Type de juridiction : Cour de justice de l’Union européenne

Juridiction : CJUE

Thématique : Responsabilité de l’administrateur de fan page Facebook

Responsabilité conjointe avec Facebook

Les pages fan sont des comptes d’utilisateurs qui peuvent être configurés sur Facebook par des particuliers ou des entreprises. Pour ce faire, l’auteur de la page fan, une fois enregistré auprès de Facebook, peut utiliser la plateforme aménagée par ce dernier pour se présenter aux utilisateurs de ce réseau social ainsi qu’aux personnes visitant la page fan et diffuser des communications de toute nature sur le marché des médias et de l’opinion.

Au sujet de la légalité d’une injonction faite par l’autorité allemande à la protection des données contre une société de désactiver sa page fan hébergée sur le site du réseau social Facebook (ci-après « Facebook »), la CJUE a eu l’opportunité de préciser les conditions de la responsabilité de l’administrateur d’une page fan sur Facebook. Ce dernier est conjointement responsable avec Facebook du traitement des données des visiteurs de sa page.  L’autorité de protection des données de l’État membre dans lequel cet administrateur a son siège peut agir tant contre celui-ci que contre la filiale de Facebook établie dans ce même État.

Pouvoir de collecte des administrateurs de pages fan

Les administrateurs de pages fan peuvent obtenir des données statistiques anonymes sur les visiteurs de ces pages à l’aide d’une fonction intitulée Facebook Insight, mise gratuitement à leur disposition par Facebook selon des conditions d’utilisation non modifiables. Ces données sont collectées grâce à des fichiers témoins (« cookies ») comportant chacun un code utilisateur unique, actifs pendant deux ans et sauvegardés par Facebook sur le disque dur de l’ordinateur ou sur tout autre support des visiteurs de la page fan. Le code utilisateur, qui peut être mis en relation avec les données de connexion des utilisateurs enregistrés sur Facebook, est collecté et traité au moment de l’ouverture des pages fan.

Défaut d’information des visiteurs

En l’espèce, l’injonction de désactivation de l’autorité allemande à la protection des données   était justifiée par la carence tant de l’administrateur de la page fan que de Facebook d’informer les visiteurs, que Facebook collectait, à l’aide de cookies, des informations à caractère personnel les concernant et qu’ils traitaient ensuite ces informations.

En conséquence, un administrateur de fan page, est considéré comme étant, au sein de l’Union, conjointement responsable avec Facebook Ireland du traitement des données en question. En effet, un tel administrateur participe, par son action de paramétrage (en fonction, notamment, de son audience cible ainsi que des objectifs de gestion ou de promotion de ses propres activités), à la détermination des finalités et des moyens du traitement des données personnelles des visiteurs de sa page fan. En particulier, l’administrateur de la page fan peut demander l’obtention (sous une forme anonymisée) – et donc le traitement – de données démographiques concernant son audience cible (notamment des tendances en matière d’âge, de sexe, de situation amoureuse et de profession), d’informations sur le style de vie et les centres d’intérêt de son audience cible (y compris des informations sur les achats et le comportement d’achat en ligne des visiteurs de sa page ainsi que sur les catégories de produits ou de services qui l’intéressent le plus) et de données géographiques qui permettent à l’administrateur de la page fan de savoir où effectuer des promotions spéciales ou organiser des événements et, de manière plus générale, de cibler au mieux son offre d’informations.

Télécharger