NOYB

En 2013, Max Schrems a déposé une plainte auprès de la Commission irlandaise de protection des données (Data Protection Commissioner, en bref DPC) concernant l'accord Safe Harbor entre l'UE et les États-Unis.

Par la décision dite "Safe Harbor", la Cour de justice de l'Union européenne (CJUE) a déclaré invalide l'accord Safe Harbor sur le transfert de données.

Lorsque l'affaire a été renvoyée au DPC en 2016, l'autorité de régulation irlandaise a constaté que Facebook s'était effectivement appuyé sur les clauses standard et non sur le Safe Harbor déclaré invalide. Le DPC a alors constaté que M. Schrems avait également des préoccupations "raisonnables" après avoir utilisé ces instruments[1].

Cependant, au lieu de prendre des mesures contre Facebook, il a engagé une procédure contre Max Schrems et Facebook devant la Haute Cour irlandaise. L'affaire a finalement été renvoyée à la CJUE dans l'affaire C-311/18 (dite "Schrems II").

NOYB et la Quadrature du Net ont soutenu cette affaire prétendument privée de Max Schrems[2].

Après l'entrée en vigueur des règles du Règlement général sur la protection des données le 25 mai 2018, NOYB a déposé des plaintes contre Facebook et ses filiales WhatsApp et Instagram, ainsi que contre Google LLC (ciblant Android), pour avoir prétendument violé § 7, paragraphe 4, en tentant de bloquer complètement l'utilisation de leurs services si les utilisateurs refusent d'accepter tous les consentements au traitement des données, dans le cadre d'une subvention groupée qui comprend également les consentements jugés inutiles pour utiliser le service[3] - [4].

En 2020, noyb a déposé des plaintes auprès des autorités allemandes et espagnoles de protection des données, affirmant que Apple’s Identifier for Advertisers (l'identifiant Apple pour les annonceurs) permet à Apple et à toutes les applications sur le téléphone de suivre un utilisateur et de combiner des informations sur le comportement en ligne et mobile[5] - [6].

Dans un léger changement par rapport à leur stratégie juridique précédente dans d'autres cas similaires, noyb note que, parce que la plainte est basée sur l'article 5(3) de la directive e-Privacy et non sur le GDPR, les autorités espagnoles et allemandes peuvent directement infliger une amende à Apple, sans faire appel aux autorités de protection des données de l'UE en vertu du GDPR.

En avril 2021, noyb a déposé une plainte en France accusant les utilisateurs d'Android d'être suivis par Google sans leur consentement.

"Le logiciel de Google crée le DAAA à l'insu de l'utilisateur et sans son consentement. Ce numéro d'identification fonctionne comme une plaque d'immatriculation qui identifie de manière unique le téléphone d'un utilisateur et peut être partagé entre les entreprises. Après sa création, Google et des tiers (par exemple, des fournisseurs d'applications et des annonceurs) peuvent accéder à l'AAID pour suivre le comportement des utilisateurs, élaborer des préférences de consommation et fournir des publicités personnalisées."

La CNIL constate que les données des internautes [collectées par cet Google Analytics] sont transférées vers les Etats-Unis en violation des articles 44 et suivants du RGPD, relève l’institution chargée de la protection des données personnelles en France. Elle met donc en demeure le gestionnaire de site de mettre en conformité ces traitements avec le RGPD, si nécessaire en cessant d’avoir recours à la fonctionnalité Google Analytics.

La CNIL fonde sa décision sur l'arrêt Schrems II de juillet 2020, qui considère que tout transfert de données à caractère personnel de l'Europe vers les États-Unis pose un problème au regard du droit européen[7].