La notion de responsable du traitement – version large

Spécialisée dans le domaine de l’éducation, la Wirtschaftsakademie aussi a sa page fan sur Facebook. Grâce à la fonction Facebook Insight, cette société allemande peut obtenir un tas d’informations statistiques anonymes sur les visiteurs qui s’y connectent. Pour cela, Facebook a tout simplement déposé sur le terminal de ses visiteurs des cookies visant à stocker des informations les concernant, le tout étant collecté et traité au moment de l’ouverture de la page fan. Mais comme ni la Wirtschaftsakademie ni Facebook ne les ont informés de cette pratique, l’autorité de protection des données du Schleswig-Holstein (Allemagne) a ordonné à cette première de désactiver la page en question. Celle-ci rétorqua par recours devant les tribunaux administratifs, arguant notamment de ce qu’elle ne pouvait être tenue pour responsable du traitement des données effectué par Facebook. Finalement, la Cour administrative fédérale a saisi la Cour de justice de l’Union européenne (CJUE) d’un lot de questions préjudicielles en interprétation de la directive 95/46 relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données (dir. 95/46/CE du Parlement européen et du Conseil, 24 oct. 1995, JOUE, 23 nov. ; abrogée par règl. 2016/679 du Parlement européen et du Conseil, 27 avr. 2016, JOUE, 4 mai, plus connu sous le nom de RGPD). On ne s’intéressera ici qu’à celles tendant en substance à déterminer s’il est possible de retenir la responsabilité de l’administrateur d’une page fan hébergée sur un réseau social en cas d’atteinte aux règles relatives à la protection des données personnelles.

Selon l’article 2, sous d), de la directive 95/46, le « responsable du traitement » est « la personne physique ou morale, l’autorité publique, le service ou tout autre organisme qui, seul ou conjointement avec d’autres, détermine les finalités et les moyens du traitement de données à caractère personnel ». La définition est large et c’est voulu puisque l’objectif de cette disposition est d’assurer « une protection efficace et complète des personnes concernées » (§ 28 ; v. déjà CJUE 13 mai 2014, Google Spain et Google, aff. C-131/12, Dalloz actualité, 21 mai 2014, osb. L. Contantin ; AJDA 2014. 1147, chron. M. Aubert, E. Broussy et H. Cassagnabère ; D. 2014. 1476, note V.-L. Benabou et J. Rochfeld ; AJCT 2014. 502, obs. O. Tambou ). Or, selon la Cour, « l’administrateur d’une page fan hébergée sur Facebook contribue au traitement des données à caractère personnel des visiteurs de sa page » (§ 36). Celui-ci peut en effet demander à obtenir, « et donc que soient traités », des données démographiques et géographiques lui permettant de cibler au mieux son offre d’informations (§ 37). Et quand bien même ces statistiques lui seraient transmises sous une forme anonymisée, « la directive 95/46 n’exige pas, lorsqu’il y a une responsabilité conjointe de plusieurs opérateurs pour un même traitement, que chacun ait accès aux données à caractère personnel concernées » (§ 38). Donc la grande chambre considère que cet administrateur « participe, par son action de paramétrage, en fonction, notamment, de son audience cible ainsi que d’objectifs de gestion ou de promotion de ses activités, à la détermination des finalités et des moyens du traitement des données personnelles des visiteurs de sa page fan » (§ 39). Et il est dit pour droit qu’il relève de la notion de « responsable du traitement » (§ 44).

Il est enfin à noter que la définition du « responsable de traitement » retenue par la directive 95/46 a été reprise presque terme pour terme par le règlement général sur la protection des données. La loi devant permettre d’adapter la législation française à ce texte et à la directive qui l’accompagne vient quant à elle d’être publiée au Journal officiel du 21 juin (L. n° 2018-493, 20 juin 2018).