La NBA tente de rejeter une poursuite sur les cookies Facebook et les données personnelles.

Cette semaine, la NBA a demandé le rejet d’une plainte modifiée déposée par un homme de Californie, qui accuse la ligue d’avoir enfreint la loi fédérale sur la protection de la vie privée en matière de vidéos (VPPA). En se connectant à Facebook et en regardant des vidéos sur NBA.com en 2022, l’ID Facebook de Michael Salazar, un identifiant numérique généré par Facebook, a été transmis via un cookie de Facebook, accompagné des titres des vidéos NBA.com qu’il avait visionnées.

Cette demande a été déposée devant le district sud de New York, où il y a deux ans, la juge américaine Jennifer L. Rochon avait rejeté la poursuite de Salazar. Rochon avait estimé que la plainte de Salazar ne pouvait pas avancer car il n’était pas considéré comme un « consommateur » au sens de la VPPA, loi signée par le président Ronald Reagan en 1988, qui interdit à un fournisseur de services de vidéos de divulguer sciemment les informations personnelles d’un consommateur. La juge avait conclu que l’abonnement gratuit et numérique de Salazar à NBA.com ne faisait pas de lui un consommateur de biens ou de services aux fins de la VPPA.

Cependant, en octobre dernier, la Cour d’Appel des États-Unis pour le deuxième circuit a annulé le rejet de Rochon et a renvoyé l’affaire pour de nouvelles procédures. Cette cour a affirmé que Salazar avait suffisamment plaidé qu’il était un consommateur au sens de la VPPA. Le deuxième circuit a soutenu qu’en s’abonnant à la newsletter de NBA.com, Salazar avait consenti à partager son adresse e-mail, son adresse IP et d’autres informations personnelles dans le cadre d’une transaction qui peut être comprise comme une activité de consommateur.

La NBA affirme que le raisonnement du deuxième circuit ne s’aligne pas avec la manière dont d’autres tribunaux américains ont interprété la définition de « consommateur » selon la VPPA. La ligue est en train de demander un examen par la Cour Suprême des États-Unis. Si la Cour Suprême accepte d’examiner cette affaire, celle-ci pourrait dépendre de l’application d’un texte élaboré bien avant l’émergence de Facebook et de la navigation sur Internet dans un contexte en ligne.

La nouvelle motion de la NBA vise ce que la ligue considère comme des « raisons indépendantes » pour rejeter l’affaire.

Une des raisons est que Salazar n’affirme pas que la NBA possédait, encore moins divulguait, son ID Facebook. La NBA soutient que la plainte de Salazar « confirme » que son propre navigateur, et non NBA.com, a transmis son ID ainsi que son historique de visionnage. Cette transmission a eu lieu via un cookie Facebook que, selon la ligue, « la NBA ne peut pas contrôler, lire ou même accéder ». La NBA rappelle également que Salazar aurait pu supprimer le cookie pour éviter le partage des informations.

Pour la ligue, l’affaire de Salazar dépasse largement ce que les membres du Congrès des années 1980 avaient en tête avec la VPPA. L’origine de cette législation découle d’un scandale : un journal avait publié l’historique de location de vidéos jugé peu flatteur de Robert Bork, candidat à la Cour Suprême des États-Unis, pendant ses audiences de confirmation. La loi a été adoptée en 1988, un an après ces audiences. (Le Sénat avait rejeté la nomination de Bork en 1987, la dernière fois qu’un candidat à la Cour Suprême a été battu lors d’un vote à bulletin secret, même si la liste de vidéos n’a pas été considérée comme un facteur déterminant.)

La NBA précise aussi que même dans un scénario où elle aurait divulgué les informations personnelles identifiables de Salazar—ce que la ligue soutient n’est jamais arrivé—le cas ne devrait pas être pris en compte car la ligue n’aurait pas effectué de divulgations en connaissance de cause. Le terme « en connaissance de cause » est essentiel pour qu’une réclamation au titre de la VPPA soit valide. La NBA assure que Salazar n’allègue pas que la ligue savait, contrôlait ou avait accès aux données qui pourraient exister dans un cookie de Facebook.

Par ailleurs, alors que Salazar souhaite que son affaire soit certifiée comme une action collective au nom des Américains qui, en accédant à NBA.com, ont vu leurs informations personnelles de visionnage divulguées à Meta, il a accepté sans réserve les conditions d’utilisation de la NBA. Ces conditions contiennent une disposition relative à la renonciation à une action collective, que la NBA affirme être « claire, sans ambiguïté et exécutoire ».

Les avocats Hilary L. Preston et Matthew X. Etchemendy de Vinson & Elkins représentent la NBA dans ce dépôt judiciaire. Les avocats de Salazar auront l’occasion de tenter de réfuter les arguments de la ligue dans un mémoire en opposition à la motion de la NBA.

L’affaire Salazar c. NBA pourrait établir un précédent important pour les ligues sportives alors qu’elles promeuvent des vidéos et d’autres contenus et utilisent des newsletters numériques gratuites pour engager leurs fans. Dans la mesure où des cookies échappant au contrôle des ligues entraînent des poursuites, celles-ci pourraient revoir la conception de leurs pages et leur interaction avec les cookies.

Comme mentionné précédemment, cette affaire se déroule alors que d’autres tribunaux examinent comment interpréter le terme « consommateur » en lien avec les activités en ligne dans le cadre des réclamations VPPA ; la NBA affirme que l’interprétation du deuxième circuit est en désaccord avec « plus de deux douzaines de décisions de tribunaux de district à travers le pays ».

Salazar c. NBA constitue également un cas intéressant en matière de protection des données, étant donné que Meta a reçu des données dans cette affaire, tandis que dans d’autres controverses juridiques, notamment le scandale Cambridge Analytica, Meta a été accusé d’avoir permis à d’autres de collecter des données.

Jason Clinkscales a contribué à cet article.