terme à l'utilisation abusive des données personnelles par Meta à des fins d'intelligence artificielle, 6 juin 2024 (https://noyb.eu/fr/noyb-urges-11-dpas-immediately-stop-metas-abuse-personal-data-ai)

⁹ L’autorité irlandaise de protection des données en charge de la surveillance de l’application du RGPD en Irlande, pays où la société Meta dispose de son siège social.

¹⁰ Communiqué de la Data Protection Commission, 14 juin 2024 (https://www.dataprotection.ie/en/news-media/latest-news/dpcs-engagement-meta-ai)