L'ancienne directive 95/46/CE du 24 octobre 1995 définit le responsable de traitement de données personnelles comme étant toute personne qui « détermine les finalités et les moyens du traitement ». Le règlement européen sur la protection des données personnelles (RGPD), applicable depuis le 25 mai 2018, est rédigé à l’identique (art. 4, 7).
Une page fan (ou « fanpage ») est un compte d’utilisateur destiné à être configuré sur un réseau social, tel que Facebook, par un particulier ou une entreprise. Après s’être enregistré auprès de l’opérateur, l’auteur de la page (aussi qualifié d’« administrateur ») peut se servir de la plateforme aménagée par Facebook pour se présenter aux utilisateurs du réseau et aux personnes qui visitent la page. Il peut également placer toutes sortes de communications afin de développer une activité commerciale. L’auteur de la page fan est en mesure d’obtenir des statistiques d’audience grâce à un outil mis gratuitement à sa disposition par Facebook. Ces statistiques, qu’il peut personnaliser au moyen de différents critères, lui fournissent des informations anonymes sur les caractéristiques et les habitudes des personnes ayant visité la page. Ces données sont collectées et exploitées au moyen de cookies qui sont stockés sur l’ordinateur, ou un autre terminal, de ces personnes.
Saisie par voie de question préjudicielle, la Cour de justice de l'Union européenne (CJUE) vient de préciser que l'auteur d'une page fan hébergée sur un réseau social a la qualité de responsable d’un traitement de données personnelles, de sorte qu’il a l’obligation de respecter les règles relatives à ces données.
En se fondant sur la définition du responsable de traitement issue de la directive, la Cour relève que Facebook Inc., dont le siège se trouve aux Etats-Unis, est le principal responsable du traitement des données concernant les utilisateurs du réseau social et les personnes ayant visité la page fan. Elle transpose cette qualification à Facebook Ireland, qui a la responsabilité exclusive de la collecte et du traitement des données personnelles pour l’ensemble du territoire de l’Union européenne.
Mais elle considère que l’auteur de la page fan contribue, de son côté, à déterminer les finalités et les moyens du traitement. Pour justifier cette solution, la CJUE relève un élément essentiel : l’entreprise qui crée une page fan sur Facebook exerce une action de paramétrage en fonction de son public cible et des objectifs assignés à son activité. A l’aide des filtres dont il dispose, l’auteur de la page peut définir les critères permettant d’établir des statistiques d’audience et même désigner les catégories de personnes dont les données vont être exploitées. Ainsi « influe »-t-il sur le traitement de ces données.
En définitive, l’auteur de la page fan est déclaré responsable du traitement au sein de l’Union, mais conjointement avec Facebook Ireland. La Cour précise toutefois qu’une responsabilité conjointe n’implique pas nécessairement une responsabilité équivalente des opérateurs. L’étendue de leur responsabilité respective peut varier compte tenu des circonstances de l’affaire.
A noter : ces solutions conservent tout leur intérêt pour l’application du RGPD, qui est désormais le seul texte encadrant le statut de responsable de traitement. La loi 78-17 du 6 janvier 1978 comporte des dispositions analogues (art. 3, I), qui n’ont pas été modifiées par la loi 2018-593 du 20 juin 2018 adaptant la législation nationale au RGPD, mais qui ne sont plus applicables aux traitements relevant de celui-ci (sur la loi de 2018, voir BRDA 13/14 inf. 22).
Sur le même arrêt : voir aussi La Quotidienne du 12 juin 2018
