Source: http://curia.europa.eu/juris/document/document.jsf?text=&docid=209357&pageIndex=0&doclang=FR&mode=lst&dir=&occ=first&part=1&cid=15845
Timestamp: 2019-10-19 17:30:26+00:00
Document Index: 147342403

Matched Legal Cases: ['arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ', 'arrêt ']

« Renvoi préjudiciel – Directive 95/46/CE – Protection des données à caractère personnel des utilisateurs de sites Internet – Qualité pour agir d’une association de protection des consommateurs pour intenter une action – Responsabilité d’un gestionnaire de site Internet – Transfert à un tiers de données à caractère personnel – Plugiciel intégré – Bouton “J’aime” de Facebook – Intérêts légitimes – Consentement de la personne concernée – Obligation d’information »
1. Fashion ID GmbH & Co. KG (ci‑après « Fashion ID » ou la « défenderesse au principal ») est une société de vente en ligne d’articles de mode. Elle a intégré un plugiciel (« plug‑in ») sur son site Internet : le bouton « J’aime » de Facebook. Il s’ensuit que lorsqu’un utilisateur se rend sur le site Internet de Fashion ID, des informations sur son adresse IP et la chaîne de caractères de son navigateur sont transmises à Facebook. Cette transmission s’opère automatiquement lorsque le site Internet de Fashion ID est chargé, indépendamment du fait que l’utilisateur ait cliqué ou non sur le bouton « J’aime » de Facebook et qu’il dispose ou non d’un compte Facebook.
2. Une association allemande de protection des consommateurs, Verbraucherzentrale NRW eV (ci‑après « Verbraucherzentrale NRW » ou la « demanderesse au principal »), a intenté une action en cessation à l’encontre de Fashion ID au motif que l’utilisation de ce plugiciel était contraire aux lois sur la protection des données à caractère personnel.
3. Saisi du litige, l’Oberlandesgericht Düsseldorf (tribunal régional supérieur de Düsseldorf, Allemagne) demande l’interprétation de plusieurs dispositions de la directive 95/46/CE (2). À titre liminaire, la juridiction de renvoi demande si ladite directive ne s’oppose pas à une réglementation nationale qui habilite des associations de consommateurs à intenter une action dans un cas tel que celui de la présente espèce. Sur le fond, la question cruciale qui est posée est de savoir si Fashion ID doit être qualifiée de « responsable du traitement » des données et, dans l’affirmative, comment il peut alors être satisfait aux obligations individuelles imposées par la directive 95/46. Dans le cadre de la mise en balance des intérêts légitimes à laquelle il doit être procédé en vertu de l’article 7, sous f), de la directive 95/46, des intérêts légitimes de qui s’agit‑il ? Fashion ID est‑t‑elle tenue par une obligation d’information des personnes concernées par ce traitement ? Et à cet égard, est‑ce à Fashion ID de recevoir le consentement des personnes concernées ?
6. L’article 7 de la directive 95/46 pose les principes relatifs à la légitimation des traitements de données :
7. L’article 10 de la directive 95/46 précise les informations a minima qui doivent être communiquées à la personne concernée :
1. L’UWG
9. L’article 3, paragraphe 1, du Gesetz gegen den unlauteren Wettbewerb (loi contre la concurrence déloyale, ci‑après l’« UWG ») dispose que les pratiques commerciales déloyales sont illicites.
10. L’article 8, paragraphe 1 et paragraphe 3, point 3, de l’UWG précise qu’une pratique commerciale déloyale peut donner lieu à un ordre de cessation immédiate ou à un ordre de cessation pour l’avenir à la demande d’une « entité qualifiée » inscrite sur la liste des entités qualifiées visée par l’Unterlassungsklagegesetz (loi sur l’action en cessation) ou sur la liste de la Commission européenne visée à l’article 4, paragraphe 3, de la directive 2009/22/CE relative aux actions en cessation en matière de protection des intérêts des consommateurs (3).
2. La loi sur l’action en cessation
3. Le TMG
12. L’article 2, paragraphe 1, du Telemediengesetz (loi sur les médias électroniques, ci‑après le « TMG ») dispose :
1°) Le fournisseur de services est toute personne physique ou morale qui propose d’utiliser des médias électroniques propres ou étrangers ou en permet l’accès pour les utiliser. »
13. Aux termes de l’article 12, paragraphe 1, du TMG, « [l]e fournisseur de services ne peut collecter et utiliser des données à caractère personnel pour proposer des médias électroniques que si la présente loi ou un autre instrument juridique qui vise expressément les médias électroniques l’y autorise ou si l’utilisateur y a consenti ».
14. L’article 13, paragraphe 1, du TMG est libellé comme suit :
« Dès l’entame de l’utilisation, il appartient au fournisseur de services d’informer l’utilisateur sous une forme globalement compréhensible du mode, de l’étendue et de la finalité de la collecte et de l’utilisation de données à caractère personnel ainsi que du traitement de ses données dans les États ne relevant pas du champ d’application de la [directive 95/46] dans la mesure où il n’en a pas déjà été informé. Dans les procédures automatisées, permettant d’identifier l’utilisateur ultérieurement et préparant la collecte ou l’utilisation de données à caractère personnel, l’utilisateur doit être informé à l’entame de cette procédure. L’utilisateur doit pouvoir consulter le contenu de cette information à tout moment. »
16. Fashion ID est une entreprise de vente en ligne. Elle vend des articles de mode sur son site Internet. Elle a inséré sur son site Internet le plugiciel « J’aime » fourni par la société Facebook Ireland Limited (ci‑après « Facebook Ireland ») (4). Ce qui est dénommé le « bouton “J’aime” de Facebook » apparaît donc sur le site Internet de la défenderesse au principal.
17. La décision de renvoi explique également comment la partie (invisible) du plugiciel fonctionne : lorsqu’un visiteur se connecte au site Internet de la défenderesse au principal sur lequel figure le bouton « J’aime » de Facebook, son navigateur transmet automatiquement à Facebook Ireland des données relatives à son adresse IP et la chaîne de caractères du navigateur. La transmission de ces données intervient sans qu’il y ait besoin de cliquer effectivement sur le bouton « J’aime » de Facebook. Il ressort également de la décision de renvoi que, lors d’une connexion au site Internet de la défenderesse au principal, Facebook Ireland installe différents témoins de connexion (cookies) sur l’appareil de l’utilisateur (session, datr et fr).
– n’avait pas recueilli « le consentement préalable des utilisateurs du site Internet sur l’accès du fournisseur du [plugiciel] à l’adresse IP et à la chaîne de caractères du navigateur et sur l’utilisation des données » ou
– indiquait que, « Si vous êtes utilisateur d’un réseau social et ne souhaitez pas que le réseau social collecte des données vous concernant par le biais de notre site Internet et les relient à vos données d’utilisateur stockées dans le réseau social, vous devez vous déconnecter du réseau social avant la visite de notre site Internet ».
19. La demanderesse au principal a affirmé que Facebook Inc. ou Facebook Ireland stocke l’adresse IP et la chaîne de caractères du navigateur transmises et les associe à un utilisateur déterminé (membre ou non-membre). La défenderesse au principal a rétorqué qu’elle ignorait tout de cela. Facebook Ireland a soutenu que l’adresse IP est convertie en une adresse IP générique et ne se trouve stockée que comme telle et que l’adresse IP et la chaîne de caractères du navigateur ne font pas l’objet d’une attribution à un compte d’utilisateur.
« 1) Le régime des articles 22, 23 et 24 de la [directive 95/46] s’oppose‑t‑il à une réglementation nationale qui, en marge des pouvoirs d’intervention des autorités de protection des données et des actions en justice de la personne concernée, habilite, en cas d’atteintes, des associations d’utilité publique de défense des intérêts des consommateurs à agir contre l’auteur d’une atteinte ?
2) Si la première question appelle une réponse négative : dans un cas comme celui de l’espèce, où quelqu’un insère dans son site un code programme permettant au navigateur de l’utilisateur de solliciter des contenus d’un tiers et de transmettre à cet effet au tiers des données à caractère personnel, celui qui fait l’insertion est-il “responsable du traitement” au sens de l’article 2, sous d), de la [directive 95/46] lorsqu’il ne peut avoir lui‑même aucune influence sur ce processus de traitement des données ?
3) Si la deuxième question appelle une réponse négative : l’article 2, sous d), de la [directive 95/46] doit‑il être interprété en ce sens qu’il régit exhaustivement la responsabilité en ce sens qu’il s’oppose à la mise en cause sur le plan civil d’un tiers qui n’est certes pas “responsable du traitement” mais est à l’origine du processus de traitement des données sans avoir d’influence sur celui‑ci ?
4) Dans un contexte comme celui de l’espèce, quel est l’“intérêt légitime” à prendre en compte dans la mise en balance à faire au titre de l’article 7, sous f), de la directive 95/46 ? Est‑ce l’intérêt d’insérer des contenus de tiers ou est-ce l’intérêt du tiers ?
5) Dans un contexte comme celui de l’espèce, à qui doit être donné le consentement visé à l’article 7, sous a), et à l’article 2, sous h), de la directive 95/46 ?
6) L’obligation d’informer la personne concernée en vertu de l’article 10 de la directive 95/46 dans une situation telle que celle qui se présente en l’espèce pèse‑t‑elle également sur le gestionnaire du site qui a inséré le contenu d’un tiers et est ainsi à l’origine du traitement des données à caractère personnel fait par un tiers ? »
22. Des observations écrites ont été déposées par la demanderesse au principal, la défenderesse au principal, Facebook Ireland, la Landesbeauftragte für Datenschutz und Informationsfreiheit Nordrhein‑Westfalen (agence régionale de la protection des données et de la liberté d’information de la Rhénanie du Nord-Westphalie) (ci‑après la « LDI NW »), par les gouvernements allemand, belge, italien, autrichien et polonais ainsi que par la Commission. Au cours de l’audience qui s’est tenue le 6 septembre 2018, des observations orales ont été présentées par la demanderesse au principal, la défenderesse au principal, Facebook Ireland, la LDI NW, les gouvernements allemand, belge et autrichien ainsi que par la Commission.
23. Dans les présentes, je parviendrai à la conclusion que la directive 95/46 ne fait pas obstacle à une réglementation nationale qui habilite une association ayant pour objet la protection des consommateurs (telle que la demanderesse au principal) à agir contre l’auteur présumé d’une atteinte aux lois sur la protection des données (A). J’estime également que la défenderesse au principal est responsable du traitement conjointement avec Facebook Ireland, sa responsabilité étant cependant limitée à une phase particulière du processus de traitement des données (B). Troisièmement, je suis d’avis que la mise en balance des intérêts à laquelle il doit être procédé en vertu de l’article 7, sous f), de la directive 95/46 demande que non seulement les intérêts légitimes de la défenderesse au principal soient pris en compte, mais également ceux de Facebook Ireland (et, évidemment, les droits des personnes concernées) (C). Quatrièmement, le consentement informé de la personne concernée par le traitement des données doit être donné à la défenderesse au principal. La défenderesse au principal est également tenue par une obligation d’information de la personne concernée (D).
29. Il s’ensuit que, pour mettre en œuvre les obligations instituées par une directive, les États membres sont libres d’adopter les mesures qui leur paraissent appropriées, tant qu’elles ne sont pas expressément exclues par la directive ou qu’elles n’entrent pas en conflit avec les objectifs qu’elle poursuit.
31. Parmi les objectifs poursuivis par la directive 95/46 figure celui d’« assurer une protection efficace et complète des libertés et des droits fondamentaux des personnes physiques, notamment du droit à la vie privée, à l’égard du traitement des données à caractère personnel » (9). De plus, son considérant 10 énonce que « le rapprochement de ces législations ne doit pas conduire à affaiblir la protection qu’elles assurent mais doit, au contraire, avoir pour objectif de garantir un niveau élevé de protection dans [l’Union] » (10).
32. À la lecture de la décision de renvoi, nous pouvons comprendre que la République fédérale d’Allemagne a permis à des associations telles que la demanderesse au principal d’avoir qualité pour agir contre ce qu’elles estiment être des pratiques commerciales déloyales ou violant les règles de protection des consommateurs, la réglementation sur la protection des données figurant parmi ces dernières.
40. Il est vrai que, de manière constante, la Cour a jugé que l’harmonisation résultant de la directive 95/46 ne se limite pas à une harmonisation minimale, mais aboutit à une harmonisation qui est, « en principe, complète » (14). Il a en même temps été admis que cette même directive « reconnaît aux États membres une marge de manœuvre dans certains domaines » à condition que ces possibilités soient utilisées de la manière qu’elle prévoit (15).
47. Il importe de rappeler que, avec le RGPD remplaçant la directive 95/46, la nature de l’acte juridique renfermant la réglementation a changé, passant de celle d’une directive à celle d’un règlement. Ce changement signifie que, à la différence d’une directive, pour laquelle les États membres sont libres de choisir la manière de transposer le contenu de cet acte législatif, l’adoption de mesures nationales de transposition d’un règlement n’est en principe permise que si elle est expressément autorisée.
50. Par sa deuxième question, la juridiction de renvoi demande si, du fait qu’elle a inséré un plugiciel dans son site Internet permettant au navigateur de l’utilisateur de solliciter des contenus d’un tiers et, à cet effet, de transmettre au tiers des données à caractère personnel, la défenderesse au principal doit être considérée comme le « responsable du traitement » au sens de l’article 2, sous d), de la directive 95/46, même lorsqu’elle ne peut avoir elle‑même aucune influence sur ce processus de traitement des données.
52. Comme le relève la juridiction de renvoi, la réponse à sa deuxième question aura des incidences allant bien au‑delà de la présente espèce et du réseau social opéré par Facebook Ireland. Un grand nombre de sites Internet insèrent des contenus provenant de tiers et de nature diverse. Si une personne telle que la défenderesse au principal devait être qualifiée de « responsable du traitement », responsable (conjoint) de tout traitement (en aval) des données collectées du fait que ce gestionnaire d’un site Internet a inséré des contenus d’un tiers permettant un tel transfert de données, une telle constatation produirait effectivement des effets bien plus importants sur la manière de gérer des contenus de tiers.
53. Dans l’architecture de la présente espèce, la deuxième question préjudicielle déférée est également la question clé qui plonge au cœur du problème : en présence de contenus de tiers insérés dans des sites Internet, qui est responsable de quoi exactement ? C’est également la précision (ou l’imprécision) de la réponse à cette question qui aura des incidences sur la réponse aux questions suivantes sur les intérêts légitimes, le consentement et l’obligation d’information.
55. Il convient de rappeler que la notion de « données à caractère personnel » est définie à l’article 2, sous a), de la directive 95/46 comme devant s’entendre par « toute information concernant une personne physique identifiée ou identifiable (personne concernée) ». En outre, le considérant 26 de ladite directive énonce que, « pour déterminer si une personne est identifiable, il convient de considérer l’ensemble des moyens susceptibles d’être raisonnablement mis en œuvre, soit par le responsable du traitement, soit par une autre personne, pour identifier ladite personne ».
58. Il est clair que c’est au juge national qu’il incombe de procéder à cette appréciation. En règle générale, s’agissant de plugiciels qui peuvent être insérés ou de tous autres contenus de tiers, pour qu’une donnée puisse être considérée avoir un caractère personnel, il faut qu’elle permette d’identifier la personne concernée (que ce soit directement ou indirectement). Pour les besoins de la présente espèce, je tiens pour acquis que, comme les questions déférées par la juridiction de renvoi semblent l’indiquer, dans les circonstances du litige au principal, l’adresse IP et la chaîne de caractères du navigateur de l’utilisateur constituent effectivement des données à caractère personnel répondant aux critères de l’article 2, sous a), de la directive 95/46 tels que précisés par la Cour.
2. L’arrêt Wirtschaftsakademie Schleswig-Holstein a parlé, la cause est entendue ?
60. La demanderesse au principal, la LDI NW, tous les gouvernements qui sont intervenus à l’instance, ainsi que la Commission, partagent en substance les vues selon lesquelles la notion de « responsable du traitement » s’entend largement et inclut la défenderesse au principal. Toutefois, sur la portée exacte de la responsabilité de la défenderesse au principal, leurs vues divergent assez largement. Les différences portent sur les points de savoir si oui ou non la défenderesse au principal et Facebook Ireland doivent être tenues pour conjointement responsables, si leur responsabilité conjointe doit oui ou non être limitée à la phase de traitement des données à caractère personnel où la défenderesse au principal est effectivement impliquée et si, dans ce contexte, il faut faire une distinction entre les visiteurs de son site Internet qui ont un compte Facebook et ceux qui n’en ont pas.
61. Pour commencer, il est clair que, aux termes de l’article 2, sous d), de la directive 95/46, la notion de « responsable du traitement » vise quiconque, « seul ou conjointement, détermine les finalités et les moyens du traitement de données à caractère personnel » (26). Par conséquent, la notion de « responsable du traitement » peut concerner plusieurs acteurs participant au traitement de données à caractère personnel (27) et elle doit donc être interprétée largement (28).
62. La Cour s’est récemment prononcée sur la question de la responsabilité conjointe du traitement dans l’arrêt Wirtschaftsakademie Schleswig-Holstein (29). Sur le rôle de l’administrateur d’une page fan sur Facebook, la Cour a conclu que celui‑ci doit être qualifié de responsable du traitement, conjointement avec Facebook Ireland, au sens de l’article 2, sous d), de la directive 95/46. Ceci parce qu’il participe, conjointement avec Facebook Ireland, à la détermination des finalités et des moyens du traitement des données personnelles des visiteurs de sa page fan (30).
63. Plus précisément, la Cour a constaté que, en ayant créé la page fan dont il était question dans cette affaire, le responsable du traitement avait offert à Facebook Ireland la « possibilité de placer des cookies sur l’ordinateur ou sur tout autre appareil de la personne ayant visité sa page fan » et donc de procéder à un traitement des données à caractère personnel (31). Elle a également constaté que « la création d’une page fan sur Facebook implique de la part de son administrateur une action de paramétrage, en fonction, notamment, de son audience cible ainsi que d’objectifs de gestion ou de promotion de ses activités, qui influe sur le traitement de données à caractère personnel aux fins de l’établissement des statistiques établies à partir des visites de la page fan » (32). Les traitements de données en cause dans cette affaire visaient notamment à permettre, d’une part, à Facebook Ireland « d’améliorer son système de publicité » et, d’autre part, à l’administrateur d’obtenir des statistiques sous une forme anonymisée à des fins de gestion de la promotion de son activité (33).
65. Dans l’arrêt du 10 juillet 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551), la Cour a souligné une autre précision importante relativement à la notion de « responsable du traitement conjointement » : la responsabilité conjointe de plusieurs acteurs ne présuppose pas que chacun d’eux ait accès aux données à caractère personnel concernées. Dès lors, une communauté religieuse peut être responsable du traitement conjointement même si, apparemment, elle n’avait pas accès aux données à caractère personnel concernées. Dans cette espèce, c’était les membres de la communauté des Témoins de Jéhovah qui détenaient physiquement ces données. Il a suffi que l’activité de prédication au cours de laquelle, semble‑t‑il, les données à caractère personnel étaient collectées, soit organisée, coordonnée et encouragée par ladite communauté (35).
66. À un degré plus élevé d’abstraction et en se focalisant uniquement sur la notion de « responsabilité conjointe du traitement », je suis assez enclin à admettre que, au vu de cette jurisprudence récente, il doit être conclu que la défenderesse au principal se comporte comme un tel responsable du traitement et qu’elle agit conjointement avec Facebook Ireland pour le traitement des données (36).
67. Premièrement, la défenderesse au principal a permis à Facebook Ireland d’obtenir les données à caractère personnel des utilisateurs de son site Internet en ayant recours au plugiciel en cause.
68. Deuxièmement, il est vrai que, contrairement à l’administrateur du site en cause dans l’affaire C‑210/16, la défenderesse au principal ne semble pas déterminer les paramètres des informations sur ses utilisateurs qui lui reviendraient sous une forme anonymisée ou autre. Le « bénéfice » recherché semble être la publicité gratuite pour ses produits qui se produirait lorsque l’utilisateur de son site Internet clique sur le bouton « J’aime » de Facebook pour partager sur son compte Facebook son avis sur, par exemple, une robe de cocktail noire. Par conséquent et sous réserve d’une vérification factuelle par la juridiction de renvoi, le recours au plugiciel permet à la défenderesse au principal d’optimiser la publicité pour ses produits en ayant la possibilité de les rendre visibles sur Facebook.
69. Ou alors, vu sous un autre angle, il peut être soutenu que la défenderesse au principal détermine (conjointement) les paramètres des données collectées par la simple insertion du plugiciel en cause dans son site Internet. C’est ce plugiciel qui fournit les paramètres des données à caractère personnel devant être collectées. Par conséquent, en insérant délibérément le plugiciel dans son site Internet, la défenderesse au principal a déterminé ces paramètres pour tout visiteur de son Internet.
72. Tel est en substance le dilemme plus profond sur les plans moral et pratique soulevé par la présente espèce, exprimé en termes juridiques par la portée de la définition du responsable (conjoint) du traitement. Dans un souhait bien compréhensible de garantir une protection efficace des données à caractère personnel, la jurisprudence récente de la Cour s’est montrée très large lorsqu’elle a été amenée à définir d’une manière ou d’une autre la notion de « responsable (conjoint) du traitement ». Toutefois, la Cour n’a pas jusqu’à présent été confrontée aux conséquences pratiques d’une telle approche extensive sur les phases suivantes en termes d’obligations et de responsabilités précises des parties qualifiées de responsables du traitement. La présente espèce étant précisément une telle occasion, je propose de la saisir afin de renforcer la précision des définitions qui devraient être retenues pour la notion de « responsable (conjoint) du traitement ».
73. Si l’on examine avec un œil critique le critère applicable pour déterminer un « responsable conjoint du traitement », il semble que, suivant les arrêts du 5 juin 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388), et du 10 juillet 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551), l’élément décisif soit que la personne visée ait « permis » la collecte et le transfert de données à caractère personnel en y ajoutant éventuellement l’influence qu’un tel responsable conjoint du traitement peut avoir sur les paramètres (ou du moins lorsqu’ils sont approuvés tacitement) (37). Si tel est effectivement le cas, alors, nonobstant l’intention de l’exclure, clairement affirmée dans l’arrêt du 5 juin 2018, Wirtschaftsakademie Schleswig‑Holstein (38), il est difficile de voir comment des utilisateurs normaux d’une application en ligne, que ce soit un réseau social ou toute autre plateforme collaborative, voire d’autres programmes (39), ne deviendraient pas de responsables conjoints du traitement. Généralement, un utilisateur ouvrira un compte en fournissant des paramètres à l’administrateur sur la manière dont il doit être structuré ainsi que sur qui et sur quoi il souhaite recevoir des informations. Il invitera également ses amis, ses collègues et d’autres à partager des informations sous forme de données à caractère personnel (parfois très sensibles) par le biais de l’application, c’est‑à‑dire que non seulement il fournira des données sur ces personnes, mais il les invitera à s’impliquer, contribuant ainsi clairement à l’obtention et au traitement de données à caractère personnel les concernant.
76. Néanmoins, à la différence des affaires ayant donné lieu aux arrêts rapportés ci‑dessus, les questions déférées en l’espèce par la juridiction de renvoi ne s’arrêtent pas à la définition de « responsable du traitement ». Elles soulèvent et approfondissent d’autres interrogations en termes de répartition des obligations effectivement imposées par la directive 95/46. En elles‑mêmes, ces interrogations témoignent des problèmes posées par une définition trop inclusive de la notion de « responsable du traitement », surtout lorsqu’elle est conjuguée avec l’absence de règle précise sur le point de savoir quelles sont les obligations et les responsabilités spécifiques des responsables de traitement en vertu de la directive 95/46. Les observations sur les cinquième et sixième questions déposées par des parties intéressées, concernées par l’exacte répartition des responsabilités en vertu de ladite directive, viennent l’illustrer à merveille.
78. La demanderesse au principal et LDI NW estiment que c’est à la défenderesse au principal, qui a inséré le plugiciel en cause, qu’incombe l’obligation d’obtenir le consentement informé de la personne concernée. La demanderesse au principal considère que c’est d’autant plus important pour ceux qui ne sont pas des utilisateurs de Facebook, car ils n’en ont pas accepté les conditions générales d’utilisation. La thèse soutenue par la défenderesse au principal est que le consentement doit être donné au tiers fournissant le contenu inséré, à savoir Facebook Ireland. Cette dernière est d’avis que le consentement n’a pas à être donné à une personne particulière, car la directive 95/46 se borne à dire que celui‑ci doit être libre, spécifique et informé.
79. Les gouvernements allemand, autrichien et polonais considèrent que le consentement doit être donné avant tout traitement des données, le gouvernement autrichien précisant que ce consentement doit porter à la fois sur la collecte des données et sur leur éventuelle transmission. Le gouvernement polonais insiste sur le fait que le consentement doit être donné à la défenderesse au principal. Pour sa part, le gouvernement allemand considère que le consentement doit être donné à la défenderesse au principal ou au tiers fournissant le contenu inséré (à savoir, Facebook Ireland), car les deux sont responsables conjointement du traitement. La défenderesse au principal n’a à recevoir que le consentement pour la transmission des données à un tiers, car elle n’est plus responsable du traitement et de l’utilisation des données en aval. Néanmoins, cela n’exclut pas la possibilité pour que le gestionnaire du site Internet recueille un consentement pour le traitement par un tiers qui peut faire l’objet d’une convention entre eux. Le gouvernement italien prône que le consentement soit recueilli par tous ceux qui interviennent dans le traitement des données à caractère personnel, à savoir la défenderesse au principal et Facebook Ireland. Le gouvernement belge et la Commission souligne que la directive 95/46 ne précise pas qui doit recueillir le consentement.
80. Le point de savoir à qui incombe l’obligation d’information énoncée à l’article 10 de la directive 95/46 et sur quoi exactement, objet de la sixième question déférée par la juridiction de renvoi, suscite aussi une grande variété de points de vue.
81. La demanderesse au principal soutient que c’est au gestionnaire du site Internet qu’incombe l’obligation de communiquer les informations nécessaires à la personne concernée. La défenderesse au principal est d’un avis contraire, soulignant que c’est à Facebook Ireland de fournir les informations, car elle‑même n’en a pas une connaissance précise. De même, Facebook Ireland fait valoir que c’est elle qui est tenue par l’obligation d’information, car cette obligation incombe au seul responsable du traitement (ou son représentant). Elle relève que la réponse à la sixième question est étroitement liée au point de savoir si le gestionnaire du site Internet peut être qualifié de responsable du traitement. L’article 10 de la directive 95/46 montre clairement en quoi il serait inadéquat de qualifier ce gestionnaire de site Internet de « responsable du traitement », car il n’est pas en mesure de fournir ces informations. LDI NW estime que l’information doit être communiquée par le gestionnaire du site Internet, tout en reconnaissant la difficulté à déterminer quelles informations doivent être fournies, car la défenderesse au principal n’exerce aucune influence sur le traitement des données par Facebook Ireland. L’imbrication des objectifs poursuivis avec le traitement des données milite nettement en faveur d’une certaine coresponsabilité du gestionnaire du site Internet dans le traitement de données qu’il a rendu possible.
82. Selon les gouvernements belge, italien et polonais, l’obligation d’informer s’applique également au gestionnaire d’un site Internet tel que celui en cause en l’espèce, car il doit être considéré comme un « responsable du traitement ». Le gouvernement belge ajoute que le gestionnaire d’un site Internet peut également avoir à vérifier à quelles fins le tiers traitera les données à caractère personnel et s’il doit prendre des mesures appropriées pour garantir effectivement la protection des personnes physiques à cet égard. Le gouvernement allemand soutient que l’obligation d’information pèse sur le gestionnaire du site Internet dans la mesure où il est responsable du traitement des données, à savoir de leur transmission au fournisseur externe du contenu inséré, mais pas pour tous les autres processus de traitement des données subséquents, lesquels relèvent de la seule responsabilité de ce fournisseur externe. Le gouvernement autrichien et la Commission considèrent tous les deux que tant le gestionnaire du site Internet que le fournisseur externe sont soumis à l’obligation d’information de l’article 10 de la directive 95/46.
83. Au‑delà des problématiques soulevées par la cinquième et par la sixième question, il peut être ajouté que des difficultés similaires d’ordre conceptuel sont également susceptibles de naître à l’examen des autres obligations prévues par la directive 95/46, par exemple le droit d’accès faisant l’objet de son article 12. Il est vrai que l’arrêt Wirtschaftsakademie Schleswig-Holstein a constaté que « la directive 95/46 n’exige pas, lorsqu’il y a une responsabilité conjointe de plusieurs opérateurs pour un même traitement, que chacun ait accès aux données à caractère personnel concernées » (40). Toutefois, un responsable du traitement n’a pas lui‑même accès aux données à propos desquelles il n’en est pas moins qualifié de responsable conjoint, car en toute logique, il ne peut donner accès à aucune personne concernée (sans même évoquer les opérations subséquentes, par exemple la rectification ou l’effacement).
86. Cette proposition me paraît assez problématique. En premier lieu, elle est parfaitement irréaliste, compte tenu du nombre important de contrats-types formalisés qui devraient être signés par toutes sortes de parties, en ce compris, plus que vraisemblablement, des utilisateurs ordinaires (41). En deuxième lieu, l’application de la réglementation en vigueur et la répartition des responsabilités qu’elle prévoit reposerait sur des conventions privées auxquelles des tiers demandant à faire valoir leurs droits n’auraient pas forcément accès.
90. Il ne peut être nié que le processus de décision juridictionnelle s’inscrit dans un contexte sociétal évolutif. Il doit certainement s’adapter à ce contexte, mais ne pas se laisser dominer par celui‑ci. Comme toute application ou comme tout logiciel, un réseau social est un outil. Tout comme un couteau ou une automobile, il peut être utilisé de nombreuses manières. De même, il ne fait pas l’ombre d’un doute que s’il est utilisé à des fins mal intentionnées, un tel usage doit être sanctionné. Néanmoins, sanctionner tous ceux qui ont fait usage d’un couteau n’est peut‑être pas des plus judicieux. Normalement, seul celui qui maîtrisait le couteau lorsqu’il a servi pour causer un dommage est poursuivi.
91. Il devrait donc y avoir, peut‑être pas toujours une concordance parfaite, mais au moins un minimum de corrélation entre le pouvoir, le contrôle et la responsabilité. Les lois modernes intègrent évidemment diverses formes de responsabilité objective, dont la mise en œuvre est déclenchée par la simple occurrence de certains événements. Cependant, elles relèvent généralement des exceptions justifiées. Si une responsabilité est imputée sans aucune explication motivée à une personne n’ayant aucun contrôle sur le résultat, une telle imputation serait jugée déraisonnable et injuste (42).
94. Bien que son approche de la définition de la notion de « responsabilité conjointe du traitement » ait été assez solide dans l’arrêt Wirtschaftsakademie Schleswig-Holstein, la Cour n’en a pas moins suggéré la nécessité de limiter celle du responsable conjoint du traitement. Plus précisément, la Cour a souligné que « l’existence d’une responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente des différents opérateurs concernés par un traitement de données à caractère personnel. […] ces opérateurs peuvent être impliqués à différents stades de ce traitement et selon différents degrés, de telle sorte que le niveau de responsabilité de chacun d’entre eux doit être évalué en tenant compte de toutes les circonstances pertinentes du cas d’espèce » (44).
100. Deuxièmement, la notion de « responsabilité conjointe » n’est pas définie de manière spécifique par la directive 95/46. En toute logique, elle doit reposer sur celle de « responsable du traitement » de son article 2, sous d) : il y a responsabilité conjointe lorsque deux ou plusieurs personnes déterminent ensemble les moyens et les finalités du traitement de données à caractère personnel (48). En d’autres termes, pour que deux (ou plusieurs) personnes puissent être qualifiées de responsables conjoints du traitement, il faut entre elles une identité de finalités et de moyens dans le traitement des données à caractère personnel.
103. Premièrement, en ce qui concerne les moyens de ces opérations de traitement de données, il paraît établi, comme l’indiquent la demanderesse au principal, LDI NW et le gouvernement allemand, que la défenderesse au principal décide de l’utilisation du plugiciel en cause qui sert d’outil de collecte et de transmission de données à caractère personnel. Cette collecte et cette transmission sont déclenchées par le simple fait de se connecter au site Internet de la défenderesse au principal. Le plugiciel a été fourni par Facebook Ireland. Tant cette dernière que la défenderesse au principal paraissent donc avoir délibérément été à l’origine de la phase de collecte et de transmission du processus de traitement des données. Il va de soi qu’il incombe à la juridiction nationale de vérifier ces faits.
104. Deuxièmement, si nous nous penchons sur les finalités du processus de traitement des données, la décision de renvoi ne précise pas les raisons pour lesquelles la défenderesse au principal a décidé d’insérer le bouton « j’aime » de Facebook sur son site Internet. Néanmoins, sous réserve de vérification par la juridiction de renvoi, cette décision paraît motivée par le souhait d’améliorer la visibilité de ses produits par le biais du réseau social. En même temps, il semble également que Facebook Ireland exploite les données transférées à ses propres fins commerciales.
108. Au vu des considérations qui précèdent, ma deuxième conclusion intermédiaire sera donc que quiconque, telle la défenderesse au principal, a inséré sur son site Internet un plugiciel d’un tiers qui collecte et transmet des données à caractère personnel (ledit tiers ayant fourni le plugiciel) doit être considéré comme un « responsable du traitement » au sens de l’article 2, sous d), de la directive 95/46. Toutefois, la responsabilité (conjointe) de ce responsable du traitement est limitée aux seules opérations pour lesquelles il est effectivement codécideur des moyens et des finalités du traitement des données à caractère personnel.
112. À cet égard, la juridiction de renvoi invoque l’article 7, sous f), de cette directive, aux termes duquel le traitement de données à caractère personnel peut être effectué s’il « est nécessaire à la réalisation de l’intérêt légitime poursuivi par le responsable du traitement ou par le ou les tiers auxquels les données sont communiquées, à condition que ne prévalent pas l’intérêt ou les droits et libertés fondamentaux de la personne concernée ». Plus précisément, la juridiction de renvoi demande à ce que soient précisés les intérêts légitimes de qui il convient de tenir compte dans le contexte du litige au principal : ceux de la défenderesse au principal qui a inséré le contenu d’un tiers ou ce dernier (à savoir Facebook Ireland) (50) ?
117. La demanderesse au principal fait valoir que l’intérêt légitime qui doit être pris en compte est celui de la défenderesse au principal. Elle ajoute que, en l’espèce, ni cette dernière ni Facebook Ireland ne peuvent prétendre avoir un intérêt légitime.
118. La défenderesse au principal et Facebook Ireland soutiennent, en substance, que les intérêts légitimes qui doivent être pris en compte sont ceux de celui qui insère le contenu d’un tiers ainsi que ceux dudit tiers, tout en prenant en considération les intérêts des visiteurs du site Internet dont les droits fondamentaux peuvent être atteints.
119. LDI NW ainsi que les gouvernements allemand, italien et polonais sont d’avis que tant les intérêts de la défenderesse au principal que ceux de Facebook Ireland doivent être pris en considération, car elles ont toutes les deux permis le traitement en cause. Le gouvernement autrichien défend sensiblement le même point de vue. De même et en se référant à l’arrêt du 13 mai 2014, Google Spain et Google (C‑131/12, EU:C:2014:317), le gouvernement belge estime qu’il y a lieu de prendre en considération tant l’intérêt légitime du responsable du traitement que l’intérêt légitime du tiers auquel (ou des tiers auxquels) les données sont fournies.
122. La directive 95/46 ne donne pas de définition de l’expression « intérêt légitime » et n’en énumère pas. Cette notion paraît être assez souple et ouverte (58). Aucun intérêt n’est a priori exclu, tant qu’il est licite évidemment. Comme indiqué précédemment, ce qui en substance a été débattu lors de l’audience (59) est le fait que ce qui semble poser problème en l’espèce est la collecte et la transmission de données à caractère personnel à des fins d’optimisation publicitaire, bien que les objectifs commerciaux finaux tant de la défenderesse au principal que de Facebook Ireland ne coïncident pas nécessairement.
124. Cela dit, la juridiction de renvoi n’examine pas et ne demande pas d’éclaircissements sur la manière dont il convient d’apprécier les intérêts légitimes précis invoqués dans le cadre du litige au principal. Dans sa quatrième question, la juridiction de renvoi demande que soient précisés les intérêts légitimes de qui il faut tenir compte pour procéder à la mise en balance des intérêts voulue par l’article 7, sous f), de la directive 95/46.
129. Par sa sixième question, la juridiction de renvoi demande à savoir si, dans une situation telle que celle qui se présente en l’espèce, l’obligation d’information prévue à l’article 10 de la directive 95/46 pèse également sur le gestionnaire d’un site Internet (tel que la défenderesse au principal) qui a inséré le contenu d’un tiers et est ainsi à l’origine du traitement des données à caractère personnel fait par un tiers.
132. Deuxièmement, dans ces conditions, il pourrait être pensé que le consentement doit être donné à l’un ou l’autre des responsables conjoints du traitement. Néanmoins, compte tenu de la situation particulière de l’espèce, ce consentement doit être donné à la défenderesse au principal, car c’est la connexion à son site Internet qui déclenche le processus de traitement. Il ne serait manifestement pas conforme à une protection efficace et en temps utile des droits de la personne concernée si le consentement ne devait être donné qu’au seul responsable conjoint du traitement intervenant ultérieurement (à supposer qu’il le fasse), après la collecte et la transmission des données.
136. Toutefois au‑delà des arguments exposés ci‑dessus (65), de telles propositions tendraient là encore à étendre la portée des obligations et des responsabilités du ou des responsables (conjoints) du traitement à des opérations pour lesquelles ils ne sont nullement responsables. Si la responsabilité conjointe signifie une responsabilité pour toutes les opérations pour lesquelles il y a unicité des finalités et des moyens au niveau des responsables du traitement, alors, logiquement, les autres obligations résultant de la directive 95/46, telles que celles en matière de consentement, d’information, de droit d’accès et de rectification, devraient correspondre à la portée de l’obligation initiale (66).
137. Lors de l’audience, la Commission a souligné que les visiteurs disposant d’un compte Facebook peuvent avoir consenti auparavant à un tel transfert de données. Cela pourrait conduire à une différenciation de la responsabilité de la défenderesse au principal, la Commission semblant penser que l’obligation d’information et de recueil du consentement incombant à celle‑ci ne serait applicable qu’à l’égard des seuls visiteurs de son site Internet n’ayant pas de compte Facebook.
138. Je ne suis pas de cet avis. Dans les circonstances du litige au principal, j’ai du mal à admettre le fait qu’il faudrait un traitement différencié (moins protecteur) à l’égard des « utilisateurs de Facebook » au motif qu’ils ont déjà accepté la possibilité que les données à caractère personnel (de toutes sortes) les concernant fassent l’objet de traitements. De fait, une telle argumentation implique que, à l’ouverture d’un compte Facebook, l’utilisateur accepte par avance toutes sortes de traitements des données concernant toutes activités en ligne que de tels « utilisateurs de Facebook » peuvent avoir avec des tiers ayant un lien quelconque avec Facebook. Et ce même en l’absence de toute indication qu’il est procédé à un tel traitement des données (comme cela semble être le cas lors d’une simple visite sur le site Internet de la défenderesse au principal). En d’autres termes, accueillir la proposition de la Commission reviendrait dans les faits à ce que la simple ouverture d’un compte Facebook emporte effectivement renonciation à tout droit de protection des données à caractère personnel en ligne à l’égard de Facebook.
141. Dès lors, au vu des considérations qui précèdent, ma dernière conclusion intermédiaire en réponse aux cinquième et sixième questions préjudicielles déférées est que, dans une situation telle que celle du litige au principal, le consentement de la personne concernée, qui doit être donné en application de l’article 7, sous a), de la directive 95/46, doit l’être au gestionnaire du site Internet, tel que la défenderesse au principal, qui y a inséré le contenu d’un tiers. L’article 10 de ladite directive demande à être interprété en ce sens que l’obligation d’informer qu’il prévoit vaut également pour un tel gestionnaire de site Internet. Le consentement de la personne concernée prévu par l’article 7, sous a), de cette même directive et les informations visées à son article 10 doivent être donnés avant la collecte et le transfert des données. Toutefois, l’étendue de ces obligations doit correspondre à la responsabilité conjointe de ce gestionnaire en matière de collecte et de transmission des données à caractère personnel.
142. Au vu des considérations qui précèdent, je propose à la Cour de répondre aux questions posées par l’Oberlandesgericht Düsseldorf (tribunal régional supérieur de Düsseldorf, Allemagne) de la manière suivante :
– La directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, ne fait pas obstacle à une réglementation nationale qui habilite des associations d’utilité publique à agir contre l’auteur présumé d’une atteinte aux lois sur la protection des données pour la défense des intérêts des consommateurs.
– Quiconque a inséré sur son site Internet un plugiciel provenant d’un tiers qui collecte et transmet des données à caractère personnel (ledit tiers ayant fourni le plugiciel) doit être considéré comme un « responsable du traitement » au sens de l’article 2, sous d), de la directive 95/46. Toutefois, la responsabilité (conjointe) de ce responsable du traitement est limitée aux seules opérations pour lesquelles il est effectivement codécideur des moyens et des finalités du traitement des données à caractère personnel.
– Pour apprécier la possibilité de procéder à un traitement de données à caractère personnel aux conditions de l’article 7, sous f), de la directive 95/46, les intérêts légitimes des deux responsables conjoints des traitements en cause doivent être pris en compte et mis en balance au regard des droits des personnes concernées.
– Le consentement de la personne concernée, qui doit être donné en application de l’article 7, sous a), de la directive 95/46, doit l’être au gestionnaire du site Internet, tel que la défenderesse au principal, qui y a inséré le contenu d’un tiers. L’article 10 de ladite directive demande à être interprété en ce sens que l’obligation d’informer qu’il prévoit vaut également pour un tel gestionnaire de site Internet. Le consentement de la personne concernée prévu à l’article 7, sous a), de cette même directive et les informations visées à son article 10 doivent être donnés avant la collecte et le transfert des données. Toutefois, l’étendue de ces obligations doit correspondre à la responsabilité conjointe de ce gestionnaire en matière de collecte et de transmission des données à caractère personnel.
3 Directive du Parlement européen et du Conseil du 23 avril 2009 (JO 2009, L 110, p. 30).
4 Je relève que la décision de renvoi indique que le plugiciel a été mis à la disposition de la défenderesse au principal par Facebook Ireland ou par sa société‑mère, Facebook Inc., immatriculée aux États-Unis d’Amérique. Néanmoins, il semblerait que tant devant la juridiction de renvoi que dans le cadre de la procédure devant la Cour, la responsabilité de Facebook Ireland soit susceptible d’être engagée dans ce litige au titre de la directive 95/46. Il n’y a donc pas lieu d’examiner une éventuelle application de ladite directive à l’encontre de la société‑mère de Facebook Ireland.
5 Règlement du Parlement européen et du Conseil du 27 avril 2016 relatif à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données, et abrogeant la directive 95/46 (règlement général sur la protection des données) (JO 2016, L 119, p. 1).
17 Rapportés au point 8 des présentes conclusions.
18 Voir de nouveau les exemples rapportés à la note 12 des présentes conclusions.
22 De manière générale (et indépendamment de la question particulière du changement de nature juridique), le fait pour le législateur d’insérer un élément dans un acte législatif postérieur, qui ne figurait pas dans ses versions antérieures, a‑t‑il une incidence sur son interprétation ? Il se peut effectivement que ce principe ait figuré « intrinsèquement » dans la version antérieure et que, désormais, il ne fait qu’être précisé. Néanmoins, cela peut également signifier que, justement en raison du fait que cette disposition était absente, la nouvelle version constitue une modification. Compte tenu du recours fréquent et douteux (et abusif) à l’argument consistant à dire « il a toujours existé, il est désormais explicite », qui revient effectivement à une extension de la règle de droit avant qu’elle ne soit devenue applicable ratione temporis, il convient de ne recourir à de tels arguments, à supposer qu’il le faille, qu’avec la plus grande circonspection.
25 Voir point 19 des présentes conclusions.
30 Arrêt du 5 juin 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, point 39).
31 Arrêt du 5 juin 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, points 35).
32 Arrêt du 5 juin 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, point 36).
33 Arrêt du 5 juin 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, points 34 et 38).
34 Arrêt du 5 juin 2018, Wirtschaftsakademie Schleswig‑Holstein (C‑210/16, EU:C:2018:388, points 39 et 41).
35 Arrêt du 10 juillet 2018, Jehovan todistajat (C‑25/17, EU:C:2018:551, points 68 à 72).
36 Comme le proposent les conclusions de l’avocat général Bot dans l’affaire Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2017:796, points 66 à 72).
40 Arrêt du 5 juin 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, point 38).
41 Là encore, reste ouverte la question de savoir à quelles conditions précisément et avec quel pouvoir de négociation (voir note 37 des présentes conclusions).
42 Ou, comme le personnage de Sir Humphrey Appleby l’exprimait en des termes plus crus (apparemment sur la base d’une citation ancienne d’un auteur inconnu) : « les responsabilités sans le pouvoir – tel a de tout temps été le destin de ceux qui n’ont rien dans le ventre » (in Yes, Prime Minister, deuxième saison, septième épisode, « L’administration de l’Éducation Nationale », première diffusion le 21 janvier 1988) [Ndt : traduction libre].
43 Également dans le sens souligné au point 73 des présentes conclusions, et aux notes 38 et 42.
44 Arrêt du 5 juin 2018, Wirtschaftsakademie Schleswig-Holstein (C‑210/16, EU:C:2018:388, point 43).
45 Voir points 87 et 88 des présentes conclusions.
46 Voir, également, Groupe de travail « article 29 » sur la protection des données (organisme consultatif institué par l’article 29 de la directive 95/46, aujourd’hui remplacé par le Comité européen de la protection des données, institué par l’article 68 du RGPD), avis 4/2007 sur le concept de données à caractère personnel (avis WP 01248/07/FR, WP 136, 20 juin 2007, p. 4).
47 Également à la lumière du fait que le traitement ne sera guère linéaire, faisant intervenir une par une et dans l’ordre chacune des opérations énumérées à l’article 2, sous b), de la directive 95/46 qui seraient effectuées par une seule et même personne. Au contraire, le cycle de vie des données à caractère personnel est, justement, cyclique, tournant en boucles, avec des bifurcations dans tous les sens, des ensembles de données étant collectés en différents endroits, puis consultés par quelqu’un d’autre, puis fusionnés et de nouveau consultés, puis peut‑être de nouveau regroupés et retransmis à d’autres personnes, etc.
48 Voir Groupe de travail « article 29 » sur la protection des données, avis 1/2010 sur les notions de « responsable du traitement » et de « sous-traitant », adopté le 16 février 2010 (avis 00264/10/FR, WP 169, page 19), selon lequel « une coresponsabilité naît lorsque plusieurs parties déterminent, pour certaines opérations de traitement, soit la finalité soit les éléments essentiels des moyens ».
49 À la différence de la situation examinée au sujet de la première question aux points 39 à 42 des présentes conclusions.
54 Là encore, dans ce contexte, je renvoie à la partie introductive de la section B.1 (points 55 à 58 des présentes conclusions) et à la nécessité d’une constatation précise des faits sur le point de savoir ce qui précisément a été transmis et si ces informations constituent effectivement des données à caractère personnel.
60 Voir, également, Groupe de travail « article 29 » sur la protection des données, avis no 06/2014 sur la notion d’« intérêt légitime » poursuivi par le responsable du traitement des données au sens de de la directive 95/46/CE (844/14/FR WP 217), p. 27.
61 Comme j’ai déjà eu le loisir de l’indiquer, « l’intérêt légitime en cause [doit] non seulement [être] établi mais [il doit prévaloir] également sur les intérêts ou les droits et les libertés de la personne concernée par le traitement des données », ce qui découle des articles 7 et 8 de la [charte des droits fondamentaux de l’Union européenne] : voir mes conclusions dans l’affaire Rīgas satiksme (C‑13/16, EU:C:2017:43, points 56 et 66 à 69 et la jurisprudence citée).
63 Il faut donc des liens appropriés entre les finalités (l’intérêt légitime allégué) et les moyens mis en œuvre (le traitement des données à caractère personnel). Voir, en ce sens, arrêt du 4 mai 2017, Rīgas satiksme (C‑13/16, EU:C:2017:336, point 30 et la jurisprudence citée).
65 Aux points 84 à 88 des présentes conclusions.
67 Voir point 132 des présentes conclusions. Voir Groupe de travail « article 29 » sur la protection des données, Document de travail no 02/2013 énonçant des lignes directrices sur le recueil du consentement pour le dépôt de cookies, 1676/13/FR WP 208, 2 octobre 2013, page 4. Voir, également, Groupe de travail « article 29 » sur la protection des données, Avis 15/2011 sur la définition du consentement, adopté le 13 juillet 2011, 1197/11/FR WP187, p. 10.