En 2020 une décision de l’autorité de protection néerlandaise (Autoriteit Persoonsgegevens) venait sanctionner la société de diffusion Voetbal TV pour violation des règles de protection des données personnelles. A ce titre l'Autorité avait décidé que le diffuseur devait payer une somme de 575 000 euros entrainant la faillite et le dépôt de bilan de l'organisation.
Éléments de contexte
VoetbalTV est une plateforme vidéo destinée au football amateur. Elle réalise des enregistrements vidéo de matchs de football amateur pour le compte de clubs de football et permet à ses membres d'interagir et de partager des informations via une application.
Cependant le fait que des enfants et des adultes soient automatiquement filmés pendant les activités sportives constitue un traitement de leurs données personnelles nécessitant donc d’être fondé sur une des base légales de l’article 6 du RGPD.
L'autorité néerlandaise s'est donc saisie de l'affaire et a estimé, le 16 juillet 2020, que les enregistrements vidéo de VoetbalTV et leur distribution et traitement ultérieurs par des outils d'analyse constituaient une violation de l'article 6 du RGPD.
Décision de l'autorité de contrôle néerlandaise : une interprétation stricte de la notion d’intérêt légitime
Pour Voetbal TV, ces traitements étaient basés sur l'intérêt légitime pour la défense de ses intérêts commerciaux ; ce à quoi l’autorité néerlandaise de protection des données a répondu en adoptant une position restrictive sur la portée de l’intérêt légitime, en affirmant que les intérêts purement commerciaux ne peuvent jamais constituer un intérêt légitime.
En effet, la position de l'autorité néerlandaise est qu'un intérêt légitime est un intérêt qui est désigné comme un intérêt légal dans la législation générale.
Il doit donc s'agir d'un intérêt
- qui est protégé par la loi,
- qui est considéré comme digne de protection
- et qui, en principe, doit être respecté et exécuté.
Ainsi pour qu'un intérêt puisse être qualifié d'intérêt légitime, il doit avoir un caractère plus ou moins urgent et spécifique et il doit, dans un certain sens, être inévitable pour que ces intérêts légitimes soient servis.
Pour l’autorité, les intérêts purement commerciaux et les intérêts liés à la maximisation du profit ne sont pas suffisamment spécifiques et ne possèdent pas de caractère juridique urgent.
Elle aurait du fonder son traitement sur un autre fondement, tel que le consentement.
C’est donc à ce titre que la société a été condamnée à verser une amende de 575 000 par l’autorité de protection des données.
Cette position de l'autorité fut extrêmement controversée et critique. La sociéte Voetbal s'est engagé dans une bataille juridique pour tenter de faire fléchir la position trop stricte de l'autorité. Un premier jugement est venu infléchir cette position.
Cette conception problématique de l'autorité a également poussé la Commission européenne, garante des traités et du fonctionnement du droit de l'UE, à faire parvenir par une lettre ses inquiétudes quant à l'interprétation de la base légale des intérêts légitimes par l'autorité néerlandaise de protection des données, considérant qu'elle n'est pas conforme au RGPD, aux lignes directrices du groupe de travail Article 29/EDPB ainsi qu'à la jurisprudence de la Cour de justice de l'Union européenne.
Et le dénouement de cette saga jurisprudentielle intervient le 27 juillet 2022 avec un arrêt du Conseil d'État néerlandais qui va venir annuler l'amende prononcée par l'autorité de protection néerlandaise.
La remise en cause de l'analyse restrictive de l'autorité de protection des données par le Conseil d'état néerlandais
Les interrogations auxquelles étaient confrontées la division de la juridiction administrative étaient doubles .
Il s’agissait d’abord de savoir si l'intérêt légitime doit découler ou non d'une disposition légale et si un intérêt purement commercial peut constituer un intérêt légitime ?
Mais plus largement il s'agissait également de préciser le rôle et les méthodes des autorités de contrôle qui de part leurs décisions parfois trop stricte et non alignés sur les jurisprudences étrangères constituent un frein au développement et à la vie économique des entreprises.
En effet, il est important de préciser que l'amende ainsi que le coût des diverses procédures ont entraîné la mort de l'organisation Voetbal TV. Car l’entreprise a décidé de déposer le bilan parce qu'elle était « épuisée par une confrontation prolongée avec l’autorité de protection de la vie privée du pays qui les a empêchés de faire des affaires pendant près de deux ans »
L'annulation de l'amende
La question centrale au cœur du jugement du Conseil d’état néerlandais était donc de savoir ce qui constitue exactement un intérêt légitime et dans quelles conditions le traitement des données à caractère personnel à cette fin est licite.
La Division de la juridiction administrative est d'avis qu'il appartient à l'organisation qui traite les données à caractère personnel d'indiquer quels sont ses intérêts et pourquoi le traitement de ces données est nécessaire à cette fin.
Et que précisément la mission de l’autorité est d'ensuite évaluer si l’action de l'organisation correspond aux intérêts déclarés et si ces intérêts sont justifiés et servis par le traitement des données.
L'autorité néerlandaise de protection des données aurait donc dû effectuer un test de mise en balance afin de confronter les intérêts poursuivis par VoetbalTV et les intérêts ou les droits et libertés fondamentaux des personnes concernées.
De plus, l’AP n'a pas inclus, à tort, tous les intérêts que VoetbalTV a mis en avant dans son évaluation . Si l'AP l'avait fait, l'autorité aurait dû arriver à la conclusion que VoetbalTV n'a pas seulement un intérêt commercial à réaliser des images de matchs de football.
Puisque dans son évaluation l’organisme avait précisé que son intérêt dans le traitement des données résidait également dans :
- l'augmentation de l'implication et du plaisir des fans de football, y compris celui des joueurs qui sont représentés sur l'image,
- la possibilité d'effectuer des analyses techniques pour/par les entraîneurs et/ou analystes des clubs de football et des tiers
- et l'offre aux joueurs, aux amis et aux membres de la famille, entre autres, de la possibilité de regarder ou de revoir les matchs à distance, par exemple s'ils ne peuvent pas être physiquement présents.
Ici ce qui entraine donc ce revirement de jurisprudence n’est donc pas la question de la qualification d’un intérêt commercial comme intérêt légitime ou non. Mais bien la non-évaluation par l’autorité des intérêts revendiqués par l’organisation.
De plus l'autorité n'a pas non plus évalué si le traitement des données à caractère personnel était nécessaire et aucune considération n'a été donnée aux intérêts des parties . Pour cette raison, l'amende a donc été imposée à tort. Cela signifie que VoetbalTV ne doit pas payer l'amende.
Plusieurs éléments à retenir
- Tout d’abord l’importance pour les organismes d’évaluer précisément les intérêts légitimes si ces derniers constituent la base légale au traitement de données.
En effet ces évaluations ne sont pas simplement un soutien à la définition de la base légale mais une procédure nécessaire permettant de garantir effectivement la licéité du traitement et donc la vie de l’entreprise.
Evaluer les intérêts légitimes avec Dastra ? Cliquez ici !
Mais également ce revirement symbolise une sanction contre les exégèses trop restrictives de certaines autorités de protection des données. En effet ces dernières de par leurs interprétations allant parfois au delà des exigences réelles du RGPD peuvent freiner le développement économique de jeunes entreprises et mettre à mal le principe fondamental de liberté d'entreprise.
Enfin, ce jugement permet aussi de se focaliser sur la question des interprétations discordantes entre les différentes autorités nationales. En effet l'absence de position uniforme sur des sujets aussi importants que l’intérêt légitime pose des problématiques importantes quant à la sécurité juridique des organisations européennes.