Administrateurs d’une page Facebook, vous êtes responsables du traitement des données

Après la mise en application du RGPD, la protection des données personnelles des citoyens européens connaît un nouveau chapitre juridique. La CJUE a rendu le 5 juin un arrêt dans lequel l’administrateur d’une page fan Facebook est reconnu coresponsable du traitement des données de ses visiteurs avec Facebook.

Les faits

Dans cette affaire, une société allemande spécialisée dans le domaine de l’éducation (la Wirtschaftsakademie Schleswig-Holstein) se voyait contraint de désactiver sa page fan Facebook par l’autorité locale de protection des données (l’Unabhängiges Landeszentrum für Datenschutz Schleswig-Holstein ou autorité régionale indépendante de protection des données du Schleswig-Holstein). Le motif : elle n’avait pas informé les visiteurs que le réseau social collectait et traitait leurs données à l’aide de cookies.

Une mesure injuste pour la société qui considère ne pas être concernée par ce travail. C’est pourquoi elle a contesté la décision de l’autorité devant les juridictions allemandes. C’est dans ce cadre que la Cour administrative fédérale d’Allemagne a demandé à la CJUE de statuer sur le rôle de l’administrateur de page à la lumière de la directive 95/46/CE du Parlement européen et du Conseil, du 24 octobre 1995, relative à la protection des personnes physiques à l’égard du traitement des données à caractère personnel et à la libre circulation de ces données.

Le raisonnement de la Cour

La juridiction européenne part du constat que Facebook collecte les données personnelles de ses visiteurs. Pour ce faire, la plateforme a recours à des cookies. Ces fichiers permettent de stocker des informations sur les navigateurs web des internautes. Ils sont actifs pendant une durée de deux ans, s’ils ne sont pas effacés avant.

Ces données sont ensuite traitées par Facebook pour ses services. Elles servent notamment à nourrir les statistiques d’audience (Facebook Insights). C’est ici que l’administrateur de page entre en lice. En effet, ces statistiques lui fournissent tout un tas d’informations sur les utilisatrices et utilisateurs de Facebook. Il est possible de définir une audience en fonction du sexe, de l’âge, de la localisation, de la situation amoureuse ou encore des centres d’intérêt de ces personnes. Ces données sont particulièrement utiles à l’administrateur désireux de lancer une campagne publicité ciblant la population la plus pertinente.

Or, la Cour note que « cette action de paramétrage (…) influe sur le traitement de données à caractère personnel aux fins de l’établissement des statistiques établies à partir des visites de la page fan ». Dès lors, l’administrateur « contribue au traitement des données à caractère personnel des visiteurs de sa page ». Le fait que l’accès aux statistiques d’audience soit anonymisé ne change rien. Ces dernières reposent sur la collecte préalable et le traitement des données de visiteurs permis par l’installation de cookies sur leur ordinateur qui découle directement de la création d’une page fan.

Par conséquent, l’administrateur n’est pas qu’un simple utilisateur de Facebook. Il a des obligations en matière de protection des données personnelles et ce d’autant plus que des personnes non inscrites sur le réseau social peuvent voir leurs données collectées en visitant la page.

Les conséquences pour les administrateurs de page

Qu’est-ce que cela signifie concrètement pour les administrateurs de page fan ? Si on se réfère aux faits du cas d’espèce, on peut supposer que la protection des données personnelles implique d’informer les visiteurs d’une page que celles-ci sont collectées et traitées en précisant le but de ces opérations. On peut imaginer qu’une telle information figure dans la description de la Page. L’étendue des obligations reste à déterminer même si l’on sait déjà que la « responsabilité conjointe ne se traduit pas nécessairement par une responsabilité équivalente des différents opérateurs concernés par un traitement de données à caractère personnel » car ils « peuvent être impliqués à différents stades de ce traitement et selon différents degrés, de telle sorte que le niveau de responsabilité de chacun d’entre eux doit être évalué en tenant compte de toutes les circonstances pertinentes du cas d’espèce ».

Pour l’instant, l’entreprise de Menlo Park n’a pas réagi à l’arrêt de la Cour.

Article de Thierry Randretsa