CJUE : les ent­re­pri­ses sont con­join­te­ment respons­ables avec Facebook

Con­tex­te de l’ar­rêt ren­du hier par la CJCE (Affai­re n. C‑210/16) était une injonc­tion du “Cent­re régio­nal indé­pen­dant pour la pro­tec­tion des don­nées du Schles­wig-Hol­stein” (ULD) cont­re l’ex­plo­itant d’u­ne page fan par la Wirt­schafts­aka­de­mie Schles­wig-Hol­stein GmbH. Le site ULD a justi­fié les inter­dic­tions par le fait que Face­book com­met­tait des vio­la­ti­ons de la pro­tec­tion des don­nées et que les explo­itants de pages Face­book en étai­ent coresponsables.

Face­book place des coo­kies sur les ter­minaux des visi­teurs des pages con­cer­nées et coll­ec­te leur code uti­li­sa­teur, qui peut être lié à leurs don­nées de con­ne­xi­on Face­book. Face­book trans­met aux explo­itants du site des don­nées sta­ti­sti­ques anony­mes con­cer­nant les uti­li­sa­teurs de ces pages.

La CJUE a recon­nu que l’ex­plo­itant d’u­ne page Face­book était responsable, con­join­te­ment avec Face­book, du trai­te­ment des don­nées à carac­tère per­son­nel des visi­teurs de sa page. En effet, l’ex­plo­itant déter­mi­ne, par son para­mé­tra­ge, les fina­li­tés et les moy­ens du trai­te­ment des don­nées per­son­nel­les des visi­teurs de son site :

36 Dans ce cad­re, il res­sort des élé­ments sou­mis à la Cour que la créa­ti­on d’u­ne page fan sur Face­book impli­que, de la part de son explo­itant, un para­mé­tra­ge en fonc­tion, notam­ment, de son public cib­le et des objec­tifs de gesti­on ou de pro­mo­ti­on de ses acti­vi­tés, ce qui a une inci­dence sur le trai­te­ment des don­nées à carac­tère per­son­nel aux fins de l’é­ta­blis­se­ment des sta­ti­sti­ques géné­rées par les visi­tes de la page fan. Grâ­ce aux fil­tres mis à dis­po­si­ti­on par Face­book, l’ex­plo­itant peut défi­nir les critères selon les­quels ces sta­ti­sti­ques doi­vent être éta­b­lies et même dési­gner les caté­go­ries de per­son­nes dont les don­nées per­son­nel­les sont ana­ly­sées par Face­book. Par con­sé­quent, l’ex­plo­itant d’u­ne page fan sur Face­book con­tri­bue au trai­te­ment des don­nées à carac­tère per­son­nel des visi­teurs de sa page.

37 En par­ti­cu­lier, l’ex­plo­itant de la page fan peut deman­der des don­nées démo­gra­phi­ques sur son grou­pe cib­le – et donc le trai­te­ment de ces don­nées – tel­les que, ent­re aut­res, les ten­dan­ces en matiè­re d’â­ge, de sexe, de sta­tut rela­ti­on­nel et de situa­ti­on pro­fes­si­on­nel­le, des infor­ma­ti­ons sur le style de vie et les cen­tres d’in­té­rêt de son grou­pe cib­le et des infor­ma­ti­ons sur les achats et les com­porte­ments d’achat en ligne des visi­teurs de sa page, les caté­go­ries de biens ou de ser­vices qui les inté­res­sent le plus, ain­si que des don­nées géo­gra­phi­ques qui l’in­for­ment sur les lieux où des actions pro­mo­ti­on­nel­les spé­cia­les doi­vent être menées ou des évé­ne­ments orga­ni­sés et qui lui per­met­tent, de maniè­re géné­ra­le, de cib­ler le plus pos­si­ble son off­re d’informations.

38 S’il est vrai que les sta­ti­sti­ques de fré­quen­ta­ti­on éta­b­lies par Face­book sont trans­mi­ses à l’ex­plo­itant de la page fan exclu­si­ve­ment sous une for­me anony­me, l’é­ta­blis­se­ment de ces sta­ti­sti­ques repo­se sur la coll­ec­te pré­alable – par le biais des coo­kies pla­cés par Face­book sur l’or­di­na­teur ou tout aut­re appa­reil des per­son­nes ayant visi­té cet­te page – et sur le trai­te­ment des don­nées à carac­tère per­son­nel de ces visi­teurs à ces fins sta­ti­sti­ques. En tout état de cau­se, la direc­ti­ve 95/46 n’e­xi­ge pas que, lorsque plu­sieurs explo­itants sont con­join­te­ment respons­ables d’un même trai­te­ment, cha­cun d’ent­re eux ait accès aux don­nées à carac­tère per­son­nel con­cer­nées..

39 Dans ces con­di­ti­ons, il y a lieu de con­stater que l’ex­plo­itant d’u­ne page fan gérée sur Face­book, tel­le que Wirt­schafts­aka­de­mie, par­ti­ci­pe, par le para­mé­tra­ge qu’il effec­tue, en fonc­tion notam­ment de son public cib­le ain­si que des objec­tifs de gesti­on ou de pro­mo­ti­on de ses acti­vi­tés, à la déter­mi­na­ti­on des fina­li­tés et des moy­ens du trai­te­ment des don­nées à carac­tère per­son­nel des visi­teurs de sa page fan. Par con­sé­quent, en l’e­spè­ce, l’ex­plo­itant doit être qua­li­fié de responsable de ce trai­te­ment dans l’U­ni­on, con­join­te­ment avec Face­book Ire­land, au sens de l’ar­tic­le 2, sous d), de la direc­ti­ve 95/46.

On peut main­tenant se deman­der si cet­te décis­i­on a éga­le­ment des réper­cus­sions sur les cas où des outils de réseaux soci­aux sont uti­li­sés (plug­ins soci­aux tels que le bou­ton Like ou l’in­té­gra­ti­on de vidé­os, d’an­non­ces ou de pixels).