La Cour de Justice de l'Union européenne (CJUE) a jugé que l’exploitant d’un site de commerce en ligne est effectivement tenu pour responsable du traitement des données à caractère personnel contenues dans les annonces publiées sur sa plateforme, même dans le cas où il n'en est pas lui même à l'origine, dans un arrêt (affaire C-492/23) de mardi 2 décembre.
L’affaire en question opposait une femme roumaine dont l'image et les données personnelles avaient été utilisées sans son consentement dans une annonce publicitaire à caractère sexuel mise en ligne par un des utilisateurs de la place de marché en ligne publi24.ro, propriété de la société Russmedia Digital.
Si la victime a eu gain de cause en première instance, la juridiction roumaine a exonéré la société en appel, la qualifiant de simple hébergeur non responsable du contenu publié par ses utilisateurs.
La Cour d'appel roumaine a par la suite saisi la CJUE pour interpréter plusieurs dispositions du droit européen, notamment les articles 12 à 15 de la directive 2000/31/CE sur la responsabilité des prestataires intermédiaires, ainsi que des articles du RGPD relatifs à la protection des données personnelles, afin de déterminer si cette exonération de responsabilité prévue pour les hébergeurs et/ou intermédiaires était légitime.
Dans son arrêt du 2 décembre, la CJUE estime que la plateforme est dans un rôle actif du traitement des données pour les annonces (fixer des conditions, gérer les annonces, modérer, toucher à la mise en forme, fixer les modalités de dépôt, imposer des règles de publication ...) et est donc soumise à toutes les obligations du RGPD : transparence, sécurité, respect des données sensibles, consentement et vérification préalable.
Selon la CJUE, l’exonération prévue pour les hébergeurs ne s’applique qu’aux activités purement techniques et passives. Le site en question n'entre pas dans ce cas de figure.
Par cet arrêt, la CJUE restreint l’idée qu’une plateforme puisse héberger de façon neutre des annonces d’utilisateurs sans être responsable de leur contenu et des données traitées, même lorsque ces annonces sont publiées par un tiers.
Voir l'arrêt : https://aeur.eu/f/jsk (Isalia Stieffatre)