Meta Platforms, société mère de Facebook, Instagram et WhatsApp, a fait appel d'un jugement de la Haute Cour de Lagos qui lui ordonnait de cesser de traiter illicitement les données personnelles des utilisateurs nigériens de Facebook et d'Instagram à des fins de publicité comportementale et de verser l'équivalent en nairas de 100 000 $ de dommages-intérêts.

La société a déposé sa déclaration d'appel le 30 septembre, cinq jours après que le juge A.F. Pokanu de la Haute Cour de Lagos, division judiciaire d'Ikorodu, a statué le 25 septembre que la collecte, le profilage et l'utilisation non consentis des données des utilisateurs pour la publicité ciblée violaient les droits à la vie privée protégés par la Constitution nigériane et le Nigeria Data Protection Act (NDPA) 2023, la principale loi nigériane sur la protection des données. L'appel porte désormais les questions de consentement, de publicité ciblée et de transferts transfrontaliers de données devant la Cour d'appel.

Le jugement et ses ordonnances

L'action a été introduite par les Incorporated Trustees of Laws and Rights Awareness Initiative et cinq demandeurs individuels. Le tribunal a ordonné à Meta de cesser le traitement illicite, de prendre des mesures correctives pour mettre ses opérations nigérianes de traitement de données en conformité avec le NDPA et de déposer une affidavit de conformité sous huit semaines. Il a également accordé aux demandeurs 100 000 $ de dommages-intérêts généraux, un million de nairas (753,20 $) de frais et des intérêts postérieurs au jugement.

L'appel déterminera si Meta peut considérer le profilage comportemental et la publicité ciblée comme des conditions nécessaires à la fourniture de Facebook et d'Instagram aux utilisateurs nigérians. L'enjeu est de savoir si les plateformes mondiales peuvent conditionner l'accès à des services gratuits de médias sociaux au suivi comportemental, ou si la loi nigériane exige une séparation plus claire entre l'accès à ces services et le consentement à l'utilisation des données personnelles à des fins publicitaires.

Pour les utilisateurs, l'issue pourrait déterminer le degré de contrôle des Nigérians sur les données personnelles qu'ils génèrent sur Facebook et Instagram. Si le jugement est confirmé, les utilisateurs pourraient davantage exiger un consentement éclairé avant que leur activité ne soit utilisée pour la publicité comportementale, tandis que Meta pourrait être tenue de modifier la manière dont elle traite et transfère leurs données. Si l'appel aboutit, Meta disposerait d'une plus grande marge pour s'appuyer sur ses conditions existantes et son modèle publicitaire.

La défense de Meta

Meta a fait valoir que Facebook et Instagram sont des services gratuits et personnalisés financés par la publicité, et que les utilisateurs acceptent les conditions et la politique de confidentialité de la société lors de leur inscription. Sa position est que le traitement des données des utilisateurs à des fins publicitaires fait partie de l'arrangement contractuel par lequel elle fournit ses services.

Le juge Pokanu a rejeté cette position. Le tribunal a jugé que la constitution de prof pour la publicité ciblée n'est pas automatiquement nécessaire à la fourniture d'un service de réseautage social du simple fait que la publicité finance le service. Il a constaté que la publicité comportementale est accessoire à Facebook et à Instagram plutôt qu'essentielle à leur fonctionnement. En d'autres termes, une plateforme ne peut rendre le traitement des données obligatoire simplement en l'inscrivant dans ses conditions d'utilisation si ce traitement n'est pas réellement requis pour fournir le service principal.

Le tribunal a également jugé qu'il incombait à Meta de prouver que les utilisateurs avaient donné un consentement valide chaque fois qu'elle se fondait sur le consentement comme base légale du traitement. Le consentement au profilage et à la publicité comportementale, a constaté le tribunal, ne pouvait pas simplement être intégré dans des conditions générales et standard que les utilisateurs doivent accepter pour accéder à Facebook ou à Instagram.

Le juge Pokanu a présenté le litige comme la question de savoir jusqu'où une entreprise technologique peut « observer, agréger, analyser, profiler et exploiter commercialement » le comportement en ligne d'un citoyen nigérian sans que celui-ci comprenne réellement, autorise ou puisse raisonnablement s'attendre à une telle utilisation. La décision a directement relié cette question au droit constitutionnel à la vie privée consacré par l'article 37 de la Constitution de 1999 ainsi qu'aux protections du NDPA. Le tribunal a estimé que le traitement, le profilage et l'utilisation non consentis des données des demandeurs pour la publicité comportementale violaient ces protections.

Les transferts transfrontaliers

Le tribunal a également examiné la gestion par Meta des données des utilisateurs nigériens hors du pays. Meta a fait valoir qu'elle ne dispose d'aucun centre de données au Nigeria et que les utilisateurs transfèrent effectivement eux-mêmes leurs informations à l'étranger lorsqu'ils accèdent à ses services. Le tribunal a rejeté ce raisonnement, estimant que les utilisateurs ne contrôlent pas où leurs données sont acheminées, stockées ou traitées.

En tant que responsable de traitement majeur — une partie qui détermine comment les données personnelles sont collectées et utilisées — Meta demeurait responsable du respect des garanties du NDPA relatives aux transferts internationaux de données, a jugé le tribunal. Il a constaté que les transferts transfrontaliers non autorisés des données des demandeurs violaient les articles 41 à 43 du NDPA et portaient atteinte à leurs droits à la vie privée.

Une affaire distincte des précédents différends réglementaires

L'affaire devant la Haute Cour se distingue des précédents conflits de Meta avec les régulateurs nigérians. En 2024, la Federal Competition and Consumer Protection Commission a infligé une amende de 220 millions de dollars à Meta et WhatsApp à la suite d'une enquête sur des allégations de violations des règles de protection des consommateurs, de confidentialité et de concurrence. Le Competition and Consumer Protection Tribunal a ensuite confirmé la sanction, y compris les directives relatives au consentement et au partage de données.

Les demandeurs dans l'affaire de Lagos se sont également appuyés en partie sur une action antérieure de la Nigeria Data Protection Commission contre Meta, qui comprenait des frais de mise en conformité de 32,8 millions de dollars. Ce différend a ensuite été résolu par un jugement.transactionnel (consent judgment), de sorte que le tribunal a examiné les demandes des requérants relatives à la vie privée de manière indépendante plutôt que de simplement donner effet à la décision réglementaire. Le tribunal a estimé que les demandeurs avaient présenté des preuves indépendantes de violations continues de la vie privée et a procédé à l'examen des questions constitutionnelles et légales sur base. Prises ensemble, ces procédures montrent que les opérations nigérianes de Meta font l'objet d'un examen attentif tant par les canaux de la concurrence et de la protection des consommateurs que par ceux de la protection des données, même si l'affaire de Lagos repose sur les propres demandes constitutionnelles et légales des requérants.

Les enjeux de l'appel

L'indemnité de 100 000 $ — bien inférieure aux 200 millions de dollars de dommages-intérêts généraux et exemplaires réclamés par les demandeurs — pourrait ne pas être l'élément le plus déterminant du jugement. L'enjeu le plus important est de savoir si une juridiction d'appel confirmera la conclusion selon laquelle Meta ne peut faire du profilage comportemental une condition d'accès à Facebook et à Instagram.

Si elle est confirmée, la décision pourrait établir qu'un modèle économique financé par la publicité ne rend pas en soi la publicité comportementale légalement nécessaire, et que des conditions d'utilisation générales ne constituent pas nécessairement un consentement valide et spécifique au profilage. Elle pourrait également renforcer le principe selon lequel les utilisateurs ne renoncent pas à leurs droits constitutionnels à la vie privée simplement en continuant d'utiliser une plateforme, et que ce sont les entreprises — et non les utilisateurs individuels — qui sont responsables du respect des règles nigérianes régissant les transferts internationaux de données.

Pour l'instant, la décision du 25 septembre demeure une décision de première instance. Les ordonnances de la Haute Cour étant au dossier — y compris l'affidavit de conformité sous huit semaines — et l'appel étant pendant, les prochaines étapes procédurales de l'affaire relèvent de la Cour d'appel, où le raisonnement de la décision sur la publicité comportementale, le consentement, la transparence et les transferts transfrontaliers de données sera examiné.