Les transferts de données réalisés au moyen des « social signs » épinglés par la Cour de Justice de l’Union européenne : gestionnaire du site et fournisseur du signe sont coresponsables

La Cour de justice s'est prononcée, le 29 juillet 2019, sur les transferts de données réalisés au moyen des « social signs » et plus précisément sur la responsabilité du gestionnaire du site et du fournisseur du signe (affaire Fashion ID GmbH & Co. KG/Verbraucherzentrale NRW eV, C-40/17).

Fashion ID est une entreprise de vente de vêtements en ligne. Comme nombre de gestionnaires de sites web, elle accompagne ses publications de modules sociaux, permettant aux visiteurs du site d’exprimer leur affinité avec le contenu proposé. Au travers de l’insertion de mentions « J’aime » proposées par Facebook, Fashion ID transmets les données de ses visiteurs au réseau social, en échange d’une meilleure visibilité de ses publicités sur celui-ci.
 
Une association de défense des intérêts des consommateursa contesté la pratique devant la CJUE, au motif qu’elle était faite en l’absence du consentement des visiteurs du site et en méconnaissance des obligations d’information relatives à la protection des données personnelles.
 
En réponse à Fashion ID, qui invoquait son impossibilité de connaître l’étendue du traitement réalisé par Facebook avec les données de ses visiteurs et qui estimait dès lors ne pas être en mesure de les informer, la Cour de Justice a rendu un arrêt équilibré en considérant que les finalités et moyens du traitement étaient décidés de manière conjointe par le gestionnaire du site et le fournisseur du module.
 
Selon la Cour, le fait pour le gestionnaire d’avoir inséré un module social sur son site, en ayant conscience que celui-ci sert d’outil de collecte et de transmission des données,suffit à le qualifier de responsable de traitement. Sa responsabilité est toutefois limitée aux traitements dont il détermine effectivement les moyens et finalités, à savoir la collecte et la communication par transmission des données en cause.
 
Quant à savoir si l’obligation de recueillir le consentement et l’obligation d’information incombaient à Fashion ID, la Cour a estimé à juste titre qu’une protection efficace et en temps utile des droits de la personne concernée excluait le fait de faire reposer ces éléments uniquement sur le fournisseur du module, son intervention étant postérieure à celle du gestionnaire du site. En conséquence, ces obligations sont effectivement à la charge de ce dernier, mais seulement à la mesure de sa responsabilité, c’est-à-dire uniquement en ce qui concerne les traitements dont il détermine les moyens et finalités.
 
Par cet arrêt, la Cour de Justice a fait œuvre de pragmatisme en concluant à la coresponsabilité du gestionnaire du site et du fournisseur. Elle renforce également les droits des internautes, en leur permettant de prendre conscience de l’implication que peut avoir l’activation de signes sociaux (like) en termes detransfert, d’interconnexion des plateformes et de trafic souvent sous-estimé de leurs données.  r\nVictor Rouard