Le 14 juillet 2023, l’Autorité norvégienne de protection des données (« DPA ») a ordonné à Meta Platforms Ireland Limited et Facebook Norway AS (conjointement, « Meta ») de cesser temporairement le traitement des données personnelles des personnes concernées en Norvège dans le but de cibler les publicités sur la base du « comportement observé », en s’appuyant soit sur la base juridique de la nécessité contractuelle (article 6(1)b)) soit sur la base juridique des intérêts légitimes (article 6(1)(f)) du RGPD.
L’adoption de ces mesures provisoires par l’APD norvégienne fait suite à la récente décision de l’APD irlandaise sur la publicité contextuelle de Meta et à la décision de la Cour de justice de l’Union européenne dans l’affaire meta contre Office fédéral des cartels (Office fédéral des cartels, Allemagne).
L’APD norvégienne a exprimé des inquiétudes quant à savoir si l’utilisation des intérêts légitimes ou des bases juridiques de la nécessité contractuelle par Meta dans le cadre de la publicité comportementale est conforme au RGPD. Comme indiqué ci-dessus, l’ordonnance de la DPA norvégienne ne couvre que la publicité ciblée basée sur le « comportement observé ». En conséquence, cela n’empêche pas Meta de traiter des données personnelles à des fins publicitaires, ni ne limite la publicité ou le ciblage des publicités, sur la base des informations que les personnes concernées ont fournies via leur profil Facebook ou si elles ont donné leur consentement. L’ordonnance « n’interdit en aucune manière à Meta d’offrir [its services] en Norvège. »
Les mesures provisoires ont été adoptées conformément à la procédure d’urgence du RGPD (article 66, paragraphe 1, du RGPD) et s’appliqueront du 4 août 2023 au 3 novembre 2023. L’ordonnance peut être levée avant cette date si Meta est en mesure de mettre en œuvre des mesures répondant aux préoccupations de l’APD norvégienne. L’APD norvégienne a également demandé au comité européen de la protection des données de rendre une décision urgente et contraignante à ce sujet, conformément à l’article 66, paragraphe 2, du RGPD.
Lire la décision de l’APD norvégienne.