Après plus de six ans et demi de bataille juridique, l’autorité autrichienne de protection des données (DSB) a finalement tranché en faveur de noyb, l’organisation fondée par l’avocat Max Schrems. YouTube est désormais contraint de respecter pleinement le droit d’accès prévu par le RGPD et de fournir à un utilisateur l’ensemble des données le concernant, sous peine de sanctions financières substantielles.
Le droit d’accès, pilier du RGPD
L’article 15 du Règlement général sur la protection des données (RGPD) garantit aux citoyens européens un droit fondamental : accéder à leurs données personnelles détenues par un responsable de traitement. Concrètement, ce droit permet de :
- Obtenir une copie des données enregistrées
- Prendre connaissance des finalités de la collecte
- Savoir à quels tiers ces données ont été communiquées
- Connaître la durée de conservation prévue
- Exercer les droits de rectification, d’effacement ou d’opposition
Ce dispositif vise à instaurer une relation de confiance entre les utilisateurs et les plateformes, en assurant une transparence totale sur l’usage des données personnelles.
Une plainte multipartite déposée en janvier 2019
Le 18 janvier 2019, noyb a saisi l’autorité autrichienne au nom de dix utilisateurs, visant huit services de streaming majeurs : YouTube, Amazon, Apple, DAZN, Flimmit, Netflix, SoundCloud et Spotify. L’objet de la plainte portait sur la non-réponse ou la réponse partielle aux demandes d’accès :
- Certaines plateformes, comme DAZN et SoundCloud, n’ont jamais répondu
- D’autres, dont YouTube, ont fourni des données incomplètes ou difficilement exploitables
- Aucune n’avait respecté l’obligation de remise d’une copie claire et exhaustive
Face à ce déni de droit, noyb a engagé plusieurs procédures parallèles, cherchant à établir un précédent décisif pour l’ensemble de l’écosystème numérique européen.
Le verdict autrichien : YouTube sommée de se conformer
Après des échanges de courriers et une instruction approfondie, le 7 août 2025, le Bundesverwaltungsgericht (Cour administrative fédérale) a confirmé la régularité de la compétence autrichienne et a donné raison à noyb pour le cas de YouTube. La plateforme de Google doit désormais :
- Fournir intégralement la copie des données personnelles de l’utilisateur concerné
- Indiquer la durée de conservation pour chaque catégorie de données
- Préciser les destinataires extérieurs ayant eu accès aux données
- Dévoiler les finalités précises de chaque traitement
YouTube disposera de quatre semaines pour satisfaire à cet ordre, sous peine de se voir infliger une amende pouvant atteindre 20 millions d’euros ou 4 % de son chiffre d’affaires mondial annuel.
Objections de YouTube et enjeux de compétence
YouTube avait initialement contesté la recevabilité de la plainte, arguant que :
- La demande d’accès présentait des lacunes formelles
- Le litige relevait de la compétence de l’autorité irlandaise, où se situe la filiale européenne de Google
La Cour administrative fédérale autrichienne a néanmoins estimé que la demande portait sur des usagers établis en Autriche, justifiant l’intervention locale du régulateur. Cette décision renforce le principe selon lequel tout État membre peut agir pour protéger les droits de ses ressortissants, même si la société est juridiquement domiciliée ailleurs dans l’Union.
Conséquences pour les plateformes de streaming
Ce précédent jette une lumière crue sur les pratiques de plusieurs acteurs du numérique. Il leur impose :
- De revoir leurs procédures internes de gestion des demandes d’accès RGPD
- D’améliorer la lisibilité et la complétude des informations fournies
- De réduire les délais de réponse, souvent supérieurs aux un mois légaux
- De renforcer la formation des équipes en charge de la protection des données
Faute de quoi, elles s’exposent à des litiges similaires et à des sanctions encore plus lourdes devant d’autres autorités nationales.
Impact pour les utilisateurs et bonnes pratiques
Pour les internautes, cette victoire de noyb est une garantie de transparence accrue. Néanmoins, plusieurs recommandations s’imposent :
- Formuler ses demandes d’accès en citant explicitement l’article 15 du RGPD
- Vérifier périodiquement l’état de ses droits et le solde de ses traitements
- Conserver la preuve de dépôt de sa requête et de la date de réception par le service concerné
- Faire appel à une autorité de contrôle ou à une association de défense des droits si nécessaire
Cette décision renforce l’idée que le citoyen dispose d’outils juridiques efficaces pour faire valoir ses droits, à condition d’en maîtriser les mécanismes.
Vers un renforcement de la transparence numérique
Alors que le paysage réglementaire européen continue d’évoluer (Digital Services Act, ePrivacy, etc.), la victoire de noyb contre YouTube marque un tournant. Elle illustre la détermination des autorités de contrôle à faire respecter les principes de vie privée et de transparence, et elle envoie un signal fort à toutes les plateformes : le droit d’accès n’est pas un simple gadget juridique, mais une obligation de première importance.