Rendre le contrôle aux ressortissants européens sur leurs données personnelles est l'une des priorités du RGPD (Règlement Général sur la Protection des Données).
Une attention légitime dans une économie globalisée. (La donnée personnelle en est la principale ressource.) En pratique, l’application de la réglementation européenne est beaucoup plus délicate.
En effet, difficile pour un particulier de se frotter aux géants du web (comme Google et Facebook) au service juridique ultra puissant. C'est un peu David contre Goliath.
- Des ressortissants européens peu informés ;
- des internautes dans l'incapacité d’exercer véritablement leurs droits ;
- une absence d'association de protection de la vie privée ;
- des entreprises aux pratiques parfois douteuses...
Une situation intolérable pour l'activiste et juriste autrichien défenseur de la vie privée : Max Schrems.
Le 12 juin 2017, il fonde l'association à but non lucratif NOYB ("none of your business"), opérationnelle depuis le 1er février 2018.
Bien plus qu'un nom, un fil rouge qui guide chacune de ses actions. L'association s'attache à défendre les droits privés des consommateurs en :
- analysant les pratiques suspectes des entreprises commerciales ;
- coopérant avec d'autres ONG du secteur privé ;
- veillant à l'application du RGPD grâce à des actions en justice "coup de poing" ;
- aidant les entreprises à se mettre en conformité.
NOYB a déposé ses premières plaintes le 25 mai 2018, jour d'entrée en application du RGPD. Depuis, l'association a porté, représenté ou accompagné plus de 800 plaintes devant les autorités de protection des données, et des dizaines d'actions devant les juridictions nationales et européennes. Leurs cibles privilégiées : les géants du web, pour une exposition médiatique maximale.
Leto vous présente ici les actions passées et les projets actuels de l'association.
NOYB : les actions en justice passées
Bouger les lignes de la jurisprudence européenne, c'est le créneau de Max Schrems.
Pour des actions à portée mondiale, il n'existe qu'un seul moyen : s'attaquer aux puissants.
Dans son collimateur :
- Facebook (Meta) ;
- Google ;
- Apple.
Max Schrems contre Facebook : les arrêts Schrems I et Schrems II
Safe Harbor : l'arrêt Schrems I (2015)
Tout commence en 2013, avant même la création de NOYB. À la suite des révélations d'Edward Snowden sur les programmes de surveillance de la NSA, Max Schrems, utilisateur de Facebook depuis 2008, dépose une plainte auprès de l'autorité de contrôle irlandaise. Il conteste le transfert de ses données par Facebook Ireland vers des serveurs situés aux États-Unis.
À l'époque, ces transferts reposent sur le Safe Harbor ("sphère de sécurité"), une décision d'adéquation de la Commission européenne du 26 juillet 2000 (décision 2000/520/CE). L'autorité irlandaise rejette la plainte en s'appuyant précisément sur cette décision.
Saisie par la High Court irlandaise, la Cour de justice de l'Union européenne (CJUE) invalide le Safe Harbor par l'arrêt Schrems I du 6 octobre 2015 (affaire C-362/14). Elle précise au passage qu'une autorité de contrôle saisie d'une plainte peut examiner un transfert, même lorsqu'il est couvert par une décision d'adéquation de la Commission.
Privacy Shield : l'arrêt Schrems II (2020)
Après Schrems I, Facebook transfère les données sur la base de clauses contractuelles types (décision 2010/87/UE). L'autorité irlandaise invite Max Schrems à reformuler sa plainte, puis saisit elle-même la High Court, qui interroge à nouveau la CJUE. Entre-temps, la Commission adopte un nouveau cadre, le Privacy Shield (décision (UE) 2016/1250).
16 juillet 2020 : le coup d'éclat. Par l'arrêt Schrems II (affaire C-311/18), la CJUE invalide le Privacy Shield, la décision d'adéquation qui encadrait les transferts de données vers les États-Unis. Les États-Unis perdent leur décision d'adéquation.
Pour la Cour, les lois de surveillance américaines (comme la section 702 du FISA, Foreign Intelligence Surveillance Act) ne garantissent pas un niveau de protection essentiellement équivalent à celui de l'Union. Données et droits des ressortissants européens sont menacés.
Les clauses contractuelles types restent valides, mais elles ne suffisent plus à elles seules : l'exportateur de données doit vérifier que le droit du pays de destination permet de les respecter, et adopter si besoin des mesures supplémentaires.
1,2 milliard d'euros d'amende pour Meta (2023)
Dernier épisode de la plainte de 2013 : le 22 mai 2023, l'autorité irlandaise (Data Protection Commission) annonce sa décision du 12 mai 2023, prise sur la base d'une décision contraignante de l'EDPB du 13 avril 2023. Meta Ireland écope d'une amende de 1,2 milliard d'euros pour avoir poursuivi ses transferts vers les États-Unis sur la base de clauses contractuelles types après l'arrêt Schrems II, en violation de l'article 46, paragraphe 1, du RGPD. Elle doit aussi suspendre ces transferts.
NOYB : les actions contre Google
Google et le consentement forcé
25 mai 2018 : NOYB fête l'entrée en application du RGPD en déposant quatre plaintes pour "consentement forcé", contre Google (Android), Instagram, WhatsApp et Facebook. L'association invoque notamment l'article 7 du RGPD.
Pour accéder à l'ensemble des services de la firme de Mountain View, les internautes doivent accepter tous les traitements de données imposés par la firme américaine.
En France, la Commission nationale de l'informatique et des libertés (CNIL) est saisie par NOYB et par La Quadrature du Net en mai 2018. Le 21 janvier 2019, sa formation restreinte sanctionne Google LLC pour manque de transparence, information insatisfaisante et absence de consentement valable pour la personnalisation de la publicité (délibération SAN-2019-001).
Montant de l'amende : 50 millions d'euros.
Google Analytics : 101 plaintes après Schrems II
17 août 2020, un mois après l'arrêt Schrems II : NOYB dépose 101 plaintes, dans les 30 États de l'Union européenne et de l'Espace économique européen, contre des sites qui continuent d'utiliser Google Analytics ou Facebook Connect et transfèrent ainsi les données de leurs visiteurs vers les États-Unis. Les plaintes visent aussi Google et Facebook, en tant qu'importateurs des données.
Les autorités de contrôle se coordonnent au sein d'une task force du Comité européen de la protection des données (EDPB).
Première décision : l'autorité autrichienne de protection des données (Datenschutzbehörde, DSB) juge que l'utilisation continue de Google Analytics par le site de santé netdoktor.at viole le RGPD. La décision est rendue publique par NOYB le 13 janvier 2022. C'est une autorité administrative, et non un tribunal, qui a tranché.
Une décision importante pour tous les sites internet européens. Google Analytics est l'outil d'analyses de trafic le plus populaire.
L'identifiant publicitaire Android
Avril 2021 : NOYB saisit la CNIL contre Google. L'identifiant publicitaire d'Android (AAID) est installé sur les téléphones sans le consentement des utilisateurs, alors qu'il permet à Google et aux applications de suivre leur comportement à des fins publicitaires.
Pour NOYB, ce traceur obéit aux mêmes règles que les cookies : pas de dépôt sans consentement préalable.
NOYB : l'identifiant d'Apple
16 novembre 2020 : NOYB dépose deux plaintes, l'une auprès de l'autorité de protection des données de Berlin, l'autre en Espagne.
L'organisation NOYB reproche à Apple de suivre et d'analyser le comportement des utilisateurs d'iPhone grâce à l'IDFA (un identifiant d'Apple pour les annonceurs), installé sans leur consentement.
Depuis 2023 : le Data Privacy Framework et les nouveaux fronts de NOYB
Le Data Privacy Framework, troisième cadre transatlantique
Le 10 juillet 2023, la Commission européenne adopte une nouvelle décision d'adéquation pour les États-Unis : le Data Privacy Framework (décision d'exécution (UE) 2023/1795). Il couvre les transferts vers les organisations américaines certifiées.
Le cadre est contesté. Le 3 septembre 2025, le Tribunal de l'Union européenne rejette le recours en annulation du député français Philippe Latombe (arrêt Latombe/Commission, affaire T-553/23). M. Latombe a formé un pourvoi devant la Cour de justice le 31 octobre 2025 (affaire C-703/25 P).
Pour un DPO, la leçon des arrêts Schrems est opérationnelle : documenter chaque transfert vers les États-Unis (fondement juridique, certification du fournisseur au Data Privacy Framework, clauses contractuelles types en repli), pour pouvoir basculer vite si le cadre tombe à nouveau.
"Pay or okay" et intelligence artificielle
28 novembre 2023 : NOYB saisit l'autorité autrichienne contre Meta. Depuis novembre 2023, les utilisateurs européens de Facebook et d'Instagram doivent choisir entre accepter le suivi publicitaire ou payer un abonnement. Pour NOYB, ce modèle "pay or okay" ne permet pas un consentement libre.
29 avril 2024 : NOYB dépose une plainte contre OpenAI auprès de la même autorité. ChatGPT produit des informations fausses sur des personnes, et OpenAI indique ne pas pouvoir les corriger, alors que le RGPD impose l'exactitude des données et un droit d'accès effectif.
NOYB : les projets d'aujourd'hui
Soucieuse de préserver la vie privée des ressortissants européens, l’association NOYB surveille étroitement les pratiques commerciales du secteur privé. Un combat mené sur plusieurs fronts.
Par ses actions, l’organisation souhaite :
- permettre aux utilisateurs de smartphones de supprimer les traceurs importés lors des téléchargements d'applications (projet de lutte contre les identifiants publicitaires) ;
- conditionner l'utilisation des bannières cookies aux consentements des internautes ;
- encadrer le crédit scoring (l'attribution d'un prêt selon une note de solvabilité) ;
- renforcer le droit à la portabilité des données et expliciter ses conditions techniques (la transmission de données personnelles à une autre entreprise reste une tâche délicate par manque d'un format standard) ;
- s'assurer de la conformité des traitements de données sensibles (sexe, origine ethnique...) réalisés par les applications de rencontres ;
- veiller à la sécurisation des données personnelles lors des envois d'e-mails (avec des techniques de chiffrement) ;
- lutter contre la collecte abusive de données dans le secteur privé et imposer le principe de la minimisation ;
- combattre les consentements forcés ;
- faciliter l'exercice du droit de rectification (permettre aux utilisateurs de modifier leurs données sur un site web facilement) ;
- faciliter l'exercice du droit d'accès (permettre aux utilisateurs des services de streaming d'obtenir simplement une copie exhaustive des informations détenues).
NOYB : un acteur majeur du droit européen
Vous en savez désormais un peu plus sur l'association NOYB. Par ses actions, l'organisation de Max Schrems joue un rôle primordial dans l'application du RGPD et la protection des libertés individuelles des ressortissants européens.
Des interrogations subsistent sur votre conformité RGPD ? Le logiciel RGPD Leto vous accompagne à chaque étape. Réserver une démo avec nos experts.
