La Cour de justice de l'UE a jugé (aff. C-40/17), lundi 29 juillet, qu'un marchand en ligne devait être tenu pour coresponsable du traitement et de la collecte de données à caractère personnel obtenues grâce au bouton « J'aime » de Facebook. Cette approche l'oblige à informer l'utilisateur et à obtenir son consentement pour ce qui concerne l'extraction des données qui concernent tant le réseau social que le marchand.
La Cour confirme ainsi les conclusions de l'avocat général dans cette affaire qui oppose l'association allemande de protection des consommateurs, Verbraucherzentrale NRW, à la société de vente en ligne d’articles de mode, Fashion ID (EUROPE 12305/5). Le problème vient du fait que Fashion ID avait installé un module d'extension (plug-in) sur sa page, le bouton « J'aime » de Facebook, ce qui permet au réseau social d'obtenir les données personnelles des visiteurs de la page (informations sur leur adresse IP et la chaîne de caractères du navigateur) et d'installer des témoins de connexion (cookies) sur leur appareil.
Dans son arrêt, la Cour considère que Fashion ID et Facebook Ireland déterminent conjointement les moyens et les finalités de la collecte et la transmission de données (même si l'entreprise affirme ne pas avoir été informée des implications du bouton « J'aime » sur sa page). Les juges affirment en effet que ces opérations de traitement paraissent être effectuées dans l’intérêt économique des deux parties, l'intégration d'un tel bouton permettant à Fashion ID d’optimiser la publicité pour ses produits en les rendant plus visibles sur le réseau social Facebook lorsqu’un visiteur de son site Internet clique sur ledit bouton.
En conclusion, la Cour estime que Fashion ID doit fournir, au moment de la collecte de données, certaines informations à ses clients, comme son identité et les finalités du traitement, et doit obtenir le consentement au préalable (uniquement) pour les opérations dont il est (co)responsable, à savoir la collecte et la transmission des données. Elle précise que la coresponsabilité ne s'étend pas au traitement ultérieur de ces données, effectué uniquement par Facebook. Voir l'arrêt à la page : https://bit.ly/2YrG6Eh (Sophie Petitjean)