27 juin 2018 L'administrateur d'une page fan Facebook est coresponsable du traitement des données L'avocate Muriel Assuline décrypte et souligne l'importance d'un arrêt récent de la Cour de justice européenne concernant la protection des données personnelles Selon un arrêt du 5  juin 2018 de la Cour de justice de l'Union européenne (CJUE), l'administrateur d'une page fan sur Facebook est conjointement responsable avec Facebook du traitement des données à caractère personnel des visiteurs de sa page. En l'espèce, il s'agissait d'une société spécialisée dans le domaine de l'éducation (Wirtschaftsakademie Schleswig-Holstein GmbH), qui utilisait une page fan Facebook pour proposer ses services de formation. Elle utilisait la fonctionnalité Insight mise à sa disposition par Facebook à des fins d'analyse des statistiques sur les visiteurs de la page à l'aide des cookies sauvegardés par -Facebook sur le disque dur de l'ordinateur du visiteur. Par une décision du 3  novembre 2011, l'autorité régionale indépendante de protection des données de la région allemande du Schleswig-Holstein a ordonné à la société de désactiver sa page fan Facebook pour motif que ni cette société ni Facebook n'ontinformé les visiteurs de ladite page que le réseau social collectait et traitait leurs données personnelles. La société a introduit un recours contre cette décision devant les tribunaux allemands en argumentant qu'elle ne peut être qualifiée de responsable du traitement. C'est dans ce contexte que la Cour administrative fédérale allemande a posé une question préjudicielle à la CJUE. Tous les réseaux sociaux concernésL'arrêt de la Cour de justice européenne -confirme sa jurisprudence " Google Spain "du 13  mai 2014 (aff. C?131/12), car la cour a considéré que tant la société américaine que sa filiale Facebook Ireland doivent être qualifiées de responsables de traitement. En ce qui concerne la société allemande, selon la cour, un administrateur de page fan Facebook tel que cette société doit être considéré comme étant conjointement responsable avec Facebook. Ainsi, un tel administrateur peut choisir, dans les paramètres proposés par le réseau social, de cibler une certaine audience en fonction de ses âge, profession, intérêts, tendances commerciales, etc. D'une telle manière, l'administrateur d'une page fan Facebook détermine " les finalités et les moyens du traitement des données personnelles " au sens de la directive n° 95/46/CE. Un autre point important de l'arrêt est la détermination de la compétence des autorités nationales de contrôle. Dans sa décision, la cour a souligné qu'une autorité de contrôle régionale, telle que celle de Schleswig-Holstein, est compétente pour assurer le respect de la législation relative à la protection des données sur le territoire de l'Allemagne. En outre, elle est aussi compétente pour sanctionner -Facebook Germany pour violation de la directive n° 95/46/CE, même si, d'une part, cette filiale est chargée uniquement de la vente d'espaces publicitaires sur le territoire allemand et, d'autre part, la responsabilité exclusive de la collecte et du traitement des données à caractère personnel incombe, pour l'ensemble du territoire de l'Union, à Facebook Ireland. Cette jurisprudence demeure d'actualité au regard du nouveau règlement général de la protection des données (RGPD) européen du 27  avril 2016, entré en application le 25  mai 2018. En effet, selon l'article 4 § 7 du RGPD, constitue un responsable du traitement " la personne physique ou morale qui, seule ou conjointement avec d'autres, détermine les finalités et les moyens du traitement ". Cette jurisprudence sera d'ail-leurs applicable à d'autres réseaux sociaux (par exemple Twitter, LinkedIn, etc.) qui utilisent les données personnelles de leurs utilisateurs aux fins de mise en place de -publicités ciblées. Muriel Assuline © Le Monde