(CJUE, 29 juillet 2019, C-40/17, Fashion ID c. Verbraucherzentrale)
L’arrêt est rendu sur renvoi préjudiciel du Oberlandesgericht de Dusseldorf. Il porte sur l’interprétation des dispositions de la directive 95/46 sur les données à caractère personnel, abrogée et remplacée par le RGPD.
Les faits de la cause mettent en évidence la difficulté générée par la pratique usuelle d’un gestionnaire d’un site internet (ici Fashion ID) de présenter sur son site du contenu externe, par l’insertion d’un lien. Ce lien consistait en l’espèce en l’icône « j’aime » de Facebook, insérée dans le site internet Fashion ID. La seule présence de cette icône actionnait, sans requérir un comportement actif de l’internaute visitant le site Fashion ID (celui-ci ne doit pas avoir cliqué sur le lien et il ne doit même pas être membre de Facebook) le transfert des données à caractère personnel de celui-ci vers Facebook.
Le Oberlandesgericht a saisi la CJUE afin qu’elle se prononce sur les responsabilités en matière de traitement des données à caractère personnel. Dans ce cas très spécifique, qui est le responsable du traitement, quel est l’intérêt légitime à prendre en compte, à qui l’internaute doit-il donner son consentement et à qui l’obligation d’information préalable incombe-t-elle ?
Dans son arrêt, la Cour de justice procède à un exercice de « partage des responsabilités ».
Tant le titulaire du site internet prévoyant le lien qui actionne le transfert de données à un tiers, que le tiers qui bénéficie de ce transfert sont à considérer comme des responsables du traitement. Chacun a la qualité responsable du traitement dans la mesure où il détermine les finalités et les moyens du traitement. Ainsi, Fashion ID ne saurait être considéré comme responsable du traitement des données, effectué par Facebook, postérieurement au transfert à son profit. Fashion ID ne sera, en l’occurrence, responsable que de la collecte des données à caractère personnel et de leur communication par transmission.
L’ « intérêt légitime » s’apprécie dans le chef de chacun des deux responsables du traitement, au vu du traitement effectué. Fashion ID et Facebook doivent pouvoir faire valoir, chacun, un intérêt légitime propre.
La Cour précise, enfin, que Fashion ID ne peut être contrainte de solliciter le consentement de la personne concernée et de lui fournir préalablement les informations que pour les (et dans la mesure des) opérations de traitement dont elle détermine elle-même les finalités et les moyens. Les obligations relatives au traitement des données après leur transfert à Facebook, incombent à celle-ci.
