- Comme on le sait, la CJUE a statué le 5 juin 2018 dans l’affaire des pages fan Facebook, sur renvoi du tribunal administratif fédéral allemand, contrairement aux instances précédentes (Affaire n. C‑210/16), que l’exploitant d’une page fan Facebook est responsable conjointement avec Facebook l’exploitant peut influencer, par des réglages appropriés, les données personnelles qui sont traitées Facebook des visiteurs de la page fan et les traite, entre autres pour mettre à la disposition de l’exploitant des évaluations anonymes. Ce jugement est explosif non pas tant à cause des pages fan, mais parce qu’il élargit considérablement le champ d’application de la responsabilité partagée en indiquant clairement
- que même une participation très limitée d’une entreprise suffit, pour établir une responsabilité commune (car “commune” ne signifie pas “équivalente”), et
- que peut aussi avoir une responsabilité commune celui qui n’ont pas accès aux données personnelles en question et ne les traite pas nécessairement lui-même (tant qu’il n’influence que les finalités ou les moyens du traitement). Cela est pertinent, par exemple, dans le cas de systèmes utilisés en commun au sein d’un groupe, mais séparés par mandant.
Dans la pratique, cela soulève la question de la place qui reste pour les responsabilités séparées et les relations de sous-traitance, ainsi qu’une série de Questions de suivi (par ex : Une entreprise suisse peut-elle être responsable conjointe au sens du RGPD si elle n’est pas soumise au RGPD en tant que telle [probablement non ; d’autre part, selon l’arrêt de la CJCE, un traitement propre des données – pour lequel il faudrait examiner l’applicabilité du RGPD – n’est apparemment pas nécessaire] ; l’échange de données entre responsables conjoints est-il privilégié, de sorte qu’une base juridique séparée n’est pas nécessaire pour l’échange ; comment les accords entre les g.) ; comment la responsabilité commune doit-elle être représentée dans les contrats d’échange de données intragroupe, etc.
La conférence allemande sur la protection des données a ensuite adopté le 5 septembre 2018 un Décision prise:
Sans accord selon l’article 26 du RGPD est l’exploitation d’une page fan telle qu’elle est actuellement proposée par Facebook, illégale. C’est pourquoi la CCPD demande que les exigences du droit de la protection des données soient désormais remplies lors de l’exploitation de pages fan. Cela implique notamment que les responsables communs fassent la lumière sur la situation actuelle et fournissent les informations nécessaires aux personnes concernées (= visiteurs de la page fan).
Toutefois, une responsabilité partagée signifie également que les exploitants de pages fan (qu’il s’agisse de responsables publics ou non) doivent Légalité du traitement des données dont ils sont conjointement responsables, et ce prouver peuvent être mis en œuvre. En outre, les personnes concernées peuvent faire valoir les droits que leur confère le RGPD. auprès et à l’égard de tout responsable (article 26, paragraphe 3 du RGPD).
En particulier, les éléments énumérés en annexe Questions doivent donc de Facebook et des exploitants de pages fan. peuvent être utilisés.
Le 11 septembre 2018, Facebook a déjà présenté un accord au sens de l’article 26 du RGPD, élaboré sous la pression du temps (“Addendum contrôleur de pages Insights”), avec notamment le contenu suivant :
Facebook Ireland Limited (“Facebook Ireland”) et vous êtes les co-contrôleurs du traitement des données Insights.
[…] Facebook Ireland s’engage à take primary responsibility en vertu du GDPR pour le traitement des données de connaissance et de se conformer à toutes les obligations applicables en vertu du GDPR en ce qui concerne le traitement des données de connaissance […]. Facebook Ireland mettra également à la disposition des personnes concernées l’essence de cet Addendum aux données de la Page Insights. […] Vous acceptez que seul Facebook Ireland peut prendre et mettre en œuvre des décisions sur le traitement des données Insights.Facebook Irlande décide, à sa seule discrétion, de la manière de se conformer avec ses obligations au titre du présent Addendum à la Page Insights. […] […]
Si vous êtes contacté par des sujets de données ou une autorité de surveillance en vertu du RGPD en ce qui concerne le traitement des Données Personnelles et les obligations assumées par Facebook Ireland en vertu du présent Addendum aux Données Personnelles (chacune une “Demande”), vous souhaitez forward all relevant information à nous rapidement mais dans un délai maximum de 7 jours calendaires.
[…] Vous vous engagez à faire tout ce qui est raisonnablement possible, en temps utile, pour coopérer avec nous en réponse à une telle demande. […].
[…]
La prise en charge de la responsabilité principale par Facebook représente sans aucun doute un soulagement pour les exploitants de pages. Elle montre également une fois de plus qu’une responsabilité commune ne doit en aucun cas être une responsabilité à parts égales. Néanmoins, il est recommandé aux exploitants de pages fans de continuer à faire référence à leur propre déclaration de protection des données et d’y mentionner par exemple la base juridique de l’utilisation de la page fan (par exemple sur leur intérêt légitime).