L'autorité espagnole de protection des données (AEPD) a publié une décision de classement d'une plainte contre Meta Platforms Ireland Limited, concernant l'utilisation de données personnelles pour l'entraînement de modèles d'intelligence artificielle. La plainte a été rejetée car l'entreprise a volontairement suspendu le traitement contesté avant sa mise en œuvre, conduisant l'autorité de contrôle chef de file irlandaise à conclure à l'absence d'infraction commise au moment de l'examen de la plainte.

Faits et contexte

L'autorité espagnole de protection des données (AEPD) a aujourd'hui publié une décision de classement d'une plainte à l'encontre de Meta Platforms Ireland Limited, concernant son projet d'utiliser les données personnelles de ses utilisateurs pour entraîner ses modèles d'intelligence artificielle.

L'affaire trouve son origine dans une plainte déposée le 23 mai 2024, suite à une notification de Meta annonçant une mise à jour de sa politique de confidentialité prévue pour le 26 juin 2024.

Motifs de la décision

S'agissant d'un traitement transfrontalier et le principal établissement de Meta étant en Irlande, la plainte a été transmise à l'autorité de contrôle irlandaise, agissant en tant qu'autorité chef de file. L'analyse de cette dernière, reprise par l'AEPD, a conduit au classement de la plainte pour les motifs suivants :

• Absence de manquement constaté : Le plaignant contestait la licéité du traitement envisagé, notamment le recours à l'intérêt légitime (article 6, paragraphe 1, point f) du RGPD), la clarté de l'information fournie et le respect de la protection des données dès la conception (article 25 du RGPD). Toutefois, suite à l'intervention de l'autorité de contrôle chef de file irlandaise, Meta a volontairement accepté de suspendre le déploiement de sa nouvelle politique de confidentialité et de ne pas utiliser les données des utilisateurs de l'Union européenne et de l'Espace économique européen pour l'entraînement de ses modèles. L'autorité a donc conclu que le traitement de données contesté n'avait pas eu lieu et que, par conséquent, aucune infraction au RGPD n'était constituée au moment de l'examen de la plainte, justifiant son rejet en application de l'article 57, paragraphe 1, point f) du RGPD.

Décision de l'autorité

En conséquence, l'autorité a déclaré la plainte irrecevable et a prononcé le classement de la procédure.

Enseignements

Cette décision précise que :

• La suspension volontaire d'un traitement de données envisagé, avant sa mise en œuvre, peut conduire une autorité de contrôle à conclure à l'absence d'infraction et à classer la plainte s'y rapportant.
• Un classement de plainte fondé sur l'absence de traitement effectif ne constitue pas une validation de la base juridique ou des modalités du traitement qui était initialement prévu.
• L'autorité de contrôle chef de file peut décider de rejeter une plainte, mais la décision formelle de classement est adoptée et notifiée par l'autorité auprès de laquelle la plainte a été initialement déposée, conformément au mécanisme de coopération de l'article 60 du RGPD.
• La question de la base juridique appropriée pour l'entraînement de modèles d'intelligence artificielle à partir de données personnelles d'utilisateurs reste un sujet d'attention majeur pour les autorités, le présent classement n'épuisant pas le débat sur le fond.