Source: https://www.adamas-lawfirm.com/fr/publications-et-seminaires/arret-de-la-cjue-du-5-juin-2018-fanpage-et-responsable-du-traitement,1021
Timestamp: 2020-07-13 15:38:24+00:00
Document Index: 235740356

Matched Legal Cases: ['arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ']

Arrêt de la CJUE du 5 juin 2018 : Fanpage et Responsable du traitement - ADAMAS, Avocats associés
Arrêt de la CJUE du 5 juin 2018 : Fanpage et Responsable du traitement
Publié le 19/06/2018 dans Lettres d’information dans "Village de La Justice"
La Cour de Justice de l’Union Européenne (ci-après « CJUE ») vient de rendre un arrêt intéressant les administrateurs de « Fanpages ». La CJUE s’est ainsi prononcée sur l’interprétation de la notion de responsable de traitement, telle qu’initialement définie dans la Directive, dans le cadre d’une « Fanpage » d’une société privée hébergée sur le site de Facebook.
L’intérêt de cet arrêt réside dans le fait que, quoique rendu sous l’empire de la Directive 95/46/CE¹ remplacée aujourd’hui par le Règlement Général sur la Protection des Données²(ci-après « RGPD »), son enseignement reste valable pour l’avenir.
1. L’ADMINISTRATEUR D’UNE « FANPAGE » HEBERGEE SUR FACEBOOK PEUT-IL ÊTRE CONSIDERE COMME RESPONSABLE DU TRAITEMENT DE DONNEES A CARACTERE PERSONNEL ?
L’administrateur d’une « Fanpage » est la personne physique ou morale, enregistrée auprès de Facebook pour créer une page de présentation et « diffuser des communications de toute nature sur le marché des médias et de l’opinion »³. Une fois créée, la « Fanpage » permet à son administrateur, par l’intermédiaire de l’outil « Facebook Insight », d’obtenir des statistiques d’audience à des fins de ciblage. Très classiquement, ces mesures d’audience sont effectuées par le dépôt de cookies, qui collectent les données personnelles des visiteurs de la « Fanpage ».
Le responsable de traitement est « la personne physique ou morale […] qui seul, ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel »⁴.
La CJUE estime ainsi que l’administrateur de la « Fanpage » exerce une influence dans la détermination des finalités et des moyens du traitement. Si, de prime abord, il semble que Facebook soit à l’origine de l’outil « Facebook Insight » permettant le traitement, la CJUE juge que la création d’une « Fanpage » implique de la part de son administrateur une action positive de « paramétrage, en fonction, notamment de son audience cible ainsi que des objectifs de gestion ou de promotion de ses activités, qui influe sur le traitement de données à caractère personnel aux fins de l’établissement de statistiques »⁵.
Au surplus, les données statistiques d’audience, résultat du traitement réalisé via l’outil « Facebook Insight » profitent directement à l’administrateur de la « Fanpage ». La CJUE ajoute que le fait que les données ne soient transmises à l’administrateur qu’après anonymisation est sans incidence sur la qualification de responsable du traitement⁶.
Attention, toutefois, la reconnaissance d’une responsabilité conjointe n’implique pas une responsabilité à parts égales. La CJUE précise que le niveau de responsabilité est évalué en tenant compte de toutes les circonstances pertinentes du cas d'espèce⁷. Ainsi, les co-responsables du traitement peuvent être impliqués dans un même traitement de données à caractère personnel à des stades et à des degrés différents⁸
2.QUEL IMPACT DANS LE CADRE DE LA REGLEMENTATION ISSUE DU RGPD ?
C'est pourquoi, nous attirons votre attention sur les conséquences qui découlent de cette solution si vous êtes l’administrateur d’une Fanpagehébergée sur Facebook.
On peut imaginer que les juristes de Facebook vont s’emparer du sujet. Les administrateurs de « Fanpages » devront être vigilants …
Pour mémoire, l’enjeu n’est pas symbolique, puisque l’administrateur d’une « Fanpage » hébergée sur Facebook s’expose à des sanctions financières qui peuvent en théorieatteindre 20 millions d’euros ou 4% du chiffre d’affaires annuel mondial.
Intéressant : le lendemain de l’arrêt ci-dessus commenté de la juridiction européenne, le Conseil d’Etat, a rendu en France un arrêt précisant que l’utilisation de cookies est un traitement de données personnelles qualifiant ainsi l’éditeur d’un site internet, utilisant ou autorisant le dépôt de cookies par des tiers, de responsable du traitement⁹. Ceci n’est pas un scoop, mais il est intéressant de noter que même les juridictions administratives s’attèlent à l’interprétation de la règlementation applicable en matière de protection de données personnelles…
¹Directive du 24 octobre 1995 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données
² Règlement 2016/679 du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données et abrogeant la Directive 95/46/CE (règlement général sur la protection des données)
³ Point n°15 de l’arrêt commenté
⁴ Article 2, sous d) de la Directive 95/46/CE
⁵ Point n°36 de l’arrêt commenté
⁶ Point n°38 de l’arrêt commenté
⁷ Point n°43 de l’arrêt commenté
⁸ Points n°75 et 76 des conclusions de l’Avocat général, M. Yves BOT, présentées le 24 octobre 2017
⁹ CE 6 juin 2018, req. N°412589, point 11
Voir la pièce jointe (527.89 Ko)